DORA a la pràctica: què significa la resiliència operativa per als professionals de la banca

La resiliència operativa s'ha convertit en una disciplina bancària

La banca moderna depèn de la infraestructura digital per als pagaments, l'accés dels clients, els préstecs, finançament del comerç, el compliment, la tresoreria i les operacions internes. Per tant, una fallada tecnològica important ja no és un inconvenient limitat al departament informàtic; pot esdevenir una interrupció del negoci que afecti els clients, els mercats i les obligacions reguladores. La Digital Operational Resilience Act, DORA, respon a aquesta realitat creant un marc europeu comú per a la gestió del risc de les TIC, la notificació d'incidents, les proves de resiliència i el risc tecnològic de tercers.

Per als professionals de la banca, el punt important és que la resiliència és una responsabilitat de tota l'organització. Cada funció empresarial depèn dels sistemes, dades i proveïdors externs. finançament del comerç es basa en plataformes documentals i detecció de sancions; la banca minorista es basa en canals digitals i infraestructura de pagament; el compliment depèn de les eines i dades de seguiment; els equips de crèdit depenen de models i sistemes d'informació. Una fallada en una àrea es pot propagar ràpidament.

Preparació, prevenció i detecció

La resiliència efectiva comença amb la comprensió del que és crític. Els bancs haurien de saber quins serveis han de continuar durant la interrupció, quins sistemes donen suport a aquests serveis i quins tercers se situen a sota. Sense aquest mapa, la planificació de la recuperació esdevé especulativa. Per tant, les avaluacions de la criticitat haurien de connectar les dependències tecnològiques amb els resultats reals del client i del negoci.

La prevenció segueix sent essencial. La configuració segura, l'aplicació de pedaços, la gestió d'accés, la supervisió i el control efectiu de canvis redueixen la probabilitat d'error. DORA, però, també reflecteix un principi més ampli: alguns errors es produiran malgrat els controls preventius. Per tant, la resiliència depèn de la capacitat de l'organització per detectar les interrupcions ràpidament, contenir-les i continuar oferint serveis crítics.

La detecció requereix tecnologia i una escalada clara. El personal ha d'entendre què és un incident, com s'informa d'activitats inusuals i quan un esdeveniment pot arribar a ser prou greu com per requerir una notificació reglamentària. L'ambigüitat durant un incident consumeix un temps valuós.

Resposta, recuperació i aprenentatge

Quan es produeix una interrupció, les responsabilitats han de ser explícites. Qui dirigeix ​​la resposta? Qui es comunica amb els clients? Qui determina si s'ha de suspendre un servei? Qui es relaciona amb els supervisors? Aquestes decisions no s'han d'inventar durant una crisi. Els exercicis d'escenari i l'autoritat documentada fan que la resposta sigui més ràpida i coherent.

La recuperació implica més que restaurar un sistema. És possible que s'hagi de comprovar la integritat de les dades, conciliar les transaccions i revisar els processos posteriors. Un servei que està tècnicament en línia però que funciona amb informació corrupta o incompleta no es recupera realment. Per tant, els bancs haurien de definir criteris de recuperació que incloguin la correcció del negoci, no només la disponibilitat del sistema.

Tot incident significatiu també hauria de produir aprenentatge. L'anàlisi de la causa arrel, el seguiment de la correcció i la revisió de la comunicació i l'escalada són fonamentals per a la resiliència. Els gairebé accidents mereixen atenció perquè revelen debilitats abans que es produeixi una gran pèrdua.

Risc de tecnologia de tercers sota DORA

Els bancs depenen cada cop més dels serveis al núvol, proveïdors de programari, processadors de pagaments i proveïdors especialitzats. L'externalització pot millorar l'eficiència, però no transfereix la responsabilitat. Les institucions han d'entendre la resistència dels proveïdors crítics, els drets contractuals, els acords de notificació d'incidents, les capacitats de recuperació i les opcions de sortida.

El risc de concentració és especialment important. Si moltes funcions crítiques depenen d'un proveïdor, la fallada d'aquest proveïdor pot afectar diverses institucions simultàniament. L'atenció de DORA als proveïdors crítics de tercers reflecteix la naturalesa sistèmica d'aquest risc.

La intel·ligència artificial afegeix una altra capa. Els bancs utilitzen cada cop més models i serveis externs d'IA dins d'eines d'anàlisi, detecció de fraus, atenció al client i eines de productivitat. S'apliquen les mateixes preguntes de resiliència: on es processen les dades, com s'actualitzen els models, amb quina rapidesa pot canviar de proveïdor el banc i què passa quan el servei extern no està disponible?

Proves de resiliència i cultura organitzativa

Les proves s'han de dissenyar per revelar la debilitat en lloc de demostrar el compliment. Els exercicis basats en escenaris poden examinar la pèrdua d'un portal de client, una interrupció del núvol, el ransomware, les dades danyades o la fallada d'un proveïdor extern. Les institucions més avançades també poden considerar escenaris relacionats amb la IA, com ara una sortida incorrecta generalitzada o la pèrdua d'un servei model integrat en un procés crític.

La gent segueix sent central. Un pla de recuperació tècnicament ben dissenyat és ineficaç si el personal no el segueix sota pressió. Per tant, la formació, la comunicació i els exercicis realistes són importants. La participació de l'alta direcció és igual d'important perquè la resiliència afecta la reputació, la confiança dels clients i el rendiment financer.

DORA fomenta un canvi cultural útil. El risc operacional tradicional es centra sovint a prevenir el fracàs; La resiliència moderna accepta que algunes interrupcions són inevitables i es concentra en la capacitat del banc per continuar oferint serveis essencials. Això requereix redundància, contingència, claredat i presa de decisions informades.

Conclusió

Per als professionals de la banca, la competència digital ara forma part de la competència professional. Els administradors no necessiten configurar tallafocs, però haurien d'entendre quina tecnologia admet la seva funció, quins acords de reserva existeixen i com les dependències dels proveïdors afecten el risc. Per tant, el Acadèmia de Banca eBSI tracta la resiliència operativa com un component bàsic del coneixement bancari contemporani.

DORA és més útil quan canvia el comportament entre incidents en lloc de produir només informes reguladors. Les institucions que entenen les seves dependències, les posen a prova amb honestedat i aprenen del fracàs es tornen més resistents no només als atacs cibernètics sinó als canvis tecnològics en general. La resiliència operativa es basa en última instància sobre la confiança: els clients esperen accedir als seus diners, les empreses esperen que els pagaments es moguin i els mercats esperen que les institucions financeres funcionin quan les condicions són difícils.

La resiliència hauria de ser visible a la informació de gestió ordinària

DORA tindrà el major valor quan la resiliència esdevingui part de la gestió normal en lloc d'un exercici de compliment anual. L'alta direcció hauria de rebre informació sobre incidents significatius, vulnerabilitats recurrents, dependències dels proveïdors, resultats de les proves i correccions endarrerides. Aquests indicadors permeten veure si la debilitat operacional s'acumula abans que es produeixi un esdeveniment important.

Les funcions empresarials també haurien d'entendre els seus propis supòsits de resiliència. Un gestor hauria de saber quines aplicacions són crítiques per a la funció, quant de temps poden estar no disponibles i quines alternatives manuals existeixen. Aquest coneixement és especialment important quan la transformació digital elimina els processos de reserva més antics. L'eficiència pot reduir involuntàriament la resiliència si l'organització passa a dependre d'un sistema altament optimitzat sense cap alternativa pràctica. DORA anima els bancs a examinar aquesta compensació explícitament i a garantir que els serveis crítics es puguin recuperar en condicions realistes.

La documentació hauria de donar suport a l'acció en lloc de simplement demostrar el compliment. Els procediments crítics, les dades de contacte i les autoritats de decisió haurien de ser accessibles quan els sistemes normals no estiguin disponibles. Les institucions haurien de comprovar si el personal pot utilitzar realment el pla en condicions reals. És poc probable que un marc de resiliència que funcioni només quan totes les eines normals estiguin disponibles durant la interrupció per a la qual va ser dissenyat.