¿Quién debe cumplir con DORA? Alcance y empresas afectadas
Introducción
El Reglamento sobre la supervisión, la reducción de riesgos y la supervisión de riesgos operativos digitales (DORA) ayuda a fortalecer la infraestructura del mercado financiero europeo contra los riesgos digitales. Si bien hay razones legítimas por las que algunas instituciones pueden optar por enfoques alternativos para la conformidad, dada la creciente cantidad de amenazas cibernéticas y la creciente importancia de la tecnología en los servicios financieros, el cumplimiento de las regulaciones de DORA es crucial para muchas empresas en Europa. No solo porque las multas financieras pueden ser considerables, sino también debido a los posibles errores de auditoría, interrupciones operativas y daños a la reputación de la empresa. En este artículo, queremos aclarar los ámbitos de aplicación de DORA y explicar qué empresas están afectadas y cuáles pueden ser las consecuencias del incumplimiento.
Este tema es especialmente relevante para los proveedores de servicios financieros europeos, ya que, debido a su papel central en la economía, tienen una alta responsabilidad por la estabilidad de los sistemas financieros. Cumplir con DORA no solo puede ayudar a minimizar riesgos, sino también a aumentar la confianza de los clientes. Queremos que, después de leer este artículo, tenga una comprensión clara de cómo DORA le afecta a usted y a su empresa, y qué pasos debe tomar para cumplir con los requisitos.
El problema central
Cuando tratamos con DORA, no se trata solo de cumplir con regulaciones, sino también de garantizar la eficiencia y seguridad de los servicios financieros. De hecho, los costos reales del incumplimiento de DORA pueden ser significativos. Supongamos que un banco que gestiona 1.000 millones de EUR en activos pierde, debido a la falta de aplicación de las medidas de DORA, un promedio de 5 millones de EUR al año, porque toma decisiones de inversión más arriesgadas o no protege adecuadamente contra ataques cibernéticos. Además, el incumplimiento de DORA también deteriora la eficiencia operativa, ya que conduce a más tiempo dedicado a tareas de cumplimiento y limita la flexibilidad en la toma de decisiones.
Sin embargo, la mayoría de las organizaciones cometen el error de ver DORA solo como un obstáculo burocrático. Pasan por alto el hecho de que DORA ayuda a aumentar la resiliencia de la organización frente a amenazas externas, al tiempo que mejora la gestión interna. Como se establece en el Art. 28(2) del Reglamento DORA, los proveedores de servicios financieros deben actualizar constantemente sus infraestructuras de TI y garantizar el cumplimiento de los estándares de seguridad más recientes.
En algunos casos, el incumplimiento de DORA también puede llevar a graves consecuencias legales. Si una institución no puede demostrar su cumplimiento con las regulaciones, puede recibir multas de hasta 10 millones de EUR o el 20% de su facturación anual total por parte de la autoridad de supervisión financiera BaFin u otras autoridades competentes, dependiendo de cuál suma sea mayor. Esto muestra la gravedad de las regulaciones y la necesidad de participar activamente en el cumplimiento de DORA.
Por qué es urgente ahora
La necesidad urgente de cumplir con DORA no solo surge de los requisitos legales, sino también de los recientes cambios regulatorios y acciones de aplicación. En 2023, la Unión Europea aprobó DORA, que se aplica a todos los proveedores de servicios financieros en la UE que utilizan tecnologías digitales. Este reglamento tiene como objetivo garantizar la estabilidad de los sistemas financieros y, al mismo tiempo, mantener la competitividad del mercado europeo de servicios financieros. Por lo tanto, el cumplimiento de este reglamento es crucial para todas las empresas que operan en este mercado.
Además, la presión del mercado está aumentando, ya que cada vez más clientes de proveedores de servicios financieros exigen que cumplan con ciertas certificaciones y estándares de cumplimiento. La capacidad de demostrar el cumplimiento con DORA puede, por lo tanto, servir como una ventaja competitiva y aumentar la cuota de mercado de una organización.
En la práctica, esto significa que las empresas que no cuentan con las medidas de cumplimiento necesarias pueden tener una desventaja competitiva. Por lo tanto, es crucial que se adapte rápidamente y realice las inversiones adecuadas en soluciones de cumplimiento para cumplir con los requisitos de DORA y, al mismo tiempo, mantener la competitividad.
En resumen, el cumplimiento de DORA es de gran importancia no solo debido a los requisitos legales, sino también por la creciente importancia del cumplimiento en la industria financiera. En la Parte 2 de este artículo, abordaremos más a fondo los requisitos específicos de DORA y le mostraremos cómo preparar eficazmente su organización para cumplir con este reglamento.
El marco de solución
Para abordar los desafíos del cumplimiento de DORA, se debe seguir un enfoque gradual. Primero, es necesario analizar los requisitos del reglamento y determinar qué disposiciones son relevantes para su organización. En particular, los Artículos 4, 5 y 28 de DORA son importantes, ya que regulan el cumplimiento de los estándares de ciberseguridad y de TI.
Primero, elabore una lista de las obligaciones específicas según DORA. El Artículo 4 proporciona información detallada sobre las medidas de seguridad generales que deben implementarse para minimizar los riesgos en relación con las operaciones comerciales. El Artículo 5 cubre el acceso a la actividad y la prohibición de operaciones si una empresa de servicios financieros no cumple con los requisitos. El Artículo 28 establece la obligación de verificar la fiabilidad de los sistemas de TI y los servicios de TI, así como su cumplimiento con los estándares de seguridad.
A continuación, debe desarrollar una hoja de ruta de cumplimiento que detalle la implementación de estos requisitos para cada segmento comercial afectado y cada cadena de procesos. Defina objetivos claros, como reducir el tiempo de preparación de auditoría de seis semanas a cinco días, y mida continuamente los avances.
La calidad de la implementación del cumplimiento debe evaluarse en una escala de "bueno" a "solo suficiente". "Bueno" significa que la organización no solo cumple con los requisitos mínimos de cumplimiento, sino que también es proactiva en la identificación y corrección de posibles debilidades. Esto también incluye la supervisión continua y la mejora de los procesos de cumplimiento.
Errores comunes a evitar
Las empresas a menudo cometen errores en el cumplimiento de DORA. Aquí están los 3 principales errores y cómo pueden evitarse:
Evaluación de riesgos inadecuada: Muchas organizaciones no realizan una evaluación de riesgos exhaustiva y, por lo tanto, pasan por alto posibles debilidades en el cumplimiento. Para evitar esto, debe realizar análisis de riesgos regulares e implementar un marco para la identificación, evaluación y tratamiento de riesgos.
Interpretación errónea de los requisitos: No es raro que las empresas interpreten incorrectamente los requisitos específicos de DORA. En lugar de confiar en sus propias evaluaciones, deben adherirse a los documentos oficiales y a las autoridades de supervisión financiera como BaFin o BSI.
Verificaciones de conformidad solo en papel: Algunas empresas tienen procedimientos de cumplimiento que no implementan en la práctica. Para abordar esto, debe fomentar una verdadera cultura de cumplimiento que lo trate como una prioridad y no solo como verificaciones de cumplimiento en papel.
Herramientas y enfoques
Existen varios enfoques que las organizaciones pueden utilizar para implementar medidas de cumplimiento. Cada método tiene sus propias ventajas y desventajas y es efectivo en diferentes situaciones.
Enfoque manual: Esto puede funcionar para empresas más pequeñas o equipos de menos de 20 personas. Es rentable y no requiere grandes inversiones en tecnología. Sin embargo, es laborioso y a menudo conduce a errores humanos. Es importante documentar los procesos y revisarlos regularmente para garantizar su efectividad.
Enfoque de hoja de cálculo/GRC: Una mejora del método manual es el uso de hojas de cálculo y herramientas de Gobernanza, Riesgo y Cumplimiento (GRC). Estas ofrecen una base de datos central para todos los datos de cumplimiento y permiten una mejor gestión y análisis de datos. Sin embargo, estas herramientas tienen sus limitaciones: pueden ser complicadas de usar y a menudo no ofrecen suficiente funcionalidad para abordar todos los aspectos del cumplimiento.
Plataformas de cumplimiento automatizadas: Para las empresas que buscan una solución de cumplimiento escalable y más eficiente, las plataformas de cumplimiento automatizadas como Matproof son una opción. Estas utilizan inteligencia artificial para generar políticas en alemán e inglés y recopilan automáticamente pruebas de proveedores de la nube. También ofrecen un agente de cumplimiento de punto final para el monitoreo de dispositivos y garantizan un 100% de derechos de residencia de datos en la UE.
Un factor crucial para elegir una plataforma de cumplimiento es la adaptabilidad y facilidad de uso. Una plataforma debe ser fácil de usar y capaz de adaptarse rápidamente a los requisitos de cumplimiento cambiantes. También es importante prestar atención a los aspectos de privacidad y asegurarse de que los datos recopilados se procesen de acuerdo con el GDPR y otras leyes relevantes.
Honestamente, la automatización ayuda en términos de eficiencia y precisión del trabajo de cumplimiento. Sin embargo, no es la solución para todos los problemas. A veces, es mejor optar por una combinación de herramientas automatizadas y procesos manuales para garantizar una estrategia de cumplimiento robusta.
Conclusión
Cumplir con DORA es una tarea compleja que requiere una planificación y ejecución cuidadosas. Es crucial entender los requisitos específicos del reglamento e implementar un marco de cumplimiento adecuado. Al evitar errores comunes y utilizar las herramientas adecuadas, las organizaciones pueden asegurarse de que no solo cumplen con los requisitos mínimos, sino que también son proactivas en la identificación y corrección de posibles debilidades. Una estrategia de cumplimiento bien pensada es fundamental para garantizar la continuidad del negocio y mantener la credibilidad en el mercado de servicios financieros.
¿Quién debe cumplir con DORA? Alcance y empresas afectadas
En las dos primeras partes de esta serie, hemos discutido en profundidad el Digital Operational Resilience Act (DORA) y su impacto en la gestión de riesgos y los procesos comerciales de las empresas en el sector financiero. En la tercera y última parte de esta serie, queremos proporcionarle un plan de acción concreto para comenzar con la implementación, responder preguntas frecuentes y resumir los hallazgos clave.
Comenzando: Sus próximos pasos
Para comenzar con la implementación de DORA, se recomienda seguir un plan de acción de 5 pasos.
Abordar los fundamentos: Infórmese sobre los requisitos de DORA. Lea las publicaciones oficiales de la UE sobre DORA, como el borrador de voto del Parlamento Europeo o las directrices correspondientes de BaFin.
Realizar un análisis de riesgos: Evalúe sus sistemas de TI y procesos comerciales existentes en busca de riesgos potenciales que DORA debe abordar. Esto incluye la identificación de interrupciones críticas y la protección contra amenazas cibernéticas.
Desarrollar competencias: Fomente en la empresa una comprensión de los requisitos de cumplimiento de DORA. Organice capacitaciones para sus empleados, especialmente para los equipos de cumplimiento y TI.
Desarrollar una estrategia: Desarrolle una estrategia de cumplimiento específica para su organización. Considere tanto medidas técnicas como organizativas.
Integrar en la práctica: Integre los requisitos de DORA en sus procesos comerciales diarios y sistemas de monitoreo. Realice pruebas regularmente para identificar posibles debilidades.
Los recursos que puede utilizar incluyen las directrices de BaFin y el reglamento de la UE en sí. Tenga en cuenta que puede ser recomendable buscar ayuda externa en casos complejos o con recursos internos limitados. Un logro rápido que puede alcanzar en las próximas 24 horas es realizar una primera evaluación de riesgos y elaborar una lista de las medidas que deben tomarse de inmediato.
Preguntas frecuentes
¿Qué empresas están afectadas por DORA?
Las empresas en el sector financiero que operan en la Unión Europea están afectadas por DORA. Esto también incluye filiales y sucursales fuera de la UE que ofrecen servicios a ciudadanos de la UE.¿Cómo puede mi organización identificar rápidamente qué requisitos de DORA son relevantes?
Comience con una comparación entre sus prácticas de cumplimiento actuales y los requisitos de DORA. Enfóquese en áreas críticas como la gestión de riesgos de TI. Utilice las mejores prácticas para evaluar qué áreas requieren mejoras.¿Debo conformar todos los sistemas de TI y procesos de mi organización a DORA?
Sí, todos los sistemas de TI y procesos que apoyan deben cumplir con los requisitos de DORA. Esto incluye tanto sus sistemas internos como los de terceros que los apoyan.¿Cómo puedo asegurarme de que mis medidas de cumplimiento sean aceptadas por DORA?
Asegúrese de que sus medidas de cumplimiento sean específicas, medibles y verificables. Documente todos los pasos y resultados de sus actividades de cumplimiento, y realice auditorías regulares para verificar y confirmar la efectividad de sus medidas.¿Qué recursos necesito para implementar DORA con éxito?
Necesitará una combinación de expertos técnicos familiarizados con los riesgos de TI y aspectos de seguridad, y especialistas en cumplimiento que conozcan los detalles del reglamento DORA. Esto puede ser interno o externo, dependiendo del tamaño y complejidad de su organización.
Hallazgos clave
En esta tercera parte de nuestra serie sobre DORA, hemos discutido cómo comenzar con la implementación, qué preguntas frecuentes tiene y qué hallazgos clave debe llevarse. Aquí están los puntos más importantes:
- DORA afecta a todos los proveedores de servicios financieros en la UE, incluidas las filiales y sucursales fuera de la UE.
- Una comparación entre sus prácticas de cumplimiento existentes y los requisitos de DORA es un buen punto de partida.
- Todos los sistemas de TI y procesos que apoyan deben cumplir con los requisitos de DORA.
- La documentación y las auditorías regulares son cruciales para asegurar la aceptación de sus medidas de cumplimiento.
- La combinación correcta de recursos internos y externos es esencial para una implementación exitosa de DORA.
Si necesita apoyo para implementar DORA, Matproof puede ayudar. Nuestra plataforma de automatización de cumplimiento está diseñada específicamente para los requisitos de la UE y del sector financiero. Visite https://matproof.com/contact para una evaluación gratuita y más información.