Los últimos años han sido un torbellino para las organizaciones del sector financiero: desde la inestabilidad geopolítica hasta los ataques cibernéticos y las quiebras bancarias, estas crisis no solo han afectado a las organizaciones en sí, sino que también han tenido un profundo impacto en sus terceros y proveedores.
La creciente dependencia de las organizaciones financieras de terceros para realizar operaciones críticas es una tendencia con importantes implicaciones. Esta dependencia ha sido un arma de doble filo: por un lado, ha impulsado la innovación y la digitalización rápidas dentro del sector, lo cual es toda una mejora nacida del reto; pero por el otro lado, ha expuesto a estas organizaciones a todo un espectro de nuevos riesgos.
Los organismos reguladores, reconociendo la naturaleza crítica de estos desarrollos, han respondido con medidas proactivas, ¿has oído hablar de DORA? Quédate hasta el final, que te contamos un sobre esta ley.
DORA: allanando el camino para la mitigación del riesgo digital
Numerosas regulaciones recientemente promulgadas exigen que las organizaciones de servicios financieros sean operacionalmente resilientes. Un ejemplo destacado de esta respuesta regulatoria en la Unión Europea (UE) es la Ley de Resiliencia Operacional Digital (DORA). DORA, cuya implementación está prevista para enero de 2025, representa un esfuerzo concertado para unificar y mejorar los requisitos de riesgo de las tecnologías de la información y la comunicación (las llamadas TICs).
Su objetivo es establecer un estándar uniforme para mitigar los riesgos asociados a las operaciones digitales. DORA abarca una amplia gama de instituciones financieras, lo que subraya la necesidad de que estas organizaciones estén bien preparadas para manejar las disrupciones y amenazas relacionadas con las TIC.
Además, DORA introduce un marco de supervisión integral dirigido a proveedores externos críticos, como los proveedores de servicios en la nube, por ejemplo (como hacemos nosotros en ORCA con ORCA GRC; nuestra plataforma SaaS para gestión de riesgos, cumplimiento y auditorías internas y a terceros también).
Este aspecto de la regulación es particularmente significativo, ya que amplía el alcance de la vigilancia regulatoria más allá de las instituciones financieras para incluir a los terceros críticos de los que dependen. Dicho requisito subraya el importante papel que desempeñan los también llamados vendors para ayudar al sector financiero a lograr la resiliencia operativa.
Refleja, a su vez, la comprensión de que la seguridad y la estabilidad de las organizaciones de servicios financieros están íntimamente vinculadas a la fiabilidad y la resiliencia de sus terceros.
La gestión de riesgos internos ya no es suficiente
Es urgente ampliar este enfoque para abarcar toda la cadena de suministro, garantizando la resiliencia operativa a través de una gestión de riesgos de proveedores o terceros (conocido en inglés por su acrónimo Third-Party Risk Management).
Adaptarse a un panorama de riesgos en evolución
En el entorno de riesgo actual, complejo y en constante evolución, un enfoque reactivo a la gestión de riesgos ya no es suficiente. Es crucial el monitoreo continuo de los panoramas de riesgo y el desempeño de los terceros. No basta con confiar únicamente en los cuestionarios de due diligence completados durante la incorporación de proveedores.
Las estructuras de toma de decisión, las tecnologías implementadas y el nivel de resiliencia de los terceros alrededor de nuestras organizaciones evolucionan continuamente. La información que era precisa hace seis meses puede que ya no lo sea, lo que subraya la necesidad de procesos de monitoreo continuo.
Los equipos de riesgo deben establecer indicadores clave de riesgo para la vigilancia continua, incluidas las métricas de desempeño de los proveedores, las vulnerabilidades de seguridad y las posturas de cumplimiento.
La colaboración entre terceros y los equipos de gestión de riesgos, TI (tecnología de la información) y Adquisiciones (también llamados Compras, Suministro, Procurement, etc.) de tu organización también es vital para garantizar una participación durante todo el proceso de monitoreo continuo y para informar un enfoque proactivo de gestión de riesgos.
Fortalecimiento de la resiliencia con una estrategia integral de TPRM
En un informe reciente del Instituto Ponemon y CyberGRX titulado El costo de la gestión del riesgo de ciberseguridad de terceros, los autores destacaron que, en promedio, una organización tiene 5800 proveedores.
Un programa de TPRM eficaz ofrece una vista panorámica de toda la cadena de suministro de la organización, delineando el papel de cada tercero en la prestación de servicios esenciales. Al mapear minuciosamente este ecosistema, las organizaciones pueden vincular las ofertas críticas de los proveedores a los servicios que brindan a sus clientes. Esto les permite identificar posibles debilidades y vulnerabilidades a través de las cuales las disrupciones podrían dañar las operaciones centrales.
Un programa maduro de TPRM permite a las organizaciones pasar de un enfoque reactivo, luchando por gestionar las crisis a medida que surgen, a un enfoque proactivo con planes y procedimientos bien establecidos, lo que permite agilidad y capacidad de respuesta en tiempos de crisis.
Más allá de la simple mitigación de riesgos, un enfoque estratégico de TPRM puede proporcionar una ventaja competitiva significativa. Las organizaciones adeptas a la gestión proactiva de riesgos están mejor equipadas para manejar las incertidumbres futuras y mantener la confianza de sus clientes y partes interesadas cruciales. TPRM es un pilar fundamental de una estrategia holística de continuidad del negocio y resiliencia operativa, y es vital para la sostenibilidad de relaciones fructíferas con nuestros proveedores.
La gestión de riesgos de terceros (TPRM) se ha convertido en un componente fundamental para la resiliencia de las organizaciones bancarias en un entorno de amenazas en constante evolución. Al adoptar un enfoque proactivo e integral de TPRM, las instituciones financieras pueden:
- Identificar y mitigar riesgos de terceros: obtener una visión completa de los riesgos asociados con cada tercero y establecer controles adecuados para mitigarlos.
- Mejorar la continuidad del negocio: garantizar que las disrupciones de terceros no afecten las operaciones críticas del banco.
- Cumplir con las regulaciones: satisfacer los requisitos regulatorios cada vez más estrictos relacionados con la gestión de riesgos de terceros.
- Fortalecer la reputación: demostrar a los clientes y stakeholders el compromiso del banco con la gestión de riesgos y la seguridad.
Recomendaciones para un buen programa TPRM en el sector bancario
- Desarrollar una política integral de TPRM: establecer una política clara que defina los roles, responsabilidades y procesos para la gestión de riesgos de terceros.
- Implementar un programa de TPRM robusto: utilizar tecnología y herramientas adecuadas para evaluar, monitorear y gestionar los riesgos de terceros.
- Capacitar al personal: asegurar que todos los empleados involucrados en la gestión de riesgos de terceros comprendan sus responsabilidades y los procedimientos adecuados.
- Revisar y actualizar periódicamente: revisar y actualizar el programa de TPRM de forma regular para reflejar los cambios en el panorama de riesgos y las regulaciones.
Al invertir en un programa de TPRM sólido, las organizaciones bancarias pueden fortalecer su resiliencia, proteger sus operaciones y mejorar su competitividad en el mercado financiero global.
En ORCA, tenemos más de 20 años en el negocio de gestión de riesgos, específicamente en el sector bancario, y hemos visto testigos de la creciente importancia de elevar la resiliencia de la cadena de suministro completa, a través de programas TPRM maduros. Te podemos ayudar si necesitas llevar esta administración de riesgos de proveedores al siguiente nivel, solo haz clic debajo para hablar con un especialista.
.svg){kind=small}
.svg){kind=small}
.svg){kind=small}
