El pasado 18 de septiembre se publicaron (no vigentes) las nuevas directrices de la EBA en las que devuelve de forma oficial la pelota de los proveedores TIC a DORA, centrándose en los restantes (que realmente pueden ser TICs bajo nuestro concepto). Pero veámoslo con detalle.
1. Del outsourcing al riesgo de terceros
Hasta ahora, buena parte del análisis regulatorio empezaba preguntando si este contrato constituye outsourcing y lo cierto es que la definición de outsourcing de 2019 partía esencialmente de que un tercero realizara un proceso, servicio o actividad que, de otro modo, realizaría la propia entidad.
Ahora, las nuevas Guidelines introducen como concepto principal el third-party arrangement, mucho más amplio, ya que absorbe cualquier acuerdo mediante el cual un proveedor externo —también un proveedor del mismo grupo— presta de forma recurrente o continuada apoyo a una o varias funciones de la entidad y esto obliga a cambiar bastante la lógica de inventario pues una entidad que tenga perfectamente identificado su universo de outsourcing conforme a las anteriores, no puede asumir que ese inventario sea el universo completo porque hay servicios recurrentes adquiridos a terceros que hasta ahora podían haberse considerado simplemente procurement o vendor management y que ahora deben pasar por el análisis TPRM, si bien el grueso de las exigencias más pesadas se concentra en relaciones que soportan funciones esenciales o importantes.
2. Cómo encaja con DORA
Como comentábamos al inicio, DORA ya regula desde el 17 de enero de 2025 el riesgo derivado de servicios TIC prestados por terceros y las nuevas Guidelines de EBA pretenden cubrir el otro lado, que son los servicios no TIC y es que conceptualmente, la EBA quiere que una entidad tenga un único modelo de gobierno de riesgo de terceros, aunque jurídicamente haya dos regímenes y es por ello por lo que ha alineado deliberadamente muchos conceptos con DORA (estructura del registro, las cláusulas contractuales o el enfoque sobre salida y continuidad).
Y esto es muy relevante porque, en principio, una entidad no debería acabar teniendo un criterio de criticidad para DORA y otro completamente diferente para proveedores no TIC.
3. El problema de los servicios híbridos TIC/no TIC
Probablemente sea uno de los puntos que dará más trabajo en la práctica porque hay contratos claramente TIC y contratos claramente no TIC, pero hay una enorme zona intermedia. Pensemos en un proveedor de servicios de recursos humanos, una gestoría, una empresa de servicing, un proveedor de KYC operativo o una plataforma de externalización de procesos que utiliza tecnología como una parte relevante de su servicio.
La EBA deja la clasificación en manos de la entidad y, si la utilización de TIC es simplemente instrumental o incidental al servicio principal, hay que valorar si el componente TIC es suficientemente material como para llevar el acuerdo al régimen DORA, mientras que si no lo es, seguirá bajo estas Guidelines no TIC, pero si un contrato incluye servicios TIC y no TIC separables, puede ser necesario descomponer la relación y aplicar DORA a una parte y las Guidelines EBA a la otra.
En otras palabras, una de las primeras cosas que deberían tener las entidades es una metodología escrita de demarcación DORA / EBA non-ICT.
Y no sólo respecto a nuestros terceros, sino también en cuanto a nuestros cuartos, pues si el proveedor directo presta un servicio no TIC y utiliza a su vez servicios TIC para poder prestarlo, esos subproveedores TIC no pasan automáticamente al registro DORA de la entidad financiera, salvo que la entidad considere que dicho componente tiene la entidad suficiente como para ser considerado equivalente a una prestación TIC directa.
4. Quién queda sujeto
El perímetro de entidades es más amplio que el de las Guidelines de outsourcing de 2019 pues incluye, entre otros, entidades de crédito e investment firms sujetas a CRD, sucursales de entidades de crédito de terceros países, entidades de pago, entidades de dinero electrónico, determinadas investment firms sujetas al régimen IFD/IFR, emisores de asset-referenced tokens bajo MiCA, determinadas entidades financieras que actúan como acreedores bajo la Mortgage Credit Directive y sociedades financieras o mixtas de cartera en determinados supuestos.
Para grupos la EBA mantiene la lógica individual, subconsolidada y consolidada según corresponda, si bien la entidad individual no puede desprenderse de su responsabilidad simplemente porque el proceso esté centralizado en la matriz.
5. Exclusiones
El ámbito es más amplio que outsourcing, pero no significa que haya que tratar literalmente a cualquier proveedor como proveedor regulado, pues la versión final mantiene exclusiones para determinados servicios y relaciones como auditorías legales, determinados proveedores de información de mercado, infraestructuras y esquemas de pago, servicios de limpieza y mantenimiento, mensajería financiera global y servicios auxiliares de impacto reducido, entre otros.
Además, la versión final refuerza el principio de materialidad y es que los servicios no TIC que tengan un impacto inmaterial sobre el riesgo pueden quedar fuera del perímetro relevante, lo cual no deja de ser importante porque uno de los principales reproches al borrador de 2025 era precisamente que podía acabar convirtiendo prácticamente todo procurement en TPRM regulatorio.
6. La clasificación como función esencial o importante pasa a ser el verdadero centro
Esta es probablemente la decisión más importante de todo el framework y es que la EBA quiere que la entidad determine si la relación soporta una función cuya interrupción podría afectar materialmente a su situación financiera, continuidad operativa o cumplimiento regulatorio y es que la función pertenece a la entidad financiera, no al proveedor. Es decir, técnicamente no se dice que “Proveedor X es crítico”, sino que el proveedor presta un servicio que soporta una determinada función esencial o importante.
Y aquí hay dos situaciones especialmente sensibles.
La primera son tareas relacionadas con las funciones de control interno, como riesgos, compliance o auditoría interna, pues existe una presunción fuerte de criticidad/importancia cuando esas tareas se encomiendan a terceros.
La segunda es cuando el proveedor realiza funciones vinculadas a actividades reguladas —por ejemplo, actividad bancaria o determinados servicios de pago— en una medida tal que esas funciones requerirían autorización o registro.
7. Gobierno
Externalizar una actividad no significa externalizar la responsabilidad regulatoria y, por ello, el Consejo conserva la responsabilidad última sobre las actividades y riesgos derivados del proveedor, debiendo aprobar una estrategia y una política escrita de gestión del riesgo de terceros y asegurarse de que existen recursos, procesos y controles suficientes para supervisar esas relaciones.
En este sentido, la EBA mantiene también el conocido principio de evitar la “empty shell” o entidad vacía, que es que una entidad regulada no puede externalizar tanto conocimiento, personal, capacidad decisoria y control que deje de tener sustancia suficiente para cumplir las condiciones de su autorización.
8. El registro de terceros se convierte en una pieza central
Las entidades deberán mantener un registro de información de sus acuerdos con terceros dentro del ámbito, por lo que lo ha alineado en lo posible con DORA, lo que permite mantener un único registro integrado TIC + no TIC, evitando dos bases independientes.
9. Evaluación previa del riesgo
Antes de contratar, hay que realizar un análisis de la relación.
Para una función esencial/importante, la entidad deberá valorar de forma mucho más exhaustiva qué riesgos introduce el proveedor, qué dependencias crea y cómo afectaría un fallo, analizandocuestiones como riesgo operacional, legal, de concentración, continuidad, protección de datos, localización, sustituibilidad y, cuando sea relevante, riesgos ligados a la cadena de suministro y a la geografía de la prestación.
Un elemento especialmente importante será la sustituibilidad, pues no basta con decir que existen otros proveedores en el mercado, sino que hay que pensar si realmente sería posible migrar, cuánto tardaría, qué costes implicaría, qué conocimiento perdería la entidad, qué incompatibilidades existirían y si sería viable reinternalizar la actividad.
Además, también debe observarse el riesgo de concentración, donde la EBA eleva el perfil ya que hay que identificar dependencias excesivas, como es un gran número de servicios con el mismo proveedor, varias funciones críticas/esenciales dependientes de un mismo proveedor, grupos de proveedores económicamente vinculados, dificultades de sustitución o cadenas de subcontratación que terminan convergiendo en los mismos actores.
Además, las Guidelines piden a las autoridades supervisoras observar concentración no solo dentro de cada entidad sino también a nivel sectorial, por lo que aunque muchos bancos pueden individualmente creer que tienen diversificación suficiente y, sin embargo, todo el sistema puede acabar dependiendo de un número muy reducido de proveedores.
10. Due diligence del proveedor
La due diligence deja de ser algo reservado a outsourcing crítico, si bien para estas funciones se espera un examen bastante sólido del proveedor en el que debe incluirse la reputación empresarial, capacidades y experiencia, situación financiera, estructura de control interno y risk management, continuidad de negocio, permisos o autorizaciones necesarios, capacidad para soportar auditorías y supervisión, dependencias geográficas y riesgos de la supply chain.
Y esto tiene una consecuencia práctica bastante clara, que es que los actuales cuestionarios de due diligence diseñados exclusivamente para “outsourcing material” probablemente tendrán que transformarse en un modelo de varios niveles, pues no todos los proveedores necesitarán un cuestionario de 150 preguntas, pero tampoco será suficiente que relaciones no clasificadas históricamente como outsourcing se limiten al alta estándar de compras.
11. Contratos y subcontratación
La EBA introduce una base de requisitos contractuales con una arquitectura muy parecida a DORA para las relaciones dentro de las que soportan funciones esenciales/importantes, pues ademas de lo típico, se piden indicadores cuantitativos o cualitativos que permitan medir el servicio, obligaciones de reporting y notificación, mecanismos de continuidad, derechos de acceso, información y auditoría, requisitos sobre testing cuando proceda, derechos de terminación y mecanismos que permitan ejecutar una estrategia de salida ordenada.
Respecto a la subcontratación, también se aproxima mucho a DORA pues la entidad tiene que entender, para los críticos/esenciales, qué subcontratistas sostienen materialmente la prestación de la función esencial/importante, por lo que en el contrato se debe definir si se permite la subcontratación y bajo qué condiciones (información/notificación, posibilidad de objeción y determinados derechos de terminación si la cadena cambia de una manera que la entidad no puede aceptar).
En definitiva, las nuevas guidelines buscan acercarse al modelo DORA, lo cual no es del todo negativo, sobre todo teniendo en cuenta los grises que existen con los no TIC que utilizan servicios TIC.