Riesgo TIC de Terceros en DORA: Guía de Supervisión para el Consejo

1. Empiece por el servicio que la empresa debe seguir prestando

Un informe de compras normalmente comienza con proveedores, gasto anual y fechas de renovación. Una discusión útil de DORA en el consejo comienza con un resultado del cliente: abonar un siniestro, ejecutar un pago, mantener un registro de inversión o dar acceso a una cuenta. Luego, retrocede por los sistemas, servicios externos y personas necesarios para lograr ese resultado.

Esto cambia la pregunta de «¿Hemos evaluado a nuestro proveedor cloud?» a «¿Qué ocurre con este servicio si la plataforma de identidad, la región de hosting o el proveedor de soporte no están disponibles?». La segunda pregunta revela dependencias que una ficha de proveedor puede pasar por alto. Un servicio de autenticación económico puede detener más actividad que un gran contrato de software.

El punto de partida legal es que el uso de servicios TIC no transfiere las obligaciones de la entidad financiera a su proveedor. DORA sitúa el riesgo de terceros TIC dentro del marco de gestión de riesgos de la entidad. Véase Artículo 28 del Reglamento (UE) 2022/2554. Las interpretaciones y métodos de trabajo de esta guía son sugerencias prácticas; no constituyen una declaración exhaustiva de todos los requisitos aplicables a todos los tipos de entidades.

Para un documento dirigido al consejo, pida al patrocinador ejecutivo que identifique el servicio empresarial afectado, el responsable interno, la interrupción tolerable, la exposición actual y la decisión requerida. Mantenga el detalle técnico en material de apoyo. Los consejeros necesitan suficiente detalle para cuestionar una hipótesis, sin convertirse en el equipo de incidentes ni negociar cada cláusula contractual.

2. No confundas una función crítica con un proveedor crítico designado

Dos evaluaciones responden a preguntas diferentes. Su entidad determina qué funciones son críticas o importantes dentro del marco DORA. Las Autoridades Europeas de Supervisión designan proveedores críticos de servicios TIC para el marco de supervisión de la Unión. ESMA explica que esta supervisión complementa las propias responsabilidades de las entidades financieras; no las reemplaza. Véase Explicación de la supervisión de DORA por ESMA.

Aplica esta distinción a un proveedor especializado pequeño. Puede apoyar tu única vía para un servicio financiero importante sin aparecer en la lista de proveedores designados. Del mismo modo, adquirir un servicio menor de un gran proveedor designado no elimina la necesidad de valorar su uso real. Guarda estas dos clasificaciones por separado para evitar que un campo “crítico: sí/no” engañoso condicione todas las decisiones posteriores.

3. Haz que el registro sea completo, conectado y explicable

El registro no se limita a los contratos que respaldan funciones críticas o importantes. El artículo 28(3) cubre todos los acuerdos contractuales para servicios TIC prestados por proveedores TIC terceros, distinguiendo los acuerdos que respaldan esas funciones. Reglamento de Ejecución (UE) 2024/2956 proporciona las plantillas estándar, incluyendo información adicional de evaluación y de la cadena de suministro relevante para funciones críticas o importantes.

Una verificación práctica de integridad comienza comparando el registro con los documentos de compras, pagos recurrentes, inventario de aplicaciones y el conocimiento de los responsables de servicio. Las diferencias son elementos a investigar, no evidencia automática de una brecha: una factura puede corresponder a un servicio no TIC o varias facturas pertenecer a un solo acuerdo. Documenta la conclusión en lugar de descartar el desajuste en silencio.

Pida a alguien ajeno al equipo de mantenimiento del registro que siga una dependencia de principio a fin. ¿Pueden identificar la entidad contratante, usuario real del servicio, proveedor, función soportada, responsable actual y contrato vigente? ¿Pueden distinguir un acuerdo externo del acuerdo interno relacionado del grupo? Si los enlaces no pueden explicarse, exportar un archivo técnicamente válido no ha resuelto el problema de gestión.

• Asigne un responsable designado a las preguntas sin resolver sobre clasificación y propiedad.
• Registrar la fecha y el motivo de un cambio, especialmente tras adquisiciones o migraciones de servicios.
• Concilie los cambios cuando se apruebe un nuevo servicio, no solo antes de una fecha límite de envío.
• Muestra las brechas de cobertura y su antigüedad a los ejecutivos, en vez de presentar solo un recuento total de proveedores.

El consejo no necesita aprobar cada fila de la hoja de cálculo. Debe confiar en que hay un responsable de la integridad, que la incertidumbre es visible y que las dependencias importantes reciben la atención adecuada.

4. Convierte la política de terceros en filtros de decisión

Una política resulta útil cuando cambia una decisión antes de que la organización se vuelva dependiente. Para las entidades sujetas a los requisitos políticos pertinentes, Reglamento Delegado (UE) 2024/1773 aborda el ciclo de vida de los acuerdos que respaldan funciones críticas o importantes. Requiere la revisión de la política por el órgano de administración al menos una vez al año y su actualización cuando sea necesario. Se debe comprobar la aplicabilidad y proporcionalidad respecto a la categoría regulatoria de la entidad.

Las puertas de control siguientes son un modelo operativo sugerido. Antes de la selección, el responsable de negocio describe el servicio y las consecuencias del fallo. Antes de la firma, riesgos, seguridad, legal y compras identifican juntos los problemas sin resolver. Antes de entrar en producción, operaciones demuestra que existen monitorización, soporte y acuerdos de recuperación. En la renovación o cambio material, el responsable reevalúa si siguen vigentes los supuestos originales.

En cada fase, separe tres declaraciones: evidencia obtenida, juicio realizado y excepción aceptada. El informe de garantía de un proveedor es evidencia. Concluir que cubre adecuadamente su uso del servicio es un juicio. Proceder pese a una brecha no resuelta es una excepción que requiere una decisión autorizada, condiciones y una fecha de expiración.

No permitas que cada problema acabe siendo “aceptado por la organización”. Identifica quién tiene autoridad para aceptar cada exposición según la gobernanza de la organización. Escala las dependencias cuyas consecuencias exceden esa autoridad. La contribución más valiosa del consejo puede ser financiar una capacidad de recuperación que falta o rechazar un lanzamiento apresurado cuyas suposiciones de resiliencia no se hayan probado.

5. Cuestiona la concentración más allá del gráfico de gasto en proveedores

La concentración trata tanto del fallo correlacionado como de la dependencia comercial. Dos contratos con nombres de compañías diferentes pueden depender de la misma plataforma de alojamiento, proveedor de conectividad, servicio de identidad o subcontratista especializado. Dos regiones en la nube pueden compartir aún el plano de administración. Estas son cuestiones arquitectónicas que un gráfico de compras no puede responder.

DORA Artículo 29 aborda la evaluación del riesgo de concentración de TIC. Para un debate práctico del consejo, solicita a la dirección que presente unos pocos fallos de dependencia creíbles y muestre qué servicios de negocio fallan conjuntamente. Haz visibles las suposiciones: disponibilidad de personal, acceso a claves, conectividad, coherencia de datos y capacidad en la alternativa propuesta.

Varios proveedores también pueden incrementar la complejidad, el coste operativo y el riesgo de coordinación. El objetivo no es prohibir siempre la concentración ni requerir infraestructuras duplicadas en todos los casos. Se trata de una decisión informada sobre una exposición específica, respaldada por opciones creíbles y un responsable claro. Registre por qué la mitigación elegida es proporcionada y qué suceso motivaría su revisión.

6. Revisa evidencias contractuales respecto al servicio que utilizas realmente

Una etiqueta que diga «Addendum DORA firmado» es demasiado imprecisa para una supervisión eficaz. Artículo 30 establece requisitos contractuales, con disposiciones adicionales para servicios TIC que soportan funciones críticas o importantes. Los asesores legales deben asignar los requisitos aplicables al acuerdo real. La comparación siguiente es una herramienta de análisis práctico, no una redacción contractual sustitutiva.

Lea los informes de aseguramiento teniendo en cuenta sus límites. ¿Qué periodo cubren? ¿Qué configuración del servicio fue evaluada? ¿Se asumen responsabilidades del cliente? ¿El informe excluye algún componente del que dependa su plan de recuperación? Un certificado vigente puede ser útil sin resolver una cuestión operativa concreta.

Mantén un registro conciso de brechas que vincule cada incidencia con una consecuencia para el negocio, medida compensatoria, responsable y fecha de vencimiento. Lleva a la junta las exposiciones irresueltas y las decisiones que excedan la autoridad delegada. Evita ocultar una brecha importante bajo un alto porcentaje de cláusulas marcadas como completas: una sola capacidad ausente puede ser más relevante que cerrar muchos asuntos de bajo impacto.

7. Prueba si el plan de salida se puede ejecutar

Un derecho contractual a salir y una capacidad operativa para salir son activos distintos. Las disposiciones de salidas de DORA para servicios que apoyan funciones críticas o importantes aparecen en Artículo 28(8). En la práctica, el consejo debería cuestionar los supuestos en los que se basa el plan: destino, datos, personas, tiempo, dinero y prestación continuada del servicio.

Separe una migración planificada de una interrupción de emergencia. Un programa de migración de seis meses puede ser realista a nivel comercial pero inútil como respuesta inmediata a una caída de servicio. El plan de recuperación puede mantener el servicio en funcionamiento mientras el plan de salida aborda la dependencia a largo plazo. Solicite a la dirección que explique la relación en lugar de presentar cualquiera de los documentos como una solución universal.

1. Elige un servicio representativo y define el desencadenante de salida.
2. Exporte una muestra controlada de los datos requeridos con la protección adecuada.
3. Verifique que el destino pueda leer y conciliar los datos, no solo almacenar un archivo.
4. Verifica derechos de acceso, licencias, habilidades especializadas y soporte de transición contratado.
5. Mida el tiempo e identifique el trabajo manual, las dependencias ausentes y los supuestos no probados.
6. Update the cost, sequence, accountable owner and next test date.

Esta es una secuencia de pruebas sugerida, no una exigencia de migración descontrolada a producción. Seleccione pruebas seguras adecuadas para el servicio y documente sus límites. Si solo se probó una muestra pequeña, indíquelo. Si una alternativa no está lista, informe abiertamente de esa limitación y muestre la decisión de riesgo provisional. Un estado en verde nunca debe significar únicamente que existe un documento.

8. Utiliza un paquete de documentos breve para el consejo con las decisiones adjuntas

Un informe de supervisión útil puede estructurarse en torno a cinco preguntas: ¿qué ha cambiado?, ¿qué podría fallar conjuntamente?, ¿qué garantías se han debilitado?, ¿qué opciones quedan? y ¿qué decisión es necesaria? Esta es una estructura de informe sugerida. La frecuencia debe reflejar los riesgos y la gobernanza de la organización, no un calendario trimestral universal inventado como el de DORA.

Incluya el reducido número de dependencias con mayores consecuencias empresariales, los cambios recientes que las afectan, acciones materiales pendientes y la próxima decisión contractual o de migración relevante. Explique las tendencias. Un aumento en el número de proveedores puede reflejar una mejor cobertura del inventario y no necesariamente mayor exposición. Menos acciones abiertas puede reflejar una remediación genuina o un cambio en cómo se contabilizan las acciones.

• Relacione cada riesgo material con un servicio empresarial respaldado y un ejecutivo responsable.
• Distinguir la capacidad de recuperación probada de un objetivo o promesa del proveedor.
• Muestra excepciones contractuales, brechas de aseguramiento no resueltas y su antigüedad.
• Identifique cambios de concentración y suposiciones que requieran nueva evidencia.
• Indica la decisión solicitada, alternativas valoradas y la consecuencia de posponerla.

Utiliza el Guía del cuadro de mando de informes al consejo bajo DORA para relacionar estas medidas con una supervisión más amplia de los riesgos TIC. En un ejercicio práctico, toma una única dependencia de alto impacto en la ejercicio de mesa de respuesta a incidentes para la junta. El consejo debería reconocer los mismos nombres de servicios, responsables de riesgos y supuestos de recuperación en las tres conversaciones.

9. Prepara la próxima discusión en torno a una dependencia real

No empieces pidiendo a todos los equipos que rediseñen todos los informes. Elige un servicio importante y solicita una cadena de evidencias coherente: evaluación funcional, registro, contrato, revisión de garantías, prueba de recuperación y plan de salida. Pide a distintos responsables que lo recorran juntos. Identificadores en conflicto, supuestos obsoletos y acciones sin responsables quedarán rápidamente al descubierto.

Convierta los hallazgos en un plan breve de mejora. Primero resuelva carencias de propiedad e inventario. Después aborde decisiones que sean urgentes por renovación, migración o exposición. Finalmente, mejore el proceso de supervisión periódica para evitar que se repitan las mismas brechas. Asigne a cada acción un resultado verificable, no solo una instrucción para “mejorar la gobernanza”.

Los directores también necesitan entender su función de forma compartida. El guía sobre los requisitos de formación de los consejos según DORA explica cómo conectar el aprendizaje con las responsabilidades de gobernanza. De BlueTeam Academy Curso de Formación para Consejos y Ejecutivos DORA proporciona un programa guiado por decisiones para equipos de dirección de entidades financieras dentro del ámbito de DORA. El programa no es una evaluación del cumplimiento de la organización. Combine el aprendizaje con sus propias pruebas, decisiones y seguimientos específicos del servicio.