Daniel Bermejo · Cofundador y director de tecnología, Trusty · Emprendedor en serie, ex PwC, IBM y Roche · Exdirector general, Startup Invest
El verdadero cambio estructural de DORA está en la gestión de riesgos de terceros. Se extiende deliberadamente más allá de la entidad regulada, llegando a los proveedores de software, proveedores de servicios en la nube, plataformas SaaS y proveedores de servicios gestionados de los que dependen las instituciones financieras. DORA no regula a estos proveedores de TIC directamente. En su lugar, obliga a las entidades financieras a trasladarles sus requisitos mediante contrato, y a gestionar, documentar y demostrar activamente esa relación.
¿Qué exige DORA a los terceros proveedores de TIC?
Dos artículos concretan la gestión de riesgos de terceros de DORA:
El artículo 13, apartado 6, exige a las entidades financieras que desarrollen programas de concienciación sobre la seguridad de las TIC y formación sobre resiliencia operativa digital como módulos obligatorios para todos los empleados y la alta dirección. Cuando proceda, también deben incluir a sus terceros proveedores de servicios de TIC en esos planes de formación.
El artículo 30, apartado 2, letra i), cierra el círculo: todo contrato de servicios de TIC debe establecer las condiciones para la participación de los terceros proveedores de servicios de TIC en los programas de concienciación sobre seguridad de las TIC y en la formación sobre resiliencia operativa digital de la entidad financiera. No se trata de una cláusula opcional reservada a los proveedores críticos. Forma parte de los requisitos contractuales básicos que se aplican a todos los contratos de servicios de TIC.
En otras palabras, su obligación de formación en resiliencia se extiende ahora a toda su cadena de suministro, y sus contratos deben indicar cómo.
La siguiente pregunta obvia, para ambas partes del contrato, es cómo poner en marcha realmente la gestión de riesgos de terceros de DORA. Enviar políticas en PDF por correo electrónico a una lista de proveedores y esperar lo mejor no genera la pista de auditoría que espera un supervisor. Ese es precisamente el problema para el que se creó Trusty.
¿Cómo pueden las entidades financieras demostrar la formación de terceros bajo DORA?
La plataforma de cumplimiento de Trusty se diseñó en torno a una idea sencilla: las políticas y la formación solo valen algo si puede demostrar quién las recibió, quién las leyó, quién las completó y cuándo.
Con DORA, esa prueba debe cubrir ahora a las partes externas. Así es como las entidades financieras utilizan Trusty para aplicar en la práctica la gestión de riesgos de terceros de DORA:
- Distribuye las políticas más allá de su propia plantilla. Sus políticas de gestión de riesgos de TIC, notificación de incidentes, uso aceptable, seguridad de la información y continuidad del negocio pueden asignarse no solo al personal interno, sino a contactos designados en cada proveedor de TIC. Cada proveedor ve exactamente el conjunto de políticas relevantes para su servicio, ni más ni menos.
- Asigna formación en resiliencia al personal del proveedor. El artículo 13, apartado 6, dice que la formación debe tener un nivel de complejidad acorde con el ámbito de sus funciones. Trusty le permite asignar los módulos de formación adecuados, como concienciación sobre seguridad de las TIC, escalada de incidentes y conceptos básicos de resiliencia operativa, a los perfiles adecuados del proveedor, con plazos y recordatorios automáticos.
- Haga un seguimiento automático de la aceptación y la finalización. Las confirmaciones de lectura y aceptación, las tasas de finalización de la formación y los elementos atrasados se registran por proveedor y por individuo. Cuando su supervisor o su función de auditoría interna que prepara la revisión del Registro de Información le pregunte cómo cumple con el artículo 30, apartado 2, letra i), exportas las pruebas en lugar de tener que recopilarlas.
- Manténgase al día con las actualizaciones de las políticas. DORA es un marco vivo, con normas técnicas de regulación que aún se están perfeccionando. Cuando actualizas una política, la redistribución y la nueva aceptación en toda su base de proveedores es un único flujo de trabajo, no una campaña trimestral de correos electrónicos.
- Segmenta por criticidad. Los proveedores que prestan apoyo a funciones críticas o importantes se enfrentan al régimen reforzado del artículo 30, apartado 3. En Trusty, puede clasificar a su población de proveedores por niveles y aplicar conjuntos de políticas más profundos y planes de formación más exigentes al nivel crítico, reflejando la lógica de proporcionalidad que los supervisores esperan ver.
El resultado: sus obligaciones de formación y políticas de terceros dejan de ser una formalidad contractual que nadie puede demostrar y se convierten en un proceso gestionado y auditable, diseñado para la gestión de riesgos de terceros de DORA a escala.
¿Qué deben hacer los proveedores de TIC y las fintech para prepararse para DORA?
Si vendes software o servicios de TIC a instituciones financieras de la UE, DORA le alcanza a través de sus clientes, le guste o no. Cada renovación y cada nuevo acuerdo incluye ahora cláusulas del artículo 30: compromisos de seguridad, cooperación en incidentes, derechos de auditoría y participación en los programas de formación y concienciación del cliente.
Los proveedores responden a esto de una de estas dos maneras. Algunos dejan que cada cliente bancario imponga su propio mosaico de políticas y exigencias de formación, y acaban haciendo malabarismos con diez regímenes de cumplimiento diferentes de diez clientes distintos. Los más inteligentes invierten la dinámica: se presentan a la negociación ya equipados, con su propio marco de políticas documentado y personal formado, y negocian desde una posición de fuerza, como ya hacen los proveedores maduros cuando remiten a sus propios programas de seguridad en lugar de adherirse a los de cada cliente.
¿Qué es el Trusty Fintech Booster?
El Trusty Fintech Booster es un paquete listo para usar que permite a un proveedor de TIC que presta servicios al sector financiero equiparse de inmediato con la base de cumplimiento que sus clientes regulados le pedirán:
- Un conjunto de políticas ya preparadas que cubren los aspectos que las entidades financieras analizan en la diligencia debida: seguridad de la información, protección de datos y privacidad, continuidad del negocio, gestión de terceros y subcontratistas, mantenimiento de registros, código de conducta, antisoborno y canal de denuncias. Redactado profesionalmente, mantenido y actualizado a medida que evoluciona la normativa.
- Una biblioteca de formación que su personal puede completar desde el primer día, incluyendo concienciación sobre ciberseguridad y phishing, protección de datos (RGPD), código de conducta y conceptos básicos de cumplimiento, y concienciación sobre el fraude, con seguimiento de finalización y certificados que puede entregar al equipo de riesgo de proveedores de cualquier cliente.
- Un canal de denuncias conforme a la Directiva europea de protección del denunciante. Este es cada vez más un elemento estándar en los cuestionarios de diligencia debida de los bancos, y una clara señal de confianza en sí misma.
- Un único sistema de registro. Cuando el equipo de compras o de riesgo de terceros de un cliente pide ver sus políticas y registros de formación, la respuesta es una exportación, no una búsqueda a contrarreloj.
Para una fintech en su propio proceso de obtención de licencia, como una entidad de pago, una entidad de dinero electrónico o un proveedor de servicios de criptoactivos bajo MiCA, esta misma base alimenta directamente el expediente de autorización. La preparación para DORA se evalúa ahora como parte de esas solicitudes, por lo que el Booster cumple una doble función: satisface a sus clientes bancarios y a su propio regulador.
Dos partes, una plataforma para la gestión de riesgos de terceros de DORA
DORA ha creado una relación de cumplimiento entre las entidades financieras y sus proveedores de TIC, y Trusty sirve a ambas partes:
Entidad financiera (banco, aseguradora, empresa de servicios de inversión) | Proveedor de TIC (SaaS, nube, MSP, fintech) | |
|---|---|---|
Obligación | Extender las políticas y la formación en resiliencia a los proveedores (art. 13, apartado 6, y art. 30, apartado 2, letra i)) y demostrarlo | Cumplir con las exigencias contractuales de cumplimiento de cada cliente regulado |
Con Trusty | Distribuir, asignar, hacer seguimiento y exportar pruebas en toda la base de proveedores | Booster Pack Fintech: conjunto de políticas instantáneo, personal formado, canal de denuncias, registros listos para auditoría |
Resultado | Pruebas a la altura del supervisor, sin arqueología de hojas de cálculo | Debida diligencia más rápida, posición negociadora más fuerte, ciclos de venta más cortos |
Cuando ambas partes trabajan desde una plataforma estructurada para la gestión de riesgos de terceros de DORA, la conversación sobre el artículo 30 deja de ser una fricción y se convierte en un trámite sencillo, tanto para el equipo de riesgo de proveedores del banco como para el equipo de ventas del proveedor.
¿Qué ocurre si esperas para gestionar el riesgo de terceros de DORA?
DORA ya no está en periodo de gracia. Los Registros de Información ya se han presentado a los supervisores, se han designado los primeros proveedores terceros críticos para la supervisión europea directa, y las conclusiones de DORA alimentan ahora los procesos de revisión supervisora, con consecuencias reales para los requisitos de capital y, para los proveedores, para las renovaciones de contratos.
Las entidades financieras que no puedan demostrar la participación de los proveedores en la formación tienen una brecha documentada. Los proveedores de TIC que se presentan a la diligencia debida con las manos vacías pierden acuerdos frente a competidores que sí lo hacen.
Ambos problemas pueden resolverse en días, no en meses.
Entidades financieras: hable con nosotros sobre cómo extender la distribución de políticas y formación de Trusty a su base de proveedores de TIC.
Proveedores de TIC y fintechs: consiga el Fintech Booster y preséntese a su próxima negociación bancaria cumpliendo ya con la normativa.
Trusty AG es una empresa suiza de software de cumplimiento con sede en Hunenberg, Zug. Nuestra plataforma cubre la gestión de políticas, formación en cumplimiento, denuncias, detección de blanqueo de capitales y sanciones, y herramientas ESG, para entidades reguladas y los socios en los que confían. Póngase en contacto en trusty.report.
Este artículo proporciona información general sobre los requisitos reglamentarios y no constituye asesoramiento jurídico.
Preguntas frecuentes
El artículo 13, apartado 6, exige a las entidades financieras que realicen programas de concienciación sobre seguridad TIC y formación en resiliencia operativa digital para todos los empleados y la alta dirección y, cuando sea apropiado, que incluyan a sus terceros proveedores de servicios TIC. El artículo 30, apartado 2, letra i), exige que cada contrato de servicio TIC establezca las condiciones para la participación del proveedor en dichos programas.
No. DORA obliga a las entidades financieras a trasladar sus requisitos a sus proveedores de TIC mediante contrato y a gestionar, documentar y demostrar esa relación. Los proveedores cumplen con DORA a través de las cláusulas del artículo 30 de sus clientes en cada renovación y nuevo acuerdo.
No. La cláusula del artículo 30, apartado 2, letra i), se encuentra en los requisitos contractuales básicos que se aplican a todos los contratos de servicios TIC. Los proveedores que apoyan funciones críticas o importantes se enfrentan además al régimen reforzado del artículo 30, apartado 3.
Un marco de políticas documentado, personal formado con registros de finalización y un canal de denuncias, para que la diligencia debida de un cliente se responda con una exportación en lugar de adoptar el régimen separado de cada banco. Para las fintechs en su propio proceso de licencia, la preparación para DORA se evalúa como parte de la solicitud.
CUMPLIMIENTO, LISTO PARA USAR
Booster Pack FinTech: 16 políticas de cumplimiento listas para usar y 8 módulos de formación que cubren AML/KYC, políticas y canal de denuncias, de rápida implementación.