Responsabilidades del Consejo bajo DORA: De la Política a las Decisiones

Comprenda quién tiene la responsabilidad que describe DORA

El punto de partida es la entidad jurídica regulada. El alcance y las exclusiones de DORA aparecen en Artículo 2, mientras que el artículo 3(30) asocia el término “órgano de administración” a las disposiciones sectoriales y nacionales aplicables. Un cargo comercial por sí solo no determina esa correspondencia. Registre qué órgano u órganos cumplen las funciones relevantes en su organización.

En el marco general, Artículo 5(2) sitúa el marco de gestión de riesgos TIC en el órgano de administración, incluida la responsabilidad última sobre el riesgo TIC de la entidad. Esto es compatible con que los especialistas realicen el trabajo. La cuestión práctica es si el consejo puede demostrar que estableció expectativas, recibió información adecuada, cuestionó carencias y siguió las decisiones importantes hasta el final.

Este artículo se centra en ese marco general. Las entidades del artículo 16 siguen un régimen simplificado en vez de los artículos 5–15; las disposiciones de gobernanza de ese régimen se desarrollan en Artículo 28 del Reglamento Delegado 2024/1774. Confirme el régimen aplicable antes de convertir esta guía en un registro interno de obligaciones.

Las estructuras de grupo requieren la misma claridad. Una matriz puede ofrecer operaciones de seguridad, compras o experiencia en políticas. La filial sigue necesitando una visión utilizable de los servicios de los que depende, los riesgos que asume y las decisiones que debe tomar su propio órgano de gobierno. “El grupo lo gestiona” es una explicación incompleta de la responsabilidad.

Considere la aprobación como el inicio de la supervisión.

El artículo 5 cubre responsabilidades como la estrategia de resiliencia y la tolerancia al riesgo TIC, la continuidad y la recuperación, la planificación de auditorías, los recursos, la política de terceros y los canales de reporte. Consulta la asignación precisa en Artículo 5(2)(c)–(i). Lo siguiente es nuestra forma práctica de organizar el trabajo resultante, no un sustituto de la disposición.

Para cada aprobación significativa, conserva un breve registro de decisión con tres partes vinculadas: lo que aprobó el consejo, los supuestos en los que se basó y la evidencia que espera recibir a continuación. Una aprobación de estrategia debe traducirse en avances respecto a las prioridades. Una aprobación de plan de recuperación debe materializarse en una capacidad probada. Una aprobación presupuestaria debe traducirse en personas, servicios o controles que realmente aborden la exposición identificada.

Por ejemplo, aprobar un plan de remediación de seis meses sin preguntar quién realizará el trabajo crea un problema previsible. Si los dos mismos especialistas ya están comprometidos con una migración esencial, el plan puede ser inviable. Solicita los supuestos de capacidad antes de aprobar y registra el compromiso. Una fecha revisada realista con un control temporal explícito es más útil que una fecha aspiracional que nadie puede cumplir.

Separe los asuntos a decidir de los informativos. Todo documento que requiera una decisión debe exponer la acción propuesta, alternativas viables, consecuencias del retraso, incertidumbres no resueltas y la fecha límite de decisión. Esto facilita a los directivos cuestionar la recomendación sin involucrarse en todos los detalles técnicos de la implementación.

Usa una matriz de derechos de decisión para eliminar ambigüedades

Acordar quién prepara, desafía, decide y verifica cada cuestión relevante. Adapte este ejemplo a su estructura legal, materias reservadas y términos del comité. “Consejo” a continuación se refiere al órgano de gestión relevante en dicha estructura; no significa que toda decisión operativa deba esperar a una reunión plena.

Las funciones de riesgo y cumplimiento deberían poder cuestionar la propuesta sin poseer todos los controles operativos. Auditoría interna debe mantener la independencia propia de su función. No hagas que un comité implemente una solución y sea también la única garantía de su eficacia.

Pruebe la matriz en una decisión real inminente. Si un contrato de proveedor debe renovarse la próxima semana, ¿todos saben quién puede aprobarlo, quién puede exigir condiciones y quién asume la exposición residual? Resuelva las respuestas contradictorias antes de que un incidente o plazo comercial las exponga.

Traduce la tolerancia al riesgo en decisiones sobre los servicios

Una declaración de “bajo apetito por el riesgo cibernético” no indica a un directivo cómo elegir entre proyectos contrapuestos. Pide que la dirección relacione la afirmación con los servicios, consecuencias para el cliente, expectativas de control y escalado. Mantén clara la distinción entre un resultado deseado y una capacidad demostrada.

Pongamos el ejemplo de una firma de inversión ficticia que está considerando una nueva plataforma de informes para clientes. La dirección propone un objetivo de recuperación basado en el material de marketing del proveedor. El consejo debe preguntar si el objetivo cubre todo el servicio de informes: datos fuente, autenticación, conciliación, acceso de personal y distribución al cliente. Si solo se ha probado la plataforma, registre las dependencias no probadas y la decisión que estas afectan.

Preguntas de contraste útiles incluyen:

• ¿Qué daño se desarrolla si el servicio no está disponible o sus datos no son fiables?
• ¿Qué suposiciones se han demostrado y cuáles siguen siendo estimaciones?
• ¿Qué se puede continuar de forma segura mientras el servicio principal está degradado?
• ¿Qué evento requeriría escalada o una decisión operativa diferente?
• ¿Quién puede aceptar el riesgo residual, durante cuánto tiempo y con qué condiciones?

Define límites concretos para las excepciones. Una excepción limitada en el tiempo puede identificar el servicio afectado, motivo, salvaguardas interinas, responsable, vencimiento y las circunstancias que exijan reconsideración anticipada. Ampliaciones repetidas deberían motivar un debate sobre la credibilidad del plan original. Un registro de excepciones sirve como herramienta de decisión solo si alguien actúa sobre él.

Cuestionar si el presupuesto puede lograr el resultado prometido

Artículo 5(2)(g) aborda los recursos apropiados y la revisión periódica del presupuesto. En términos prácticos, un presupuesto aporta más información cuando conecta el gasto con un resultado que cuando simplemente etiqueta un gasto como “DORA” o “ciberseguridad”. Pide a la dirección que explique el riesgo tratado, la dependencia en la entrega y la evidencia de la mejora.

Compara estas propuestas: “Comprar un producto nuevo de copia de seguridad” y “Demostrar que el servicio de atención al cliente puede restaurarse con datos conciliados usando un entorno de recuperación aislado”. La segunda permite preguntar por personas, tiempo de prueba, integración y validación de negocio. El producto puede ser necesario, pero comprarlo no equivale a lograr el resultado.

Un documento de inversión útil debe mostrar:

1. El servicio y la exposición que justifican el trabajo.
2. El resultado y la forma en que se verificará.
3. Costes puntuales y recurrentes, incluidos tiempo de personal y soporte del proveedor.
4. Dependencias de otros proyectos y habilidades escasas.
5. La exposición residual si la propuesta se retrasa o reduce.
6. La persona que confirmará que el beneficio se ha entregado.

Incluya ejercicios de aprendizaje y toma de decisiones en la planificación de recursos. Un plan puede fallar porque el personal no sabe cómo activarlo, incluso si la tecnología subyacente funciona. Igualmente, la formación no puede compensar la ausencia de un control técnico. Mantenga estas necesidades conectadas aunque se midan por separado.

Mantén la propiedad cuando un proveedor preste el servicio

La externalización cambia el modelo de prestación; no exime a la entidad de sus responsabilidades. Para las entidades sujetas a estos requisitos de política, Artículo 3 del Reglamento Delegado 2024/1773 requiere una gobernanza clara para los acuerdos pertinentes y al menos una revisión anual por parte del órgano de administración de la política de servicios TIC que prestan soporte a funciones críticas o importantes. Consulte las excepciones en DORA Artículo 28(2), incluidas las microempresas. Esta frecuencia de revisión de políticas específica no debe confundirse con una frecuencia universal para toda la formación del consejo de administración.

Para una dependencia material, solicite una breve explicación centrada en el servicio. ¿Qué perderían los clientes si el proveedor fallase? ¿Qué otros servicios dependen de la misma infraestructura o subcontrata? ¿Cómo obtendrá la organización información, mantendrá el control y recuperará sus datos? ¿Qué implica la salida en la práctica?

Considera una propuesta de renovación ficticia con un descuento considerable a cambio de un compromiso más largo. La dirección tiene derecho contractual a exportar los datos, pero nunca ha importado esa exportación en otro entorno funcional. El consejo no necesita diseñar la migración. Debe preguntar si la afirmación de la posibilidad de salida es creíble y si la renovación debería depender de validar los datos, estimar la capacidad de transición o reducir otra concentración.

Distinguir documentos de proveedores de sus propias conclusiones. Una certificación o informe de aseguramiento puede respaldar la debida diligencia, pero compruebe su alcance, periodo de reporte, exclusiones y relevancia para el servicio. Registre quién evaluó el documento y qué queda pendiente.

El del BCE Prioridades de supervisión 2026–28 identifica la resiliencia operativa y las capacidades TIC como prioridades bancarias y resalta que la supervisión de proveedores críticos complementa la propia gestión de riesgos de terceros de los bancos. Estas son prioridades de supervisión bancaria, no implica que todas las entidades financieras reciban el mismo tratamiento supervisor.

Define la autoridad en caso de crisis antes de que llegue la crisis

Decida por adelantado cómo recibe el consejo de administración la información relevante y qué puede hacer la dirección de inmediato. Un incidente no debe exponer un desacuerdo sobre quién puede restringir un servicio, autorizar un gasto de emergencia o emitir una actualización a clientes. El equipo operativo también necesita vías claras para la notificación regulatoria según los procedimientos aplicables.

Solicita actualizaciones concisas con cuatro elementos: qué se sabe, qué sigue siendo incierto, qué acción está en marcha y qué decisión se requiere. Evita pedir un plazo de recuperación confiado si las pruebas no lo sustentan. Pregunta por el siguiente hito de verificación y cuándo la dirección informará con mejores datos.

Una decisión de recuperación debe abordar la integridad del servicio además de la disponibilidad. Una aplicación accesible aún puede contener registros ausentes, duplicados o inconsistentes. Pregunta quién valida el resultado de negocio, qué conciliaciones quedan pendientes y qué restricciones protegen a los clientes durante la recuperación parcial.

Evalúe la gobernanza mediante un ejercicio. Simule la pérdida del canal habitual de reuniones, la ausencia de un ejecutivo y actualizaciones contradictorias del proveedor. Observe si los delegados autorizados pueden actuar y si se mantiene un registro de la decisión. Este es un diseño de ejercicio sugerido; no sustituye las pruebas técnicas y demás disposiciones requeridas según el marco aplicable.

Después, asigne cada hallazgo relevante a un responsable y especifique la evidencia necesaria para su cierre. “Procedimiento actualizado” puede cerrar una cuestión documental. No cierra una incapacidad de restaurar el servicio a menos que la capacidad pertinente también haya sido demostrada.

Dirige una reunión que produzca decisiones y un registro utilizable

Una agenda concisa puede ser más útil que una larga presentación técnica. El ejemplo inferior es una propuesta de sesión de gobernanza recurrente; su frecuencia debe ajustarse según sus riesgos, obligaciones aplicables y la estructura del comité.

1. Revisa los cambios desde la última reunión: exposición del servicio, incidentes materiales y dependencias.
2. Examine la mayor brecha entre la capacidad esperada y la demostrada.
3. Decida sobre excepciones, recursos o prioridades que superen la autoridad delegada.
4. Cuestionar las acciones atrasadas y las prórrogas recurrentes.
5. Confirma la siguiente evidencia a presentar y cualquier aprendizaje necesario.

Las actas deben explicar los debates relevantes sin ser una transcripción literal. Registre la información considerada, la incertidumbre reconocida, las alternativas analizadas, la decisión y sus condiciones. Incluya un responsable y fecha de revisión. Evite frases genéricas como que el consejo "tomó nota de la actualización de ciberseguridad" cuando en realidad se aceptó un riesgo significativo.

Ejemplo ilustrativo de decisión: El consejo revisó los resultados de la prueba de recuperación del servicio de informes al cliente. La aplicación fue restaurada, pero la conciliación empresarial no se completó en el plazo previsto. La dirección mantendrá el control manual provisional, validará su capacidad y realizará una nueva prueba de extremo a extremo. El directivo de operaciones se encarga de la acción; la siguiente fecha de revisión queda registrada en el libro de acciones.

Este ejemplo es deliberadamente factual. No etiqueta a la organización como conforme ni afirma que el problema haya desaparecido. Muestra claramente la cuestión pendiente y el siguiente paso. Para elegir la información que respalda una reunión así, utilice nuestro Guía del cuadro de mando de informes al consejo bajo DORA.

Mejorar el ciclo de gobernanza en los próximos 90 días

Utiliza este plan de mejora junto con las obligaciones actuales; no es un permiso para aplazar un deber existente. Comienza por la carencia que implique el mayor riesgo inmediato de decisión.

Evalúe la calidad del cierre. Seleccione tres acciones finalizadas y consulte si las pruebas presentadas abordan la observación original. Si una acción sólo genera un documento mientras el riesgo persiste, reabra el debate. Seleccione una excepción aceptada y compruebe que su fecha de expiración, condiciones y responsable siguen siendo adecuados.

Por último, asegúrate de que los directores comprendan el material que se espera que cuestionen. Nuestro guía sobre los requisitos de formación de los consejos según DORA explica cómo estructurar el aprendizaje basado en roles. Curso de Formación para Consejos y Ejecutivos DORA ofrece un programa guiado por decisiones de aproximadamente tres horas de estudio tutorizado distribuidas en ocho módulos. Añada sus propios acuerdos de gobernanza y ejercicios de decisión; completar el curso no supone acreditación ni una determinación de cumplimiento.