Responsabilidades del órgano de administración según DORA: de las políticas a las decisiones

Comprenda quién tiene la responsabilidad que describe DORA

El punto de partida es la entidad jurídica regulada. El alcance y las exclusiones de DORA aparecen en el artículo 2, mientras que el artículo 3, punto 30, define el «órgano de dirección» conforme a las disposiciones de gobernanza sectoriales y nacionales aplicables. La denominación de un puesto en la empresa no basta para determinar esa función. Documente qué órgano u órganos la ejercen en su organización.

En el marco general, el artículo 5, apartado 2 atribuye al órgano de dirección la responsabilidad del marco de gestión del riesgo relacionado con las TIC, incluida la responsabilidad última sobre ese riesgo en la entidad. Los especialistas pueden ejecutar el trabajo. Lo que el consejo debe poder demostrar es que fijó expectativas, recibió información suficiente, examinó críticamente las carencias y siguió la ejecución de las decisiones importantes.

Este artículo se centra en ese marco general. Las entidades del artículo 16 siguen un régimen simplificado en vez de los artículos 5–15; las disposiciones de gobernanza de ese régimen se desarrollan en el artículo 28 del Reglamento Delegado 2024/1774. Confirme el régimen aplicable antes de convertir esta guía en un registro interno de obligaciones.

Las estructuras de grupo requieren la misma claridad. Una matriz puede ofrecer operaciones de seguridad, compras o experiencia en políticas. La filial sigue necesitando una visión utilizable de los servicios de los que depende, los riesgos que asume y las decisiones que debe tomar su propio órgano de gobierno. “El grupo lo gestiona” es una explicación incompleta de la responsabilidad.

Considere la aprobación como el inicio de la supervisión

El artículo 5 abarca responsabilidades relativas a la estrategia de resiliencia y la tolerancia al riesgo TIC, la continuidad y recuperación, la planificación de auditorías, los recursos, la política sobre terceros y los canales de información. Consulte la distribución precisa en el artículo 5, apartado 2, letras c) a i). Lo siguiente es nuestra forma práctica de organizar el trabajo resultante, no un sustituto de la disposición.

Para cada aprobación importante, conserve un breve registro que conecte tres elementos: lo autorizado por el consejo, los supuestos en los que se apoyó y las pruebas que espera recibir después. Aprobar una estrategia debería producir avances en sus prioridades. Aprobar un plan de recuperación debería llevar a una capacidad de recuperación comprobada. Aprobar un presupuesto debería proporcionar personas, servicios o controles que reduzcan realmente la exposición identificada.

Aprobar un plan correctivo de seis meses sin preguntar quién lo ejecutará crea un problema previsible. Si los mismos dos especialistas ya están ocupados con una migración esencial, el plan puede ser inviable. Antes de aprobarlo, pida los supuestos sobre disponibilidad de personal y tiempo, y documente la decisión y sus contrapartidas. Una nueva fecha realista, acompañada de una medida de protección temporal explícita, resulta más útil que una fecha que nadie puede cumplir.

Separe los asuntos a decidir de los informativos. Todo documento que requiera una decisión debe exponer la acción propuesta, alternativas viables, consecuencias del retraso, incertidumbres no resueltas y la fecha límite de decisión. Esto facilita a los directivos cuestionar la recomendación sin involucrarse en todos los detalles técnicos de la implementación.

Aclare las facultades de decisión con una matriz

Acuerde quién prepara cada propuesta importante, quién la examina críticamente, quién decide y quién comprueba su ejecución. Adapte este ejemplo a su estructura jurídica, las materias reservadas a cada órgano y las normas de sus comités. Aquí, «consejo» designa el órgano de dirección competente; no implica que toda decisión operativa deba esperar a una reunión del consejo al completo.

Las funciones de riesgos y cumplimiento deben poder cuestionar una propuesta sin ser responsables de todos los controles operativos. Auditoría interna debe conservar la independencia propia de su función. No encargue a un mismo comité tanto la ejecución de una corrección como la verificación exclusiva de su eficacia.

Pruebe la matriz en una decisión real inminente. Si un contrato de proveedor debe renovarse la próxima semana, ¿todos saben quién puede aprobarlo, quién puede exigir condiciones y quién asume la exposición residual? Resuelva las respuestas contradictorias antes de que un incidente o plazo comercial las exponga.

Traduzca la tolerancia al riesgo en decisiones sobre los servicios

Declarar un «bajo apetito por el riesgo cibernético» no indica a un directivo cómo elegir entre proyectos que compiten por los mismos recursos. Pida a la dirección que relacione esa declaración con los servicios, las consecuencias para los clientes, los controles esperados y los criterios para elevar las decisiones al nivel adecuado. Distinga siempre entre el resultado deseado y la capacidad demostrada.

Pongamos el ejemplo de una firma de inversión ficticia que está considerando una nueva plataforma de informes para clientes. La dirección propone un objetivo de recuperación basado en el material de marketing del proveedor. El consejo debe preguntar si el objetivo cubre todo el servicio de informes: datos fuente, autenticación, conciliación, acceso de personal y distribución al cliente. Si solo se ha probado la plataforma, registre las dependencias no probadas y la decisión que estas afectan.

Estas preguntas ayudan a examinar las propuestas:

• ¿Qué daños se producirían si el servicio no estuviera disponible o sus datos no fueran fiables?
• ¿Qué suposiciones se han demostrado y cuáles siguen siendo estimaciones?
• ¿Qué se puede continuar de forma segura mientras el servicio principal está degradado?
• ¿Qué hecho obligaría a elevar la cuestión al nivel competente o a cambiar la decisión operativa?
• ¿Quién puede aceptar el riesgo residual, durante cuánto tiempo y con qué condiciones?

Establezca límites concretos para las excepciones. Una excepción temporal puede identificar el servicio afectado, la justificación, las medidas provisionales, el responsable, el vencimiento y las circunstancias que exigen revisarla antes. Las prórrogas repetidas deberían abrir un debate sobre la viabilidad del plan original. Un registro de excepciones solo ayuda a decidir si alguien actúa a partir de su contenido.

Compruebe si el presupuesto permite alcanzar el resultado prometido

El artículo 5, apartado 2, letra g) aborda la adecuación de los recursos y la revisión periódica del presupuesto. Un presupuesto resulta más útil cuando vincula el gasto con un resultado que cuando solo lo etiqueta como «DORA» o «ciberseguridad». Pida a la dirección que explique el riesgo que se pretende reducir, las dependencias para ejecutar el trabajo y las pruebas esperadas de mejora.

Compare «Comprar un producto de copias de seguridad» con «Demostrar que el servicio ofrecido a los clientes se puede recuperar con datos conciliados en un entorno aislado». La segunda propuesta permite preguntar por el personal, el tiempo de pruebas, la integración y la validación por las áreas de negocio. El producto puede ser necesario, pero comprarlo no equivale a obtener el resultado.

Un documento de inversión útil debe mostrar:

1. El servicio y la exposición que justifican el trabajo.
2. El resultado y la forma en que se verificará.
3. Costes puntuales y recurrentes, incluidos tiempo de personal y soporte del proveedor.
4. Dependencias de otros proyectos y de competencias difíciles de encontrar.
5. La exposición residual si la propuesta se retrasa o reduce.
6. La persona que confirmará que se ha obtenido el beneficio previsto.

Incluya ejercicios de aprendizaje y toma de decisiones en la planificación de recursos. Un plan puede fallar porque el personal no sabe cómo activarlo, incluso si la tecnología subyacente funciona. Igualmente, la formación no puede compensar la ausencia de un control técnico. Mantenga estas necesidades conectadas aunque se midan por separado.

Conserve la responsabilidad aunque un proveedor preste el servicio

La externalización cambia el modelo de prestación; no exime a la entidad de sus responsabilidades. Para las entidades sujetas a estos requisitos de política, el artículo 3 del Reglamento Delegado 2024/1773 requiere una gobernanza clara para los acuerdos pertinentes y al menos una revisión anual por parte del órgano de administración de la política de servicios TIC que prestan soporte a funciones críticas o importantes. Consulte las excepciones en el artículo 28, apartado 2, de DORA, incluidas las aplicables a las microempresas. Esta frecuencia de revisión corresponde a una política concreta; no establece una frecuencia universal para toda la formación del consejo.

Ante una dependencia importante, pida una explicación breve centrada en el servicio. ¿Qué perderían los clientes si fallara el proveedor? ¿Qué otros servicios dependen de la misma infraestructura o del mismo subcontratista? ¿Cómo obtendrá su organización información, conservará el control y recuperará sus datos? ¿Qué exigiría en la práctica dejar de utilizar al proveedor?

Considere una propuesta ficticia de renovación que ofrece un descuento importante a cambio de un compromiso más largo. La dirección tiene derecho a exportar los datos, pero nunca ha probado a importarlos en otro entorno funcional. El consejo no necesita diseñar la migración. Debe preguntar si la posibilidad de salida es creíble y si el acuerdo debería condicionarse a validar los datos, estimar los recursos necesarios para la transición o reducir otro riesgo de concentración.

Distinga la documentación del proveedor de sus propias conclusiones. Una certificación o un informe de aseguramiento puede apoyar la diligencia debida, pero revise su alcance, periodo cubierto, exclusiones y relevancia para el servicio. Documente quién lo evaluó y qué cuestiones siguen pendientes.

Las prioridades de supervisión del BCE para 2026–2028 sitúan la resiliencia operativa y las capacidades TIC entre las prioridades bancarias. También subrayan que la vigilancia de los proveedores críticos complementa la gestión del riesgo de terceros que realizan los propios bancos. Son prioridades de supervisión bancaria; no significan que todas las entidades financieras reciban el mismo tratamiento supervisor.

Defina las facultades de decisión antes de la crisis

Decida por adelantado cómo recibe el consejo de administración la información relevante y qué puede hacer la dirección de inmediato. Un incidente no debe exponer un desacuerdo sobre quién puede restringir un servicio, autorizar un gasto de emergencia o emitir una actualización a clientes. El equipo operativo también necesita vías claras para la notificación regulatoria según los procedimientos aplicables.

Pida actualizaciones breves con cuatro elementos: qué se sabe, qué sigue siendo incierto, qué se está haciendo y qué decisión hace falta. No exija un plazo de recuperación seguro si las pruebas no permiten afirmarlo. Pregunte qué se va a verificar a continuación y cuándo podrá la dirección aportar información más sólida.

La decisión de recuperar un servicio debe considerar su integridad además de su disponibilidad. Una aplicación accesible todavía puede contener registros ausentes, duplicados o incoherentes. Pregunte quién valida el resultado para el negocio, qué conciliaciones quedan pendientes y qué restricciones protegen a los clientes durante la recuperación parcial.

Evalúe la gobernanza mediante un ejercicio. Simule la pérdida del canal habitual de reuniones, la ausencia de un ejecutivo y actualizaciones contradictorias del proveedor. Observe si los delegados autorizados pueden actuar y si se mantiene un registro de la decisión. Este es un diseño de ejercicio sugerido; no sustituye las pruebas técnicas y demás disposiciones requeridas según el marco aplicable.

Después, asigne cada hallazgo relevante a un responsable y especifique la evidencia necesaria para su cierre. “Procedimiento actualizado” puede cerrar una cuestión documental. No cierra una incapacidad de restaurar el servicio a menos que la capacidad pertinente también haya sido demostrada.

Dirija una reunión que produzca decisiones y un acta útil

Una agenda concisa puede ser más útil que una larga presentación técnica. El ejemplo inferior es una propuesta de sesión de gobernanza recurrente; su frecuencia debe ajustarse según sus riesgos, obligaciones aplicables y la estructura del comité.

1. Revise los cambios desde la última reunión: exposición de los servicios, incidentes importantes y dependencias.
2. Examine la mayor brecha entre la capacidad esperada y la demostrada.
3. Decida sobre excepciones, recursos o prioridades que superen la autoridad delegada.
4. Pida explicaciones sobre las acciones atrasadas y las prórrogas repetidas.
5. Confirme las pruebas que se presentarán en la siguiente reunión y las necesidades de formación.

Las actas deben explicar los debates relevantes sin ser una transcripción literal. Registre la información considerada, la incertidumbre reconocida, las alternativas analizadas, la decisión y sus condiciones. Incluya un responsable y fecha de revisión. Evite frases genéricas como que el consejo "tomó nota de la actualización de ciberseguridad" cuando en realidad se aceptó un riesgo significativo.

Ejemplo de decisión documentada: el consejo examinó los resultados de la prueba de recuperación del servicio de informes a clientes. La aplicación se recuperó, pero la conciliación de los datos no terminó en el plazo previsto. La dirección mantendrá la comprobación manual provisional, validará su capacidad y presentará los resultados de una nueva prueba de todo el proceso. El directivo de operaciones responde de la acción; la fecha de la próxima revisión figura en el registro de acciones.

Este ejemplo se ciñe a los hechos. No declara que la organización cumple todos los requisitos ni que el problema haya desaparecido. Deja clara la cuestión pendiente y el siguiente paso. Para seleccionar la información útil para una reunión así, consulte nuestra guía del cuadro de mando DORA para el consejo.

Mejore el ciclo de gobernanza durante los próximos 90 días

Utilice este plan de mejora junto con sus obligaciones actuales; no permite aplazar ninguna obligación ya vigente. Empiece por la carencia que genere el riesgo más inmediato para la toma de decisiones.

Evalúe la calidad del cierre. Seleccione tres acciones finalizadas y consulte si las pruebas presentadas abordan la observación original. Si una acción sólo genera un documento mientras el riesgo persiste, reabra el debate. Seleccione una excepción aceptada y compruebe que su fecha de expiración, condiciones y responsable siguen siendo adecuados.

Por último, asegúrese de que los miembros del consejo comprenden los materiales que deben examinar críticamente. Nuestra guía sobre los requisitos de formación de los consejos según DORA explica cómo adaptar la formación a las responsabilidades de cada persona. El curso « Formación DORA en ciberseguridad para administradores y directivos » ofrece un programa guiado por decisiones de aproximadamente tres horas de estudio tutorizado distribuidas en ocho módulos. Añada sus propios acuerdos de gobernanza y ejercicios de decisión; completar el curso no supone acreditación ni una determinación de cumplimiento.