En mayo de 2017, las autoridades que conforman el Sistema Europeo de Supervisores Financieros, Autoridad Bancaria Europea (EBA), Autoridad Europea de Mercados y Valores (ESMA) y Autoridad de Seguros y Pensiones (EIOPA) publicaron una serie de propuestas que refrendaban la necesidad de crear un marco común de cooperación que permitiera un equilibrio entre innovación y garantías para el consumidor, desde el punto de vista de la prestación de servicios digitales.
La EIOPA diseño seis áreas de estrategia para garantizar la protección de los consumidores y salvaguardar la estabilidad financiera:
Ya es una realidad y mejora la igualdad de condiciones en Europa, permitiendo simplificar y armonizar las normas en resiliencia operativa digital, sin perjuicio de las directrices fijadas por EBA, ESMA o EIOPA sobre esta materia, o las prácticas de supervisión nacionales.
En la actual coyuntura de externalización, los riesgos TIC siguen aumentado y dentro de las organizaciones marcan una potencial vulnerabilidad que precisa de estudio, priorización e integración en los programas de control internos. Esto sucede cuando:
Ante un objetivo determinado, tener visibilidad de todos los riesgos es clave para adoptar la acción adecuada.
DORA viene a endurecer los actuales marcos de gobierno, gestión y control de las entidades financieras, introduciendo requerimientos previos tales como la evaluación y homologación previa al contrato de proveedores TIC y en el proceso posterior.
Pero como un riesgo TIC no sólo tiene su origen en la externalización, sino también en el riesgo de disponibilidad y continuidad, integridad de datos etc.…las entidades deben contemplar todos esos riesgos y gestionarlos en las políticas y procedimientos de riesgos TIC globales, junto con la manera prevista de actuación que tienen, en caso de producirse un incidente.
Ello nos lleva a plantear cual sería la forma más eficiente de organizar un esquema de decisión empresarial, la figura del CEO, CIO, CDO, CTO ect…supone en ocasiones, una necesidad de delimitación de competencias, que no siempre está establecida claramente o que como consecuencia de transformación o readaptación de cargos supone un choque entre áreas.
Debemos tener presente que cada vez más se precisará de una comunicación que trasciende las estructuras jerárquicas tradicionales, el ejemplo mas claro es la figura del Chief Technology Risk Officer (CTRO) cargo responsable de gestionar de manera eficiente y efectiva el control sobre los riesgos y oportunidades a los que se enfrenta una compañía garantizando que éste se encuentra dentro de los límites fijados por la misma.
Entre las competencias que tiene esta figura podemos destacar:
Esta figura CTRO, puede parecer que entra en conflicto con el Chief Executive Officer (CEO), que es el máximo responsable de la gestión y administración de la compañía, dado que sobre él recae la responsabilidad de la toma de decisiones, estrategias y objetivos de una organización, pero no es así, dado que su el CTRO tiene como responsabilidad evaluar los riesgos que amenazan a una compañía, para ser considerados por el CEO.
Al final y si bien el CEO estaría por encima de la figura del CTRO en esa toma de decisiones, dada la importancia que hoy en día ha adquirido el control de los riesgos, podemos decir que ambos deberían situarse en un nivel equiparable dentro de la estructura empresarial, estableciendo un grado de colaboración e interdependencia que hace igual de importante una figura y que la otra sin olvidar también a los CIO que se encargan de la operación de tecnología de la información de la organización.
Por tanto la confluencia CEO-CTO-CIO se convierte en un trío esencial en cualquier compañía que quiera enfrentar adecuadamente los nuevos retos regulatorios, retos que cada vez se producen más rápido y generan una constante obligación de evolución y adaptación si queremos tener protegidas nuestras organizaciones.
Autor: Carmen Areces
Gerente de Cuentas