Los cambios críticos en la supervisión de terceros son menores de lo que los bancos creen

Cuando los reguladores europeos comenzaron a designar a ciertos proveedores de TIC como críticos bajo la DORA, algunas instituciones financieras lo interpretaron como una buena noticia: un proveedor ahora bajo supervisión directa parecía significar que otro se encargaría del cumplimiento. La realidad es la contraria. La designación pone al proveedor bajo la lupa del regulador, pero no traslada la responsabilidad de la institución a ningún otro lugar.

Esa diferencia es más importante de lo que la mayoría de las instituciones asume al principio. La supervisión directa de un proveedor crítico da a los reguladores visibilidad sobre la administración de riesgos de ese proveedor. No cambia en absoluto quién es responsable si los servicios de ese proveedor fallan y una institución no puede demostrar que gestionó correctamente la relación. Este artículo analiza qué cambia realmente para las instituciones financieras con la designación de terceros críticos, qué permanece igual y qué implica para la administración del riesgo de proveedores de aquí en adelante.

Resumen Ejecutivo

La supervisión regulatoria directa de proveedores críticos de TIC es uno de los desarrollos más visibles bajo DORA, y suele interpretarse erróneamente como una reducción de la carga de cumplimiento para las entidades financieras que los utilizan. No es así. El mecanismo de designación existe para gestionar el riesgo de concentración sistémica en todo el sector financiero, mediante la interacción continua entre reguladores y los proveedores más grandes e interconectados. No dice nada sobre si una institución en particular ha evaluado, documentado y supervisado adecuadamente su propio uso de ese proveedor, ni sobre los muchos proveedores que nunca alcanzan el estatus de críticos. Para los líderes de riesgo y cumplimiento, la conclusión práctica es que la administración del riesgo de terceros sigue siendo, en su totalidad, responsabilidad de la propia institución, sin importar quién más supervise al proveedor.

Aspectos Clave

1. La designación de terceros críticos pone al proveedor bajo supervisión regulatoria directa. No transfiere la responsabilidad de la institución de gestionar la relación con ese proveedor.
2. La lista de proveedores críticos designados cambia con el tiempo. Se agregan proveedores a medida que crecen y pueden ser eliminados si su presencia disminuye, por lo que una evaluación estática del riesgo de proveedores se vuelve obsoleta.
3. El riesgo de concentración aplica tanto a proveedores no designados como a los designados. Un proveedor que aún no está en la lista crítica puede seguir representando un único punto de fallo para las operaciones de una institución específica.
4. Los reguladores esperan evidencia de administración continua del riesgo de terceros, no una evaluación puntual. Se debe mantener de forma continua un registro de los acuerdos contractuales y de las actividades de supervisión.
5. La designación cambia la supervisión del proveedor, no la obligación de la institución de demostrar control. Las entidades financieras deben demostrar, con su propia evidencia, que comprenden y gestionan el riesgo que introduce un tercero.

Qué Hace Realmente la Designación de Terceros Críticos

El mecanismo de designación existe para dar a los reguladores visibilidad sobre proveedores cuya falla podría tener consecuencias para muchas entidades financieras al mismo tiempo, en función de factores como el impacto sistémico, la concentración de dependencia y la facilidad de sustitución de servicios.

La Designación Trata Sobre la Concentración Sistémica, No el Riesgo Individual de Proveedor

Un proveedor es designado como crítico porque muchas entidades financieras dependen de él de formas que podrían generar una disrupción sectorial si falla, no porque el contrato de una sola institución con ese proveedor sea especialmente riesgoso. La exposición de una institución individual a ese mismo proveedor, según cómo utiliza realmente el servicio, es una cuestión aparte que la designación no responde.

La Lista Cambia, Por lo Que la Evaluación de Riesgo de Proveedores No Puede Ser Estática

Los proveedores designados se reevalúan y la lista se publica periódicamente, agregando proveedores a medida que crecen y eliminándolos si cambian las circunstancias. Una institución que trate el «¿está nuestro proveedor en la lista crítica?» como una verificación única descubrirá que esa respuesta se vuelve obsoleta sin que nadie le avise del cambio.

Por Qué Tu Propia Responsabilidad No Se Traslada

La supervisión de un proveedor crítico por parte de los reguladores y el deber de la institución de gestionar su relación con ese proveedor son dos obligaciones completamente separadas que solo involucran al mismo proveedor.

La Supervisión Directa del Proveedor No Es Supervisión de Tu Contrato

Cuando los reguladores interactúan directamente con un proveedor crítico, evalúan la administración de riesgos del proveedor a nivel general. No revisan el contrato específico de ninguna institución, su plan de salida ni si ha mapeado qué ocurriría si el servicio del proveedor se degrada. Ese sigue siendo un trabajo exclusivo de la institución.

Los Proveedores No Designados También Representan Riesgo de Concentración

Como la designación opera a nivel del sector financiero, un proveedor que no alcanza los umbrales sistémicos aún puede representar un grave punto único de fallo para la institución específica que depende de él. El riesgo de concentración relevante para una institución es aquello de lo que depende esa institución, no el conjunto del sector.

Qué Esperan Realmente los Reguladores Que Demuestre una Institución

Independientemente de si un proveedor está designado como crítico, se espera que las entidades financieras mantengan una comprensión continua y respaldada por evidencia de los terceros de TIC en los que confían.

Un Registro de Información Es un Documento Vivo, No una Foto Estática

Mantener un registro preciso de los acuerdos contractuales con proveedores de TIC, incluyendo las funciones que soporta cada proveedor, es una obligación continua, no un documento que se produce una sola vez para una auditoría.

La Supervisión Debe Ser Continua Para Que Sea Evidencia

Un ejercicio de debida diligencia realizado solo al firmar el contrato no demuestra administración continua del riesgo. Los reguladores esperan ver supervisión continua, lo que significa que la institución necesita un registro de lo que realmente ha observado sobre el desempeño del proveedor a lo largo del tiempo.

Cómo Construir una Administración de Riesgo de Terceros que Soporte la Supervisión

La respuesta práctica a la designación de terceros críticos no es relajar la supervisión de proveedores no designados. Es construir una capacidad interna que rastree de forma continua qué proveedores soportan qué funciones, cuán concentrada está esa dependencia y qué evidencia existe de la supervisión continua.

Cómo un Plano de Control de Datos Apoya la Evidencia Continua de Riesgo de Terceros

Demostrar control sobre el riesgo de terceros TIC depende de poder mostrar, de forma continua, qué datos circulan por qué proveedores y canales, quién accedió y bajo qué condiciones, en vez de depender solo de las garantías del proveedor.

El Data Control Plane de Kiteworks aplica controles de confianza cero basados en datos a cada acción de envío, uso compartido y acceso en todos los canales, y registra cada una en un registro de auditoría inalterable y sin limitaciones que se integra directamente con herramientas SIEM. Para una institución que administra el riesgo de terceros TIC bajo DORA, esto significa un registro continuo y consultable de cómo se mueven los datos sensibles a través de los proveedores y canales que realmente utiliza, una evidencia que se sostiene por sí sola sin importar el estatus de designación de ningún proveedor. La arquitectura de tenencia única y las claves de cifrado propiedad del cliente refuerzan que el control de la institución sobre sus intercambios más sensibles tampoco depende del estatus de supervisión de ningún tercero.

Las instituciones que quieran ver cómo la evidencia continua y multicanal respalda sus propias obligaciones de riesgo de terceros TIC pueden agendar una demo personalizada para recorrer cómo se aplica a su ecosistema actual de proveedores.