OCC: El riesgo de terceros es un tema clave para los bancos estadounidenses en 2022

La revisión destaca que la OCC considera los problemas de riesgo operativo como el riesgo más importante al que se enfrentan los bancos en 2022. El riesgo de incumplimiento también es un problema para la OCC, en parte debido a una corriente continua de requisitos reglamentarios, pero también por la liquidación del Programa de Protección de los Salarios (PPP) de la Ley CARES (Coronavirus Aid, Relief, and Economic Security) y otros programas de indulgencia de morosidad. La OCC también es consciente del impacto en los bancos de los bajos márgenes de interés y de la necesidad de mejorar los beneficios.

La atención de la OCC al riesgo operativo ha surgido, en parte, por los retos de los dos últimos años, pero también por la evolución a más largo plazo. La evolución tecnológica y la necesidad de ofrecer nuevos productos y servicios en una economía de bajos tipos de interés han sido los principales factores.

Tres riesgos operativos interconectados

La OCC ha identificado tres riesgos operativos críticos que están interconectados: ciberseguridad, la digitalización en curso de servicio bancarios, y el utilización de terceros para prestar servicios críticos.

La ciberseguridad es una cuestión bien entendida, pero la naturaleza cambiante de los servicios bancarios -y las oportunidades de que surjan nuevas amenazas- hacen que las inversiones en este ámbito sigan siendo importantes y esenciales. Muchos de estos cambios en la banca han sido impulsados por el rápido crecimiento de los servicios bancarios digitales. A su vez, estos cambios están determinados por la forma en que los bancos han colaborado estrechamente con terceros, ya sea como proveedores de datos, tecnología o aplicaciones empresariales, o como socios que ofrecen nuevas vías de acceso al mercado.

¿Principal preocupación? El riesgo de terceros

En muchos sentidos, es el riesgo de terceros el que más preocupa a los reguladores estadounidenses, hasta el punto de que la OCC, la Federal Deposit Insurance Corporation (FDIC) y la Reserva Federal están colaborando en cómo gestionar mejor las relaciones con terceros.

Históricamente, los bancos han sido lentos a la hora de adoptar servicios de terceros, especialmente servicios de computación en nube, en comparación con sus homólogos fuera de los servicios financieros. Sin embargo, una vez abordadas las consideraciones de seguridad, los bancos están recuperando con creces el tiempo perdido. Están adoptando agresivamente capacidades informáticas basadas en la nube para su propio uso, así como la adopción de servicios basados en la nube que figuran en muchos de los servicios prestados a través de su cadena de suministro, directamente por terceros proveedores, así como por proveedores de cuarto y quinto nivel.

Estos servicios de terceros son fundamentales para la prestación de muchos servicios y productos nuevos, en los que los proveedores y socios aportan gran parte de los datos, la tecnología, los conocimientos y las vías de comercialización que los bancos necesitan para que estas iniciativas sean un éxito. Sencillamente, las organizaciones de terceros pueden prestar estos servicios de forma más rápida y rentable que si los bancos actuaran por su cuenta.

Sin embargo, como han observado los reguladores y los bancos, la normas y procesos de seguridad y gestión de datos que figuran en los bancos debe reflejarse en sus terceros proveedores de servicios, y su cadenas de suministro. Los bancos y, en última instancia, los reguladores, necesitan tener visibilidad de que estos proveedores tienen la capacidad de aplicar y seguir sus requisitos.

Este principio de gestión del riesgo frente a terceros constituye el núcleo de la Propuesta de directrices interinstitucionales para las relaciones con tercerosemitido por la OCC, la FDIC y la Fed, que actualmente está a consulta. Los reguladores y los bancos necesitan visibilidad de sus relaciones con terceros y de la cadena de suministro más profunda, que a su vez apoyan estos negocios. Las cuestiones relativas a la solidez operativa y los riesgos de concentración están en el punto de mira de los reguladores, que buscan nuevos riesgos sistémicos que puedan afectar a los bancos y a la economía en general.