Como comentábamos en el otro artículo, uno de los principales problemas prácticos de las nuevas Guidelines es el tratamiento de aquellos proveedores cuyo servicio principal es de naturaleza no TIC, pero que utilizan sistemas, aplicaciones, plataformas o subproveedores TIC para prestar dicho servicio, situación especialmente frecuente en servicios de recursos humanos, nóminas, KYC/AML, servicing, gestión documental, call centers, reporting regulatorio, servicios de compliance o BPO, en los que la actividad contratada es esencialmente operativa o profesional pero su ejecución depende en mayor o menor medida de herramientas tecnológicas.
La existencia de tecnología en la prestación no convierte por sí sola al proveedor ni al contrato en un servicio TIC sujeto a DORA, si bien el análisis debe realizarse sobre la naturaleza del servicio que recibe la entidad financiera y no sobre el hecho de que el proveedor utilice sistemas informáticos para producirlo.
DORA define los servicios TIC de forma deliberadamente amplia como servicios digitales y de datos prestados mediante sistemas TIC de forma continuada, pero las ESAs han aclarado que corresponde a cada entidad analizar qué servicio está adquiriendo realmente.
Ahora bien, dadas las implicaciones, las Guidelines finales de la EBA reconocen expresamente este problema señalando que, cuando un acuerdo que tiene por objeto un servicio, no TIC implica también la utilización de servicios TIC, pues la entidad financiera debe determinar si ese componente TIC es suficientemente material para la prestación como para activar DORA en lugar de las Guidelines de servicios no TIC. Por tanto, la frontera regulatoria no se determina simplemente preguntando si “hay tecnología”, sino evaluando la materialidad del componente TIC dentro del servicio contratado.
Esto exige distinguir entre, al menos, tres situaciones.
1. El sistema TIC es meramente instrumental para prestar el servicio no TIC.
Es el supuesto más sencillo, que sería cuando el proveedor utiliza software, infraestructura, bases de datos o aplicaciones para organizar y ejecutar su actividad, pero la entidad financiera está contratando fundamentalmente un resultado o actividad no TIC.
Por ejemplo, una gestoría laboral puede utilizar una plataforma de nóminas, un despacho puede emplear un gestor documental o un call center utilizar una aplicación CRM.
En estos casos, el hecho de que sin tecnología sea difícil prestar actualmente el servicio no significa automáticamente que la entidad esté adquiriendo un “ICT service” de ese proveedor, pues si el sistema es una herramienta interna o instrumental del proveedor y el objeto económico y funcional de la relación sigue siendo el servicio no TIC, el acuerdo debería permanecer, en principio, dentro del marco de las Guidelines EBA de terceros no TIC.
Por ello, el indicio particularmente relevante es que la entidad financiera no consuma directamente el sistema TIC como servicio diferenciado, que es que no contrata una aplicación, infraestructura, almacenamiento, procesamiento, hosting o plataforma como tal, sino un servicio empresarial que el proveedor produce con ayuda de dicha tecnología.
2. El componente TIC forma una parte material de lo que recibe la entidad.
El análisis cambia cuando la tecnología deja de ser una mera herramienta interna del proveedor y se convierte en un elemento sustancial de la prestación.
Por ejemplo, puede contratarse un servicio de reporting regulatorio en el que, además del trabajo realizado por especialistas, la entidad utiliza permanentemente una plataforma del proveedor para cargar información, procesarla, realizar cálculos, consultar dashboards y generar los outputs regulatorios.
En estas circunstancias hay que analizar si ese componente reúne en sí mismo las características de un servicio TIC conforme al artículo 3(21) de DORA y, adicionalmente, si resulta material para la prestación global.
En este sentido, no existe actualmente un umbral cuantitativo establecido por la EBA —por ejemplo, un porcentaje del precio del contrato o de las horas dedicadas— que permita resolver automáticamente esta cuestión, pues el análisis es esencialmente funcional y basado en riesgo.
En la práctica, una metodología interna podría considerar, entre otros elementos:
- Objeto principal del contrato: qué resultado está comprando realmente la entidad y cómo se describe el servicio contractual y comercialmente.
- Autonomía del componente TIC: si la herramienta tecnológica constituye un servicio identificable por sí mismo o simplemente una herramienta de producción utilizada internamente por el proveedor.
- Utilización directa: si la entidad o sus empleados utilizan directamente la aplicación, plataforma, infraestructura o servicio digital proporcionado por el tercero.
- Dependencia: si el servicio no TIC podría seguir prestándose razonablemente ante la indisponibilidad del componente tecnológico o si la caída de este supone de facto la caída del servicio.
- Importancia en la generación del resultado: si la prestación depende fundamentalmente de procesamiento, almacenamiento, transmisión o tratamiento digital realizado por los sistemas del proveedor.
- Configuración contractual: existencia de SLAs tecnológicos, disponibilidad de plataforma, licencias, capacidad, soporte tecnológico, mantenimiento, hosting u otras prestaciones TIC específicamente comprometidas.
- Sustituibilidad: si podría sustituirse la herramienta tecnológica sin sustituir al proveedor del servicio principal o, por el contrario, ambos elementos están inseparablemente unidos.
- Impacto sobre una función crítica o importante: la dependencia tecnológica adquiere especial relevancia cuando el servicio soporta una funcionalidad crítica/esencial.
Conviene que esta evaluación quede registrada mediante un ICT/non-ICT scoping assessment y no únicamente mediante una etiqueta en el registro de proveedores, pues las Guidelines atribuyen la decisión a la entidad, así como la capacidad de explicar posteriormente al supervisor por qué se consideró que el componente TIC era o no material será tan importante como la propia clasificación.
3. El proveedor no TIC utiliza a su vez a un subproveedor TIC.
Este supuesto merece un tratamiento específico porque puede generar una expansión excesiva del perímetro DORA si se interpreta incorrectamente.
Las ESAs han aclarado expresamente que, cuando el proveedor directo de la entidad financiera no está prestando un servicio TIC, el mero hecho de que dicho proveedor utilice a su vez servicios TIC de terceros para cumplir su contrato no convierte automáticamente a esos subproveedores TIC en proveedores del registro DORA de la entidad financiera. Es decir, DORA no pretende obligar a “atravesar” cualquier servicio no TIC hasta identificar toda la tecnología utilizada internamente en su cadena de suministro.
Por ejemplo, si un proveedor de nóminas contrata infraestructura cloud para ejecutar sus propios sistemas, el cloud provider no pasa automáticamente a ser un ICT third-party service provider directo de la entidad financiera.
Sin embargo, las ESAs introducen una excepción muy importante y es que si el servicio TIC situado en esa cadena soporta una función crítica o importante, o partes materiales de ella, hasta el punto de que pueda considerarse equivalente a un servicio TIC prestado directamente a la entidad financiera, pueden activarse las exigencias del Capítulo V de DORA.
Por tanto, no debería utilizarse como criterio automático ni “todo TIC en la cadena entra en DORA” ni el criterio contrario de que “como mi proveedor contractual es no TIC, DORA nunca puede aplicarse”. Lo que exige la regulación es entender dónde está realmente la dependencia tecnológica.
Dicho esto ¿Cómo debería abordarse operativamente?
La solución más robusta es evitar clasificar únicamente al proveedor como “TIC” o “no TIC”, pues la clasificación debería realizarse como mínimo a nivel de servicio.
Un mismo proveedor puede prestar a la entidad un servicio no TIC y, simultáneamente, un servicio TIC y existir un único contrato marco que incluya distintas prestaciones, por lo que la mera clasificación del vendor master como “Non-ICT provider” puede ocultar estas situaciones.
Por ello, para cada servicio no TIC que utilice tecnología de forma relevante convendría incorporar una pregunta específica en el proceso de alta y revisión y es, ¿La prestación incluye un servicio digital o de datos proporcionado mediante sistemas TIC cuya utilización sea material para la prestación contratada?
Si la respuesta es negativa y la tecnología es meramente instrumental, la relación permanecería bajo el framework de terceros no TIC.
Si la respuesta es positiva, debería realizarse el análisis de DORA del artículo 3(21), determinar cuál es exactamente el servicio TIC prestado y decidir si su materialidad hace aplicable el régimen DORA.
Cuando las prestaciones TIC y no TIC sean claramente separables contractual y funcionalmente, una solución operativa razonable es mapearlas como servicios diferenciados, aunque estén recogidas en un mismo contrato marco, evitando que la existencia de un pequeño componente tecnológico convierta artificialmente toda la relación en TIC, mientras que cuando ambas prestaciones estén completamente entrelazadas, será necesario realizar una evaluación conjunta y conservar la justificación de la clasificación adoptada.
Principal riesgo de implementación
Este punto probablemente genere diferencias de criterio entre entidades porque la EBA no proporciona una fórmula cerrada para determinar cuándo un componente TIC pasa a ser “material” y, de hecho, durante la consulta, varios participantes señalaron precisamente esta dificultad y solicitaron criterios o ejemplos adicionales.
Por ello, desde una perspectiva de control, lo más relevante será contar con una metodología consistente, documentada y reproducible de demarcación DORA / EBA non-ICT, pues el objetivo no debería ser buscar la clasificación que genere menos requisitos, sino poder demostrar que servicios comparables reciben una clasificación comparable y que las dependencias tecnológicas materiales no quedan ocultas detrás de un proveedor formalmente catalogado como “no TIC”.
En definitiva, la regla práctica puede resumirse así: que un proveedor no TIC utilice sistemas TIC no lo convierte automáticamente en proveedor TIC, pero cuando la tecnología deja de ser una herramienta del proveedor y pasa a ser una parte material del servicio que recibe la entidad, debe reabrirse el análisis de DORA.