DORA: cláusulas esenciales del derecho de acceso, inspección y auditoría de proveedores TIC.

El Reglamento DORA (Digital Operational Resilience Act) establece un marco regulatorio sólido para garantizar la resiliencia operativa digital del sector financiero. Dentro de este marco, los contratos para la prestación de servicios de TIC que sustenten funciones esenciales o importantes adquieren una relevancia crucial. Más allá de las cláusulas contractuales ya mencionadas, es fundamental que estos contratos incluyan disposiciones específicas que garanticen los derechos de acceso, inspección y auditoría por parte de la entidad financiera.

A continuación te presentamos la colaboración en formato vídeo, por si fuera de tu interés:

¿Por qué son importantes estos derechos?

Estos derechos son importantes por lo siguiente:

1) Seguimiento del rendimiento del proveedor:

Los derechos de acceso, inspección y auditoría permiten a las entidades financieras realizar un seguimiento continuo del rendimiento del proveedor tercero de servicios TIC, verificando que se cumplan los niveles de servicio acordados y que se adopten las medidas de seguridad necesarias.

2) Identificación temprana de riesgos:

A través de las inspecciones y auditorías, las entidades financieras pueden identificar de manera temprana posibles vulnerabilidades o incumplimientos contractuales que puedan poner en riesgo su operativa.

3) Cumplimiento normativo:

Estos derechos permiten a las entidades financieras demostrar a las autoridades competentes que están cumpliendo con los requisitos establecidos en el Reglamento DORA y en otras normativas aplicables.

4) Fortalecimiento de la relación contractual:

Al establecer claramente los derechos de acceso y auditoría, se fortalece la relación contractual entre la entidad financiera y el proveedor tercero de servicios TIC, fomentando la transparencia y la confianza.

¿Cuál es el alcance de los derechos de acceso, inspección y auditoría?

El acceso, la inspección y la auditoría, permiten:

1. Acceso a información y sistemas: Las entidades financieras deben tener el derecho de acceder a la información y a los sistemas del proveedor que sean relevantes para la prestación de los servicios contratados.
2. Inspección de instalaciones: Las entidades financieras o un tercero designado por ellas deben tener el derecho de inspeccionar las instalaciones del proveedor donde se prestan los servicios.
3. Auditorías: Las entidades financieras deben poder realizar auditorías periódicas de los sistemas y procesos del proveedor, incluyendo la revisión de la documentación y la realización de pruebas.
4. Copia de información: Las entidades financieras deben tener el derecho de hacer copias de la información relevante para la prestación de los servicios, como parte de las actividades de seguimiento y control.
5. Cooperación del proveedor: El proveedor tercero de servicios TIC debe cooperar plenamente con la entidad financiera durante las inspecciones y auditorías, proporcionando toda la información y el acceso necesarios.

Si te ha interesado este artículo no dudes en leer:

DORA y la confianza digital: El valor de las cláusulas contractuales tipo para los servicios en la nube

El Reglamento DORA (Digital Operational Resilience Act) representa un hito en la regulación de la ciberseguridad y la resiliencia operativa en el sector financiero.

Intervención de la autoridad competente:

Además de los derechos de las entidades financieras, el Reglamento DORA también prevé la posibilidad de que la autoridad competente de la entidad financiera realice inspecciones y auditorías al proveedor tercero de servicios TIC, previa notificación. Este mecanismo permite a las autoridades supervisar el cumplimiento de la normativa y garantizar la protección de los intereses de los consumidores.

En definitiva:

Los derechos de acceso, inspección y auditoría son herramientas fundamentales para que las entidades financieras puedan garantizar la resiliencia operativa digital de sus servicios. Al incluir estas disposiciones en los contratos con proveedores terceros de servicios TIC, las entidades financieras pueden ejercer un mayor control sobre los riesgos asociados a la tecnología y cumplir con los requisitos establecidos en el Reglamento DORA.

Si te ha gustado este artículo, también puede resultarte interesante la lectura del siguiente:

DORA y la Notificación de incidentes TIC: ¿Un Gran Hermano Digital para la Banca?