Los despachos de abogados también deben responder por su propio riesgo de proveedores
El régimen de supervisión de terceros críticos de DORA se aplica específicamente a entidades financieras y a los proveedores TIC designados como críticos para ese sector. Los despachos de abogados no están incluidos de forma directa. Sin embargo, el patrón que revela aplica igualmente a la dependencia de cualquier firma respecto a proveedores de nube y TI: la supervisión regulatoria de un proveedor, donde exista, nunca transfiere la responsabilidad de la firma sobre esa relación.
Algunas firmas que observan este desarrollo asumen que, como no están reguladas de la misma manera, la lección de fondo tampoco aplica para ellas. Esa suposición es el error que este artículo aborda: el riesgo de concentración en un pequeño grupo de proveedores críticos es una característica estructural de depender de esos proveedores, no una consecuencia de una regulación específica. Una firma puede estar completamente fuera del alcance de DORA y aun así estar peligrosamente expuesta al mismo tipo de fallo que DORA busca gestionar.
Resumen Ejecutivo
Las firmas que observan marcos como DORA en servicios financieros pueden extraer una lección directa para su propia administración de riesgos de proveedores, incluso sin estar dentro del alcance: la concentración en un pequeño número de proveedores críticos, y la responsabilidad que esa concentración genera, no desaparece porque ningún regulador externo supervise a ese proveedor en particular. Para los responsables de riesgos, la respuesta práctica es tratar la concentración de proveedores como un riesgo que debe gestionarse de forma continua, no como una categoría de cumplimiento que solo aplica a otros sectores.
Puntos Clave
- Que un proveedor esté sujeto a supervisión externa, regulatoria o de otro tipo, no transfiere la responsabilidad de la firma sobre esa relación. La obligación de entender y gestionar el riesgo recae siempre en la firma.
- Las firmas que dependen en gran medida de un pequeño grupo de proveedores de nube o de gestión de prácticas asumen riesgo de concentración, independientemente de si algún organismo externo supervisa a esos proveedores.
- Reguladores y clientes esperan cada vez más pruebas continuas de la supervisión de proveedores, no solo una diligencia debida realizada al firmar el contrato.
- Un registro de relaciones con proveedores y su criticidad es un documento vivo que una firma debe mantener, sin importar los mandatos sectoriales, porque el riesgo subyacente existe independientemente de la regulación.
- La obligación de la firma de demostrar control sobre sus relaciones con proveedores nunca cambia, sin importar quién más supervise.
Qué Hace Realmente la Designación de Terceros Críticos en Servicios Financieros
Entender por qué existe el mecanismo de DORA ayuda a clarificar por qué la lección subyacente se traslada incluso donde la regulación no aplica. El mecanismo de designación otorga a los reguladores visibilidad sobre proveedores cuya falla podría tener consecuencias en muchas entidades financieras al mismo tiempo, según el impacto sistémico y la concentración de dependencia.
La Designación Trata Sobre Concentración Sistémica, No Sobre Riesgo Individual de Proveedor
Un proveedor es designado como crítico porque un gran número de entidades reguladas dependen de él de formas que podrían generar una disrupción sectorial. La exposición de una firma a un proveedor, según el nivel real de dependencia y las alternativas disponibles, es una cuestión aparte que ningún mecanismo de designación, en ningún sector, resuelve por la firma.
Por Qué Tu Propia Responsabilidad Nunca Cambia
Independientemente de que un regulador supervise directamente a un proveedor, la firma que depende de ese proveedor mantiene la responsabilidad total de entender qué ocurre si falla. Esto aplica sin importar el sector en el que opere la firma.
La Supervisión Externa de un Proveedor No Es Supervisión de Tu Contrato
Aunque un proveedor esté sometido a una intensa supervisión regulatoria en otro sector, esa supervisión evalúa la gestión general de riesgos del proveedor, no el contrato específico, el plan de salida ni la dependencia de cada cliente. Una firma no puede delegar su propia diligencia debida en un regulador que nunca ha revisado la relación real de la firma con ese proveedor.
El Riesgo de Concentración Existe Independientemente del Alcance Regulatorio
Una firma que depende de un pequeño grupo de proveedores para la gestión de prácticas, almacenamiento de documentos y comunicaciones asume el mismo riesgo estructural de concentración que una institución financiera respecto a sus proveedores TIC críticos, aunque ninguna regulación nombre explícitamente ese riesgo.
Cómo Es una Buena Administración de Riesgos de Proveedores, Regulada o No
Las prácticas que hacen efectivo el régimen de riesgos de terceros de DORA para entidades financieras son las mismas que protegen a cualquier organización que depende de un pequeño grupo de proveedores críticos.
Un Registro de Relaciones con Proveedores Es un Documento Vivo
Mantener un registro preciso de qué proveedores soportan qué funciones y cuán críticos son para la operatividad de la firma vale la pena, sin importar el mandato sectorial, porque el propio ejercicio permite identificar el riesgo de concentración antes de que se convierta en una crisis.
El Monitoreo Debe Ser Continuo, No un Ejercicio Puntual
Una diligencia debida realizada solo al firmar el contrato no le dice nada a la firma sobre el perfil de riesgo actual del proveedor años después. El monitoreo continuo, incluso de manera informal, es lo que convierte la relación con el proveedor en algo realmente gestionado y no solo asumido.
Construir la Administración de Riesgos de Proveedores Antes de que un Regulador lo Exija
La respuesta práctica para una firma es construir la misma capacidad interna que una entidad financiera regulada debe tener: una visión actualizada de qué proveedores son realmente críticos, cuán concentrada está esa dependencia y qué pruebas existen de supervisión continua, haciéndolo porque protege a la firma, no porque lo exija una regulación.
Cómo un Plano de Control de Datos Apoya la Evidencia Continua de Riesgo de Proveedores
Demostrar control sobre el riesgo de proveedores depende de poder mostrar, de forma continua, qué datos pasan por qué proveedores y canales, quién accedió y bajo qué condiciones, en lugar de depender de las garantías del proveedor o de una diligencia debida realizada solo una vez.
El Plano de Control de Datos de Kiteworks aplica controles de confianza cero basados en datos a cada acción en todos los canales, capturando un registro de auditoría continuo, inalterable y sin limitaciones que alimenta directamente las herramientas de SIEM, proporcionando a las firmas evidencia de su propia supervisión de proveedores, independiente de cualquier régimen externo de designación. La arquitectura de tenencia única y las claves de cifrado propiedad del cliente refuerzan aún más el control de la firma sobre sus intercambios más sensibles, sin depender del estatus de supervisión de terceros.
Las firmas que quieran ver cómo la evidencia continua respalda su propia administración de riesgos de proveedores pueden solicitar una demo personalizada.
Preguntas Frecuentes
No, DORA aplica específicamente a entidades financieras y a sus proveedores TIC críticos designados. Los despachos de abogados no están incluidos de forma directa, pero el riesgo de concentración en la dependencia de proveedores sigue aplicando para ellos.
No. La responsabilidad de la firma de entender y gestionar el riesgo de proveedores nunca cambia, sin importar si algún regulador externo supervisa al proveedor.
El riesgo de concentración es una característica estructural de depender de un pequeño grupo de proveedores críticos, no una consecuencia de una regulación específica. Las firmas pueden enfrentar la misma exposición sin importar el sector.
Requiere mantener un registro vivo de las relaciones con proveedores, realizar monitoreo continuo en vez de una diligencia debida puntual y generar evidencia constante de supervisión, independiente de mandatos externos.