Los reguladores estadounidenses aumentan las expectativas sobre la gestión de riesgos de terceros

La reciente publicación de la Guía interinstitucional sobre la gestión de riesgos de terceros es un reconocimiento positivo del uso extensivo que hacen los bancos de todos los tamaños de las relaciones con terceros. Estas relaciones impulsan el desarrollo de productos y servicios, les ayudan a dominar nuevas plataformas tecnológicas y generan nuevos ahorros por eficiencia.

Estas relaciones pueden abarcar servicios como soporte informático, servicios de computación en la nube, desarrollo y soporte de aplicaciones, comprobación de solvencia crediticia de clientes, desarrollo de modelos, instalaciones de oficina, servicios de nóminas y recursos humanos, análisis de mercado y datos, entre otros.

Estas relaciones también pueden incluir asociaciones industriales y pueden abarcar servicios de tarjetas de crédito, asociaciones digitales, productos financieros de marca y otras actividades promocionales.

Lidiar con relaciones profundamente arraigadas

La guía reconoce que algunos de estos servicios y asociaciones están tan integrados en muchos modelos de negocio bancario que es esencial que los marcos de gestión de riesgos de los bancos, y el escrutinio regulatorio que los acompaña, se extiendan a estas complejas relaciones con terceros.

Si bien la publicación de la guía propuesta ofrece a la industria la oportunidad de aportar sus comentarios, también indica que la gestión de riesgos de terceros (TPRM) ha pasado de ser algo «deseable» a ser algo «necesario».

Para ser justos, los principios de gestión de riesgos del TPRM son similares a otros aspectos de la gestión de riesgos en la banca.

La guía establece varias áreas fundamentales que deben tenerse en cuenta:

• Planificación
• Diligencia debida y selección de terceros
• Negociación de contratos
• Supervisión y rendición de cuentas
• Seguimiento continuo
• Rescisión

Una serie de retos muy variados.

Dentro de estos titulares tan concisos, hay matices significativos. 

1. En primer lugar, se reconoce que los retos y problemas del TPRM para las instituciones más grandes son radicalmente diferentes de los de las más pequeñas. El texto reconoce que obligar a las instituciones de ambos extremos del espectro a utilizar los mismos sistemas y procesos sería poco práctico. En su lugar, se espera que las instituciones dispongan de sistemas y procedimientos que se ajusten a su perfil de riesgo TPRM específico.
2. En segundo lugar, la guía reconoce que las relaciones con terceros a menudo requieren relaciones subcontratadas de cuarto y quinto nivel para cumplir con los requisitos contractuales. Esto obliga a los bancos a tener en cuenta la naturaleza de estas relaciones más profundas, y no solo a los terceros con los que contratan directamente, a la hora de llevar a cabo su diligencia debida y gestionar sus riesgos. Los bancos deben comprender cómo obtener visibilidad sobre estas relaciones profundas, incluso cuando carecen de una relación contractual directa.
3. En tercer lugar, estas relaciones profundas ponen de relieve la cuestión del riesgo de concentración. Por ejemplo, en el sector bancario, muchas aplicaciones de software y proveedores de servicios ofrecen capacidades basadas en SaaS para prestar sus funciones. A menudo recurren a uno de los pocos proveedores de servicios en la nube para suministrar la pila tecnológica subyacente.  El reducido número de proveedores de servicios en la nube significa que, si uno de ellos tiene un problema, sea cual sea su magnitud, puede afectar potencialmente a muchos proveedores de servicios de software para bancos. Esto, a su vez, puede afectar a los bancos que utilizan estos servicios, potencialmente en procesos críticos para el negocio, lo que repercute en la economía en general y en la confianza en el sector bancario. Estos riesgos pueden surgir a través de problemas tecnológicos, así como de acontecimientos contractuales o comerciales.

Integración del TPRM en el panorama de riesgos empresariales

Aplicar los principios básicos de la gestión de riesgos a la TPRM significa que estos riesgos deben integrarse en el panorama más amplio de la gestión de riesgos empresariales. Esto ayuda a las empresas a tener en cuenta su perfil de TPRM en sus planes generales de resiliencia empresarial, con el fin de garantizar que, incluso en caso de interrupción de la actividad, puedan seguir prestando sus servicios básicos, tal y como esperan los reguladores del sector financiero y la economía real.

Aunque los reguladores han solicitado comentarios, la dirección que deben tomar los bancos está clara, y deben comenzar a elaborar sus planes para implementar el texto definitivo.

Entonces, ¿cómo es la solución óptima para el riesgo TPRM?

La capacidad de «llegar» a lo más profundo de la cadena de suministro significa que es esencial contar con una aplicación descentralizada basada en SaaS. Las empresas del tercer, cuarto y quinto nivel de una cadena de suministro pueden implementar rápida y fácilmente los requisitos de TPRM de las empresas, incluso si no tienen una relación directa con ellas.

Dentro de un banco, debe existir un repositorio centralizado que contenga los contratos pertinentes, la documentación estándar de las políticas y los perfiles de riesgo de los distintos proveedores. También es esencial la capacidad de supervisar de forma proactiva los distintos elementos de la cadena de suministro. Si surgen problemas en cualquier nivel —técnico, comercial, operativo o político, por ejemplo—, las funciones de riesgo, operaciones y cumplimiento normativo del banco pueden responder de forma proactiva según sea necesario.

Mitratech ofrece una gama de soluciones TPRM potentes y probadas que ayudarán a los bancos a responder de manera positiva y decisiva a las mayores expectativas de sus reguladores. Más información.