A pesar de los problemas operativos ocasionales, los bancos europeos, al igual que sus homólogos de Asia, Estados Unidos y el Reino Unido, se encuentran en general en buena forma financiera para capear las actuales tormentas económicas que reverberan en todo el mundo. Este panorama se refleja en la reciente Evaluación Anual de Riesgos publicada por la Autoridad Bancaria Europea (ABE).
La normativa de la Autoridad de Regulación Prudencial (PRA) del Reino Unido en este ámbito -SS1/21 y SS2/21- entrará en vigor en marzo de 2022. La influencia de estas normativas abarca a las propias entidades y a los terceros que utilizan para prestar sus servicios. Se están elaborando planes para ampliar las disposiciones de la Resiliencia Operativa a la creación de un registro de incidentes, los propios acuerdos con terceros y, potencialmente, incluso intentar regular también a los proveedores terceros más importantes.
Aunque siguen existiendo retos -el mantenimiento de tipos de interés bajos, el lento crecimiento económico combinado con presiones inflacionistas y el impacto del Brexit en el sistema bancario europeo son solo algunos ejemplos-, el panorama que dibuja la encuesta es que los bancos de la UE tienen unos balances sólidos. Disponen de buenas reservas de liquidez y contribuyen de forma esencial al crecimiento de los países de la UE.
Sin embargo, este panorama positivo oculta varios retos a los que se enfrentan los bancos en la UE. Si bien la economía de la UE se recupera bien del impacto de los dos últimos años, la naturaleza actual de la pandemia puede provocar futuras conmociones económicas. Del mismo modo, la participación continuada de las entidades de contrapartida central (ECC) con sede en el Reino Unido para compensar las operaciones de derivados con sede en la UE se considera cada vez más arriesgada, después del Brexit. La ABE también ha destacado la resistencia operativa como una cuestión esencial para los bancos de toda la UE.
La importancia de que la ABE se centre en la resistencia operativa
La atención prestada por la ABE a la resistencia operativa es significativa y refleja la mayor atención prestada a este ámbito por los reguladores de todo el mundo. En parte, este enfoque se hace eco de los esfuerzos que los gobiernos, los reguladores y los contribuyentes pusieron en marcha para apoyar al sector de los servicios financieros después de la crisis financiera. Después de haber gastado miles de millones en ayudar a una serie de instituciones, los reguladores se muestran muy reacios cuando se trata de nuevos conjuntos de retos que surgen dentro del mismo sector.
Otro motor es la naturaleza cambiante de los propios servicios financieros. Los bajos tipos de interés están impulsando a las entidades a ofrecer nuevos productos y servicios que utilizan capacidades digitales capaces de ofrecer nuevas rutas a los mercados con nuevos públicos. Al mismo tiempo, las constantes presiones sobre los costes obligan a los bancos a ampliar la escala y el alcance de su base de suministro y sus asociaciones, de forma que apoyen el desarrollo del negocio.
Si se incluye el uso cada vez más extendido del trabajo a distancia -con sus complejidades operativas y de seguridad-, es fácil entender por qué la ABE explora la resistencia operativa con cierto detalle en su informe.
El informe de la ABE se centra en varias áreas.
El riesgo cibernético es una fuente importante de riesgo operativo potencial y una amenaza para la resiliencia, debido a la creciente digitalización de los servicios bancarios básicos. El trabajo híbrido ha acelerado aún más este proceso. Dicho esto, los bancos son muy conscientes de las amenazas a las que se enfrentan ellos y sus clientes, y han invertido mucho en sus sistemas y procesos para contrarrestar las crecientes amenazas cibernéticas, y seguirán haciéndolo.
El riesgo de terceros también representa un riesgo importante para los bancos de la UE y refleja la forma cambiante en que se abastecen y prestan sus servicios a escala mundial.
Históricamente, los bancos han contratado y prestado ellos mismos sus servicios básicos y han externalizado servicios periféricos como las nóminas o la gestión de instalaciones. Ahora que se han disipado las dudas sobre la seguridad de los sistemas informáticos basados en la nube, los bancos han invertido mucho en la potencia, flexibilidad y escalabilidad que puede ofrecer la computación en nube.
Evidentemente, esto introduce complejidad en las operaciones de un banco, ya que significa que una pequeña gama de proveedores clave de servicios en la nube son fundamentales para el negocio y las operaciones técnicas de un banco. Para un banco, esto significa que los problemas de un proveedor de servicios en la nube se convierten, en cierto modo, en los problemas del banco. En segundo lugar, el reducido número de proveedores de servicios en la nube y la adopción generalizada de sus servicios crea un riesgo de concentración, tanto para los bancos individuales como para el sector bancario en general.
Esta situación se ve agravada por el uso que hacen los bancos de terceros proveedores de tecnología, aplicaciones y datos, que también utilizan el mismo número reducido de proveedores de servicios en la nube. Puede significar que un banco tenga una cadena de suministro cada vez más compleja en un momento en que los reguladores de todo el mundo están presionando para que haya más visibilidad y mejores controles de gestión de las cadenas de suministro en la banca.
Las prácticas de trabajo a distancia también suponen un reto para la resistencia operativa. Muchas instituciones siguen utilizando procesos manuales para apoyar los procesos empresariales básicos, y las hojas de cálculo de Excel suelen ser la herramienta a la que se recurre. Aunque siempre han sido populares, en los dos últimos años su importancia ha crecido aún más, ya que las hojas de cálculo han ayudado a muchos equipos a trabajar a distancia. La potencia y flexibilidad de las hojas de cálculo permiten a los usuarios crear sus propias aplicaciones informáticas para usuarios finales (EUC), que quedan fuera del control y la influencia de la función de TI corporativa. Sin embargo, estas aplicaciones carecen de los controles que proporcionan la auditabilidad y la transparencia que satisfacen las expectativas de la ABE en torno a la resistencia operativa, ya que la falta de datos y los errores de cálculo pueden tener un impacto significativo en el negocio.
¿Cuál es la mejor manera de que las instituciones respondan a esta evolución?
Hay dos iniciativas que están resultando eficaces: trabajar con nuestros clientes y debatir los problemas con los profesionales del sector.
La Gestión de Riesgos de Terceros (TPRM) está diseñada para ayudar a una organización a gestionar de forma proactiva cadenas de suministro complejas y profundas, de modo que los problemas relacionados con la resistencia de una parte de la misma no se conviertan en un problema de resistencia importante para el cliente principal. Las potentes funciones basadas en SaaS ofrecen un enfoque descentralizado pero sólido para gestionar a los proveedores hasta el tercer, cuarto y quinto nivel de la cadena de suministro. Para ello se necesitaría un repositorio centralizado que contenga los contratos pertinentes, la documentación estándar de las políticas y los perfiles de riesgo de los distintos proveedores. Los equipos de riesgos y cumplimiento pueden supervisar los distintos elementos de la cadena de suministro de forma proactiva, de modo que puedan responder rápidamente si surgen problemas en cualquier nivel antes de que un problema menor se convierta en algo más grave.
Otra iniciativa que están llevando a cabo los bancos es la gestión del riesgo de las hojas de cálculo, que les permite aplicar controles de nivel empresarial a sus hojas de cálculo más importantes. Estas capacidades permiten a los bancos supervisar de forma proactiva estas hojas de cálculo para identificar problemas -falta de datos, enlaces rotos o errores de fórmula, por ejemplo- que pueden afectar a la resistencia operativa de un banco.
Un inventario de hojas de cálculo proporciona una base para centralizar la gestión, revisión y visibilidad de las hojas de cálculo críticas utilizadas en la empresa. También proporciona un repositorio para la documentación esencial necesaria para definir y controlar las hojas de cálculo principales utilizadas en una empresa.
Las potentes funciones de detección de hojas de cálculo ayudan a identificar las hojas de cálculo clave que deben supervisarse de forma proactiva, de modo que los problemas puedan capturarse, solucionarse y notificarse.
La Plataforma GRC de Mitratech ofrece potentes capacidades que ayudan a las instituciones financieras de todo el mundo a mejorar sus capacidades de Gestión de Riesgos y ofrecer valor rápidamente.
¿Cuál es la mejor manera de conseguirlo?
Las funciones de gestión del riesgo de las hojas de cálculo permiten a las empresas aplicar controles de nivel empresarial a sus hojas de cálculo más importantes. Estas funciones permiten a los bancos supervisar de forma proactiva estas hojas de cálculo para identificar problemas (datos que faltan, enlaces rotos o errores de fórmula, por ejemplo) que pueden afectar a la resistencia operativa de una empresa.
Un inventario de hojas de cálculo proporciona una base para centralizar la gestión, revisión y visibilidad de las hojas de cálculo críticas utilizadas en la empresa. También proporciona un repositorio para la documentación esencial para definir y controlar las principales hojas de cálculo utilizadas en una empresa.
Las potentes funciones de detección de hojas de cálculo ayudan a identificar las hojas de cálculo clave que deben supervisarse de forma proactiva para que los problemas puedan capturarse, solucionarse y notificarse.
Las capacidades de gestión de riesgos de terceros (TPRM) ayudan a una organización a gestionar de forma proactiva cadenas de suministro complejas y profundas, de modo que los problemas relacionados con la resistencia de una parte de la cadena no se conviertan en un grave problema de resistencia para el cliente principal. Las potentes funciones basadas en SaaS ofrecen un enfoque descentralizado pero sólido para gestionar los proveedores hasta el tercer, cuarto y quinto nivel de la cadena de suministro. Para ello se necesitaría un repositorio centralizado que contenga los contratos pertinentes, la documentación estándar de las políticas y los perfiles de riesgo de los distintos proveedores. Los gestores pueden supervisar los distintos elementos de la cadena de suministro de forma proactiva, de modo que pueden responder rápidamente si surgen problemas en cualquier nivel antes de que un problema menor se convierta en algo más grave.
La Plataforma GRC de Mitratech ofrece potentes capacidades que ayudan a las instituciones financieras de todo el mundo a mejorar su TPRM y su gestión de riesgos de hoja de cálculo. Rápidas de implementar, resuelven sus problemas con rapidez y aportan valor rápidamente.
Un vistazo a la plataforma GRC del futuro
Descubra cómo puede aprovechar una única plataforma SaaS para todos sus requisitos de GRC.
