La proporcionalidad en acción: Descifrando el marco simplificado de gestión del riesgo TIC para entidades financieras menores

En el complejo mundo de la regulación financiera, la proporcionalidad es un principio fundamental. El marco simplificado de gestión del riesgo relacionado con las Tecnologías de la Información y la Comunicación (TIC) es un claro ejemplo de cómo se aplica este principio en la práctica. Este artículo analiza en detalle qué es este marco, a quién afecta y cuáles son sus implicaciones.

¿En qué consiste el marco simplificado de gestión del riesgo?

El marco simplificado de gestión del riesgo TIC es un conjunto de normas menos estrictas diseñadas para entidades financieras de menor tamaño o con servicios más limitados. Los puntos clave de este marco son:

1. Exención de cargos específicos: Las entidades no están obligadas a crear un cargo para el seguimiento de acuerdos con proveedores terceros de servicios TIC.
2. Flexibilidad en la estructura organizativa: No es necesario designar a un miembro de la alta dirección para supervisar la exposición al riesgo TIC.
3. Simplificación de controles internos: No se requiere asignar la responsabilidad de gestión y supervisión del riesgo TIC a una función de control independiente.
4. Reducción de la carga documental: No es obligatorio documentar y revisar anualmente el marco de gestión del riesgo TIC.
5. Flexibilidad en auditorías: No se exigen auditorías internas periódicas del marco de gestión del riesgo TIC.
6. Evaluaciones menos frecuentes: No es necesario realizar evaluaciones exhaustivas tras cada cambio importante en los procesos e infraestructuras TIC.
7. Simplificación en análisis de riesgos: No se requieren análisis de riesgos periódicos sobre sistemas TIC heredados.
8. Menor exigencia en planes de continuidad: No es obligatorio someter a auditorías internas independientes los planes de respuesta y recuperación TIC.
9. Flexibilidad en gestión de crisis: No se exige disponer de una función específica de gestión de crisis.
10. Pruebas simplificadas: Las pruebas de los planes de continuidad y recuperación no necesitan reflejar escenarios complejos de conmutación entre infraestructuras.
11. Menor carga informativa: No es necesario comunicar a las autoridades estimaciones de costes y pérdidas por incidentes TIC graves.
12. Flexibilidad en infraestructura: No se exige mantener capacidades TIC redundantes (aunque las microempresas deben evaluar esta necesidad según su perfil de riesgo).
13. Reducción de obligaciones de reporting: No es necesario comunicar a las autoridades los cambios tras incidentes TIC.
14. Simplificación en innovación: No se exige un seguimiento continuo de avances tecnológicos relevantes.
15. Pruebas de resiliencia adaptadas: Se permite un régimen más flexible en cuanto a programas de pruebas de resiliencia operativa digital.
16. Exención de pruebas avanzadas: No se requieren pruebas de penetración basadas en amenazas.
17. Flexibilidad en auditorías a terceros: Las microempresas pueden delegar ciertos derechos de auditoría en un tercero independiente nombrado por el proveedor de servicios TIC.

Si te ha interesado este artículo no dudes en leer:

DORA: Cumplimiento y gestión de riesgos para proveedores de servicios de criptoactivos

El Reglamento DORA impone nuevas obligaciones a los proveedores de servicios de criptoactivos. En ILP Abogados, contamos con un equipo especializado en criptoactivos para ayudarte a cumplir con estas obligaciones y gestionar tus riesgos.

¿A qué entidades afecta este marco simplificado?

El marco simplificado se aplica a:

1. Empresas de servicios de inversión pequeñas y no interconectadas.
2. Fondos de pensiones de empleo pequeños que cumplan las siguientes condiciones:

   – Pueden quedar excluidos según la Directiva (UE) 2016/2341.

   – Gestionan planes de pensiones con, en conjunto, no más de 100 partícipes.

3. Entidades exentas en virtud de la Directiva 2013/36/UE.
4. Entidades de pago referidas en el artículo 32, apartado 1, de la Directiva (UE) 2015/2366, exentas conforme al Derecho nacional.
5. Entidades de dinero electrónico mencionadas en el artículo 9 de la Directiva 2009/110/CE, exentas según el Derecho nacional.
6. Microempresas, según la definición de la UE.

Es importante destacar que las entidades de pago y de dinero electrónico no exentas por su Derecho nacional deben cumplir con el marco general establecido en el Reglamento.

Contacta con Athenea, nuestra asistente de IA   

Si te ha gustado este artículo, también puede resultarte interesante la lectura del siguiente:

DORA: Impacto en la transparencia, protección del inversor y gobernanza