DORA – Estrategias de Cumplimiento para la Finanzas Reguladas

Introducción

El Reglamento UE DORA (Digital Operational Resilience Act) es una normativa reciente que tiene como objetivo asegurar la resiliencia operativa digital de las entidades financieras en Europa. Su promulgación se enmarca en un contexto de creciente interdependencia tecnológica y un aumento significativo de amenazas cibernéticas que pueden comprometer la integridad y continuidad de los servicios financieros.

El alcance del DORA abarca una amplia variedad de entidades, incluyendo bancos, empresas de inversión, proveedores de servicios de terceros, así como proveedores de infraestructura del mercado. Los objetivos principales incluyen la identificación y gestión del riesgo TIC, la notificación de incidentes cibernéticos, y la realización de pruebas de resiliencia que permitan garantizar una respuesta efectiva ante potenciales crisis operativas.

La importancia de la resiliencia operativa digital y la gestión del riesgo TIC radica en la necesidad de proteger los activos tanto financieros como de información, asegurando así la confianza del consumidor y del mercado. En este entorno altamente regulado, es crucial que las entidades financieras implementen prácticas efectivas de gestión del riesgo y cumplan con los requisitos establecidos por el DORA.

Cuerpo principal

Gestión del Riesgo TIC: Un Pilar Fundamental bajo DORA

Uno de los aspectos clave del DORA es la definición de un marco sólido para la gestión del riesgo TIC. Este marco debe ser integral y adaptarse a la naturaleza compleja y dinámica del entorno tecnológico actual. Los principales componentes del marco de gestión del riesgo TIC implican la identificación de activos críticos, la evaluación de vulnerabilidades, el establecimiento de controles adecuados y la monitorización continua de los riesgos.

Impactos Operativos y Retos de Cumplimiento

Implementar un marco efectivo de gestión del riesgo TIC puede acarrear diversos impactos operativos para las entidades. Por un lado, se requiere una alineación significativa entre las áreas de TI y de negocio, lo que puede plantear desafíos en la comunicación y colaboración interdisciplinaria. Por otro lado, la adecuación de los sistemas existentes a los nuevos requerimientos del DORA puede implicar inversiones sustanciales en tecnología y formación.

Entre los retos de cumplimiento más comunes que las entidades enfrentan, se incluyen la falta de una visión clara del inventario de activos críticos y los déficits en la documentación y seguimiento de los procesos de gestión de incidentes. La supervisión del cumplimiento de los requisitos del DORA también es un área donde se suelen observar brechas, sobre todo en la integración de sistemas de control y auditoría sobre TI en el marco de la gestión de riesgos.

Expectativas Regulatorias

Las autoridades reguladoras esperan que todas las entidades financieras adopten marcos de gestión del riesgo TIC que no solo cumplan con la normativa, sino que también fomenten una cultura organizativa centrada en la resiliencia. Este enfoque no solo debe estar en manos del equipo de TI, sino que es vital que incorpore a la alta dirección en la gobernanza, garantizando así una mayor responsabilidad y compromiso en la protección de los activos tecnológicos.

Sección práctica de cumplimiento

Para cumplir con las exigencias del DORA, las entidades financieras deben adoptar varias acciones concretas que fortalezcan su resiliencia operativa digital:

1. Desarrollo de Políticas y Procedimientos: Las entidades deben formular políticas sobre la identificación y gestión del riesgo TIC que incluyan la gestión de incidentes, la capacitación continua del personal y el establecimiento de mecanismos de comunicación fluida con los stakeholders relevantes.

2. Creación de Marcos de Control: Es esencial implementar un marco de controles que aborde la seguridad, la continuidad del negocio y la recuperación ante desastres. Esto debe incluir pruebas regulares de resiliencia operativa, que permitan validar los sistemas y procedimientos existentes.

3. Documentación y Evidencias: Durante auditorías o inspecciones, las entidades deben estar preparadas para presentar evidencia que respalde su cumplimiento. Esto puede incluir informes de incidentes, registros de formación, y resultados de pruebas de resiliencia.

4. Buenas Prácticas: Mantener contacto continuo con las autoridades de supervisión y participar activamente en foros de discusión sectoriales sobre ciberseguridad y gestión de riesgos. El intercambio de buenas prácticas con otras entidades también es fundamental para reforzar las estrategias de resiliencia.

Conclusión

El Reglamento UE DORA plantea una serie de requisitos de cumplimiento que son esenciales para fortalecer la resiliencia operativa digital de las entidades financieras. Es imperativo adoptar un enfoque estructurado y continuo para la gestión del riesgo TIC, que no solo cumpla con las exigencias regulatorias, sino que también contribuya a una cultura organizativa proactiva y consciente del riesgo.

Al final, la capacidad de una entidad para responder a incidentes y mantener la continuidad operativa en un entorno digital incierto es un reflejo de su compromiso con la resiliencia. Por ello, es esencial implementar un marco eficaz que garantice la seguridad de los activos tecnológicos y la confianza de los clientes.