DORA en la práctica: Qué significa la resiliencia operativa para los profesionales de la banca

La resiliencia operativa se ha convertido en una disciplina bancaria

La banca moderna depende de la infraestructura digital para los pagos, el acceso de los clientes, los préstamos, la financiación del comercio, el cumplimiento normativo, la tesorería y las operaciones internas. Por lo tanto, un fallo tecnológico importante ya no es un inconveniente limitado al departamento de TI; puede convertirse en una interrupción del negocio que afecte a los clientes, los mercados y las obligaciones regulatorias. La Ley de Resiliencia Operativa Digital, DORA, responde a esta realidad creando un marco europeo común para la gestión de riesgos de TIC, la notificación de incidentes, las pruebas de resiliencia y el riesgo tecnológico de terceros.

Para los profesionales bancarios, el punto importante es que la resiliencia es una responsabilidad de toda la organización. Cada función de negocio depende de sistemas, datos y proveedores externos. La financiación del comercio depende de plataformas de documentos y del cribado de sanciones; la banca minorista depende de los canales digitales y la infraestructura de pagos; el cumplimiento normativo depende de las herramientas de supervisión y los datos; los equipos de crédito dependen de modelos y sistemas de información. Un fallo en un área puede propagarse rápidamente.

Preparación, prevención y detección

La resiliencia efectiva comienza por comprender qué es crítico. Los bancos deben saber qué servicios deben continuar durante una interrupción, qué sistemas dan soporte a esos servicios y qué terceros están por debajo de ellos. Sin este mapa, la planificación de la recuperación se vuelve especulativa. Por lo tanto, las evaluaciones de criticidad deben vincular las dependencias tecnológicas con los resultados reales de los clientes y del negocio.

La prevención sigue siendo esencial. La configuración segura, la aplicación de parches, la gestión de accesos, la supervisión y un control de cambios eficaz reducen la probabilidad de fallo. Sin embargo, DORA también refleja un principio más amplio: algunos fallos ocurrirán a pesar de los controles preventivos. La resiliencia depende, por lo tanto, de la capacidad de la organización para detectar rápidamente la interrupción, contenerla y seguir prestando servicios críticos.

La detección requiere tanto tecnología como una escalada clara. El personal debe comprender qué constituye un incidente, cómo se reporta la actividad inusual y cuándo un evento puede volverse lo suficientemente grave como para requerir una notificación regulatoria. La ambigüedad durante un incidente consume tiempo valioso.

Respuesta, recuperación y aprendizaje

Cuando se produce una interrupción, las responsabilidades deben ser explícitas. ¿Quién lidera la respuesta? ¿Quién se comunica con los clientes? ¿Quién determina si un servicio debe suspenderse? ¿Quién se coordina con los supervisores? Estas decisiones no deben inventarse durante una crisis. Los ejercicios de escenarios y la autoridad documentada hacen que la respuesta sea más rápida y consistente.

La recuperación implica más que restaurar un sistema. La integridad de los datos puede necesitar ser verificada, las transacciones conciliadas y los procesos posteriores revisados. Un servicio que está técnicamente en línea pero que opera con información corrupta o incompleta no está verdaderamente recuperado. Por lo tanto, los bancos deben definir criterios de recuperación que incluyan la corrección del negocio, no solo la disponibilidad del sistema.

Cada incidente significativo también debe generar aprendizaje. El análisis de la causa raíz, el seguimiento de la remediación y la revisión de la comunicación y la escalada son fundamentales para la resiliencia. Los cuasi fallos merecen atención porque revelan debilidades antes de que ocurra una gran pérdida.

Riesgo tecnológico de terceros bajo DORA

Los bancos dependen cada vez más de servicios en la nube, proveedores de software, procesadores de pagos y proveedores especializados. La externalización puede mejorar la eficiencia, pero no transfiere la responsabilidad. Las instituciones necesitan comprender la resiliencia de los proveedores críticos, los derechos contractuales, los acuerdos de notificación de incidentes, las capacidades de recuperación y las opciones de salida.

El riesgo de concentración es particularmente importante. Si muchas funciones críticas dependen de un solo proveedor, el fallo de ese proveedor puede afectar a varias instituciones simultáneamente. La atención de DORA a los proveedores críticos de terceros refleja la naturaleza sistémica de este riesgo.

La inteligencia artificial añade otra capa. Los bancos utilizan cada vez más modelos y servicios de IA externos dentro de las herramientas de análisis, detección de fraude, servicio al cliente y productividad. Se aplican las mismas preguntas de resiliencia: ¿dónde se procesan los datos?, ¿cómo se actualizan los modelos?, ¿con qué rapidez puede el banco cambiar de proveedor? y ¿qué sucede cuando el servicio externo no está disponible?

Pruebas de resiliencia y cultura organizacional

Las pruebas deben diseñarse para revelar debilidades en lugar de demostrar cumplimiento. Los ejercicios basados en escenarios pueden examinar la pérdida de un portal de clientes, una interrupción de la nube, el ransomware, datos corruptos o el fallo de un proveedor de terceros. Las instituciones más avanzadas también pueden considerar escenarios relacionados con la IA, como resultados incorrectos generalizados o la pérdida de un servicio de modelo integrado en un proceso crítico.

Las personas siguen siendo fundamentales. Un plan de recuperación técnicamente bien diseñado es ineficaz si el personal no puede seguirlo bajo presión. Por lo tanto, la capacitación, la comunicación y los ejercicios realistas importan. La participación de la alta dirección es igualmente importante porque la resiliencia afecta la reputación, la confianza del cliente y el rendimiento financiero.

DORA fomenta un cambio cultural útil. El riesgo operativo tradicional a menudo se centraba en prevenir el fallo; la resiliencia moderna acepta que alguna interrupción es inevitable y se concentra en la capacidad del banco para seguir prestando servicios esenciales. Eso requiere redundancia, contingencia, claridad y toma de decisiones informada.

Conclusión

Para los profesionales bancarios, la competencia digital ahora es parte de la competencia profesional. Los gerentes no necesitan configurar firewalls, pero deben comprender qué tecnología da soporte a su función, qué arreglos de respaldo existen y cómo las dependencias de los proveedores afectan el riesgo. Por lo tanto, la Academia Bancaria de eBSI trata la resiliencia operativa como un componente central del conocimiento bancario contemporáneo.

DORA es más útil cuando cambia el comportamiento entre incidentes en lugar de simplemente producir informes regulatorios. Las instituciones que comprenden sus dependencias, las prueban honestamente y aprenden del fallo se vuelven más resilientes no solo al ciberataque, sino al cambio tecnológico en general. La resiliencia operativa en última instancia se trata de confianza: los clientes esperan acceso a su dinero, los negocios esperan que los pagos se muevan y los mercados esperan que las instituciones financieras funcionen cuando las condiciones son difíciles.

La resiliencia debe ser visible en la información de gestión ordinaria

DORA tendrá el mayor valor donde la resiliencia se convierta en parte de la gestión normal en lugar de un ejercicio de cumplimiento anual. La alta dirección debe recibir información sobre incidentes significativos, vulnerabilidades recurrentes, dependencias de proveedores, resultados de pruebas y remediaciones vencidas. Estos indicadores hacen posible ver si la debilidad operativa se está acumulando antes de que ocurra un evento mayor.

Las funciones de negocio también deben comprender sus propias suposiciones de resiliencia. Un gerente debe saber qué aplicaciones son críticas para la función, cuánto tiempo pueden estar no disponibles y qué alternativas manuales existen. Este conocimiento es particularmente importante cuando la transformación digital elimina los procesos de respaldo más antiguos. La eficiencia puede reducir involuntariamente la resiliencia si la organización se vuelve dependiente de un solo sistema altamente optimizado sin una alternativa práctica. DORA anima a los bancos a examinar ese intercambio explícitamente y a garantizar que los servicios críticos sigan siendo recuperables bajo condiciones realistas.

La documentación debe apoyar la acción en lugar de simplemente demostrar cumplimiento. Los procedimientos críticos, los datos de contacto y las autoridades de decisión deben ser accesibles cuando los sistemas normales no estén disponibles. Las instituciones deben probar si el personal puede realmente usar el plan bajo condiciones realistas. Un marco de resiliencia que solo funciona cuando todas las herramientas ordinarias permanecen disponibles es poco probable que sea útil durante la interrupción para la cual fue diseñado.