6.4. Evaluación del riesgo operacional

Al evaluar el marco de gestión del riesgo operacional, las autoridades competentes examinarán, entre otros aspectos, el cumplimiento por parte de la entidad de los actos jurídicos publicados por separado en el sitio web de la ABE a que se refiere el apartado 12.

Las autoridades competentes evaluarán el riesgo operacional en todas las líneas de negocio y operaciones de la entidad, teniendo en cuenta los resultados de la evaluación de los procedimientos de gobierno interno y los controles globales que se especifican en el título 5. Al llevar a cabo esta evaluación, las autoridades competentes determinarán la forma en que puede materializarse el riesgo operacional, teniendo también en cuenta el conjunto de datos de pérdidas de la entidad y los posibles impactos de otros riesgos relacionados (p. ej., riesgo operacional límite relacionado con el crédito y el mercado).

Las autoridades competentes evaluarán la materialidad del riesgo operacional derivado de los proveedores terceros de servicios, incluida la concentración (a nivel de entidad y, cuando proceda, a nivel de grupo) en uno o varios servicios prestados por un único proveedor tercero de servicios (directamente, o indirectamente a través de cadenas de subcontratación) o por un número limitado de proveedores terceros que prestan apoyo a las funciones esenciales o importantes de la entidad, así como si ello podría afectar a la resiliencia operativa, el rendimiento y la gestión de riesgos de la entidad. Al realizar esta evaluación, las autoridades competentes tendrán en cuenta en qué medida otras entidades recurren a los mismos proveedores terceros de servicios, siempre que dispongan de dicha información.

Al evaluar el riesgo operacional, las autoridades competentes evaluarán el riesgo de TIC, de conformidad con el Reglamento DORA, y su posible impacto sobre las funciones esenciales o importantes de la entidad, incluido cualquier posible impacto financiero, de reputación, regulatorio y estratégico en la entidad.

Las autoridades competentes evaluarán si la entidad cuenta con un enfoque de resiliencia operativa adecuado que le permita resistir, adaptarse y recuperarse de las perturbaciones cuando estas se produzcan, y si dicho enfoque se ha alineado de forma adecuada y coherente con el marco de gestión de riesgos existente, los planes de continuidad de la actividad y la gestión de terceros.

A la hora de evaluar el riesgo operacional, las autoridades competentes valorarán, en su caso, si las políticas y procedimientos de la entidad identifican, evalúan y gestionan adecuadamente los riesgos operacionales derivados de las actividades relacionadas con los criptoactivos y la tecnología en que se basan.

Las autoridades competentes evaluarán el riesgo de reputación junto con el riesgo operacional, ya que está intrínsecamente vinculado a eventos de riesgo operacional. No obstante, el resultado de la evaluación del riesgo de reputación no se reflejará en la puntuación del riesgo operacional, sino que, cuando proceda, se considerará parte del BMA y/o la evaluación del riesgo de liquidez, puesto que sus principales efectos pueden minar la confianza de los inversores, los depositantes o los participantes del mercado interbancario en la entidad.

Las autoridades competentes evaluarán el impacto de los riesgos ASG sobre los riesgos operacionales y de reputación inherentes, así como la idoneidad de los controles del riesgo operacional y del riesgo de reputación relacionados con dichos riesgos ASG, dando prioridad a los riesgos ambientales físicos y de transición. En concreto, las autoridades competentes tendrán en cuenta los riesgos ambientales y los riesgos de «greenwashing» a la hora de llevar a cabo la evaluación de los riesgos jurídicos y de reputación.

6.4.2. Evaluación del riesgo operacional inherente

Las autoridades competentes deberán adquirir un conocimiento exhaustivo de las exposiciones al riesgo operacional inherente de la entidad y evaluar la importancia del impacto prudencial de este riesgo para la entidad, así como el impacto sobre su capacidad para desempeñar funciones esenciales o importantes en caso de perturbaciones.

Para respaldar esta evaluación, las autoridades competentes tendrán en cuenta el requerimiento de fondos propios por riesgo operacional en relación con el requerimiento total de fondos propios y, cuando proceda, el capital interno asignado por la entidad al riesgo operacional en relación con el capital interno total. Además, las autoridades competentes aprovecharán los conocimientos obtenidos a partir de la evaluación de otros elementos del PRES (en particular, de los títulos 4 y 5), de la comparación con entidades comparables, de cualquier otra actividad de supervisión, incluidas las aportaciones de los supervisores de PBC/FT y de las autoridades de vigilancia del mercado, y de otras fuentes de información pertinentes.

Las autoridades competentes tendrán en cuenta, como mínimo, los principales factores de riesgo operacional y los posibles escenarios de perturbación y, cuando proceda, los analizarán por línea de negocio, entidad jurídica, zona geográfica y categoría de tipo de evento (siempre que se disponga de datos suficientes), y compararán la situación de la entidad con la de entidades comparables. Estos factores abarcarán, como mínimo, la estrategia principal de la entidad en materia de riesgo operacional y apetito de riesgo operacional, el entorno de negocio (incluida la presencia geográfica, las operaciones de TIC y los canales de distribución), los cambios societarios significativos recientes (fusiones, adquisiciones, enajenaciones y reestructuraciones), los sistemas de TIC y otros aspectos relacionados con las TIC, tal y como se indica en la sección 6.4.2.3, los cambios en los procesos, los acuerdos con terceros, las cuestiones de cumplimiento normativo, los objetivos de negocio y los sistemas de incentivos, así como otros factores clave que influyen en el riesgo operacional.

Naturaleza e importancia de las exposiciones al riesgo operacional

Las autoridades competentes determinarán la naturaleza de las exposiciones al riesgo operacional analizando las exposiciones a las principales fuentes y factores de dicho riesgo para formarse una opinión prospectiva sobre el mismo. Para este análisis, las autoridades competentes:

• a. podrán tener en cuenta el modelo operativo, las líneas de negocio, los productos, los procesos y las zonas geográficas relevantes para la entidad, la evaluación de las dependencias y las exposiciones al riesgo operacional frente a los principales factores de riesgo (p. ej., procesos, personas, sistemas y factores externos) y las interacciones entre dichos factores, aprovechando la autoevaluación de riesgos de la entidad, el análisis comparativo con otras entidades comparables, los datos propios y las bases de datos públicas y/o de consorcios, si están disponibles y son pertinentes;
• b. considerarán tanto la frecuencia como la gravedad de los eventos a los que está expuesta la entidad, y distinguirán entre los que causan pérdidas de elevada gravedad y los que ocurren con frecuencias elevadas. Sobre la base de esta distinción, las autoridades competentes evaluarán las tendencias de las pérdidas por riesgo operacional y su concentración, y
• c. realizarán análisis de escenarios de apalancamiento y considerarán las operaciones de negocio previstas y los análisis prospectivos de riesgos operacionales realizados por la entidad, cuando estén disponibles, teniendo en cuenta cualquier medida correctora y acción de mitigación ya aplicada y eficaz.

Una vez identificadas y analizadas las principales fuentes y factores determinantes del riesgo operacional, las autoridades competentes se centrarán en aquellos con el impacto potencial más significativo para la entidad.

Una de las fuentes primarias de información que las autoridades competentes deberían considerar es el conjunto de datos sobre pérdidas y eventos de la entidad, ya que puede proporcionar información valiosa sobre la evolución del perfil de riesgo operacional de la entidad. Las autoridades competentes evaluarán de forma periódica la exhaustividad, la exactitud y la calidad de los datos sobre pérdidas. Otra fuente de información serán los registros de la entidad de todos los incidentes relacionados con las TIC y las ciberamenazas importantes (de conformidad con el artículo 17, apartado 2, del Reglamento DORA) y las fuentes identificadas de riesgo relacionado con las TIC (de conformidad con el artículo 8, apartado 2, del Reglamento DORA).

Evaluación de las subcategorías de riesgo operacional

Las autoridades competentes centrarán la evaluación de las subcategorías de riesgo operacional en aquellas que se consideren importantes para la entidad. Las autoridades competentes también aplicarán su juicio experto para identificar subcategorías significativas, sobre la base de todas las fuentes de información internas y externas disponibles. Al llevar a cabo la evaluación, las autoridades competentes prestarán atención en todo momento a los siguientes aspectos del riesgo operacional³² :

• a. riesgo jurídico;
• b. riesgo de modelo;
• c. riesgo de TIC.

6.4.2.1. Riesgo jurídico

³² En el anexo III figura un desglose no exhaustivo de las subcategorías del riesgo operacional.

Las autoridades competentes tendrán en cuenta lo siguiente a la hora de evaluar la relevancia y la importancia de las exposiciones de la entidad a los riesgos jurídicos:

• a. venta abusiva de productos o servicios;
• b. conflictos de intereses en el desarrollo de la actividad;
• c. manipulación de tipos de interés de referencia, tipos de cambio o cualquier otro instrumento o índice financiero;
• d. barreras al cambio de productos financieros durante su ciclo de vida y/o al cambio de proveedores de servicios financieros;
• e. renovaciones automáticas de productos o penalizaciones de salida; y/o
• f. tratamiento de quejas y reclamaciones de clientes;
• g. vulneración de normas y regulaciones nacionales e internacionales (normativa fiscal, fraude interno o robo interno, normas contra el blanqueo de capitales, normas contra el terrorismo y sanciones económicas);
• h. exposiciones a litigios relacionados con los riesgos ASG, en particular los relacionados con el medio ambiente y el «greenwashing».

Las autoridades competentes evaluarán si la entidad podría incurrir en gastos, multas, sanciones o indemnizaciones punitivas como consecuencia de procedimientos judiciales, así como el número y el contenido de las reclamaciones. También se aprovecharán los resultados de la evaluación del título 4, junto con el examen de las políticas de incentivos, para obtener información de alto nivel sobre las fuentes de posibles conductas indebidas. En este contexto, las autoridades competentes evaluarán además si la entidad cuenta con sistemas y procesos adecuados y eficaces para aplicar y cumplir las medidas restrictivas (p. ej., sanciones), lo que incluye evaluar el cumplimiento por parte de la entidad de las Directrices de la ABE sobre políticas, procedimientos y controles internos³³ .

³³ Directrices de la ABE sobre políticas, procedimientos y controles internos para garantizar la aplicación de medidas restrictivas nacionales y de la Unión (EBA/GL/2024/14)

No obstante, la autoridad competente aplicará un método prospectivo, considerando también el posible impacto de los desarrollos regulatorios y la actividad de las autoridades pertinentes respecto a la protección del consumidor y la prestación de servicios financieros en general.

6.4.2.2. Riesgo de modelo

En el marco del riesgo operacional, las autoridades competentes evaluarán el riesgo de modelo, específicamente con respecto a los modelos internos no regulatorios (p. ej., modelos de IA, fijación de precios de productos, establecimiento y seguimiento de los límites de riesgo, modelos ICAAP/ILAAP, opciones de recuperación).

Para la evaluación del riesgo de modelo, las autoridades competentes tendrán en cuenta:

• a. en qué medida y con qué fines la entidad utiliza modelos para tomar decisiones y la importancia de las mismas para el negocio. Las autoridades competentes determinarán la actividad para la que la entidad recurre de forma significativa a modelos y evaluarán el impacto potencial del riesgo de modelo mediante, entre otros, el análisis de sensibilidad y de escenarios o pruebas de resistencia; y
• b. la solidez de los mecanismos de control (en cuanto a métodos, frecuencia, seguimiento, etc.), incluido el proceso de aprobación de modelos, las revisiones periódicas que se llevan a cabo y el grado de concienciación de la entidad respecto a las deficiencias de los modelos
• o a la evolución del mercado y de la actividad.

Cuando los modelos se utilicen con fines de toma de decisiones (p. ej., fijación de precios de los productos, modelos de IA, evaluación de instrumentos financieros, elaboración de perfiles de clientes), las autoridades competentes evaluarán si existe un proceso de validación interna sólido o un proceso de revisión de modelos para detectar y mitigar el riesgo de modelo (distinto de los modelos regulatorios).

Al realizar la evaluación del riesgo de modelo, las autoridades competentes considerarán la evaluación de otros riesgos para el capital y los riesgos de liquidez y financiación, en especial respecto a la adecuación de las metodologías empleadas para medir el riesgo, fijar precios y evaluar activos y/o pasivos. Los resultados de dicha evaluación servirán de base a las conclusiones sobre el riesgo operacional.

6.4.2.3. Riesgo de TIC - Evaluación del riesgo de TIC inherente

Identificación de los riesgos de TIC materiales

Tal como se estipula en el Reglamento DORA, las autoridades competentes analizarán la identificación, clasificación y documentación por parte de la entidad de todas las funciones de negocio, cometidos y responsabilidades sustentados por las TIC, los activos de información³⁴ y los activos de TIC³⁵ que dan soporte a dichas funciones y sus cometidos y dependencias en relación con el riesgo de TIC. Este análisis ayudará a las autoridades competentes a adquirir un conocimiento exhaustivo de la exposición de la entidad a los riesgos de TIC inherentes (perfil de riesgo de las TIC), identificar sus riesgos de TIC inherentes materiales y formarse una opinión sobre su impacto prudencial. A tal fin, las autoridades competentes tendrán en cuenta, como mínimo, los siguientes aspectos, cuando proceda y sea aplicable:

• a. el informe sobre el análisis del marco de gestión del riesgo relacionado con las TIC (de conformidad con el artículo 6, apartado 5, del Reglamento DORA);
• b. las fuentes de riesgo relacionado con las TIC, en particular la exposición al riesgo para con otras entidades financieras que identifique la entidad o derivada de ellas, según estipula el artículo 8, apartado 2, del Reglamento DORA;
• c. los incidentes graves relacionados con las TIC que se notifiquen (con arreglo al artículo 19, apartado 1, del Reglamento DORA), incluida la evolución de los costes y pérdidas anuales agregados causados por incidentes graves relacionados con las TIC (según estipula el artículo 11, apartado 10, del Reglamento DORA);
• d. los resultados de las pruebas previstas en el programa de pruebas de resiliencia operativa digital (de conformidad con el artículo 24 del Reglamento DORA), incluido un resumen de las deficiencias detectadas en la prueba de penetración basada en amenazas y los planes correctores pertinentes (con arreglo al artículo 26, apartado 6, del Reglamento DORA);
• e. un registro de información (de conformidad con el artículo 28, apartado 3, del Reglamento DORA), incluido el grado de concentración en proveedores terceros de servicios de TIC, también los proveedores intragrupo de servicios de TIC, por tipo de servicios de TIC o sistemas de TIC;
• f. las recomendaciones y dictámenes de los supervisores principales (de conformidad con el artículo 40, apartado 3, y el artículo 42, apartado 7, del Reglamento DORA) y las respuestas, informes e información relacionados de proveedores terceros esenciales de servicios de TIC [con arreglo al artículo 35, apartado 1, letra c), al artículo 42, apartado 1, y al artículo 48, apartado 2, del Reglamento DORA];
• g. el nivel de complejidad de los sistemas de TIC y los resultados de la evaluación del riesgo relacionado con las TIC en todos los sistemas de TIC heredados (de conformidad con el artículo 8, apartado 7, del Reglamento DORA);
• h. la evaluación del riesgo de cambios importantes (de conformidad con el artículo 8, apartado 3, del Reglamento DORA);
• i. el grado de adopción e integración de soluciones innovadoras de TIC;
• j. las ubicaciones, esto es, las regiones o países, de los centros de datos y las zonas sensibles designadas, incluidas aquellas en las que los servicios de TIC son prestados por terceros proveedores de servicios de TIC, abarcando también la ubicación del tratamiento y el almacenamiento de datos;
• k. las deficiencias o debilidades importantes relacionadas detectadas en el título 5;
• l. las autoevaluaciones del riesgo de TIC y de controles (si se proporciona en la información del ICAAP);
• m. la información de la gestión de los riesgos de TIC que se presente al órgano de administración de la entidad;
• n. los resultados de las auditorías internas y externas relacionadas con las TIC;
• o. el entorno de amenazas externas, incluida la información sobre amenazas y vulnerabilidades.

Evaluación de los sistemas de TIC y los servicios de TIC

³⁴ Artículo 3, apartado 6, del Reglamento (UE) 2022/2554

³⁵ Artículo 3, apartado 7, del Reglamento (UE) 2022/2554

Las autoridades competentes examinarán la documentación, la metodología y los procesos pertinentes de la entidad, y se formarán una opinión sobre si esta ha identificado adecuadamente los sistemas de TIC y los servicios de TIC que dan soporte a funciones esenciales o importantes. A tal fin, las autoridades competentes considerarán lo siguiente:

• a. los sistemas de TIC que dan soporte a funciones esenciales o importantes, así como los activos de información y los activos de TIC esenciales identificados por la entidad (de conformidad con el artículo 8 del Reglamento DORA);
• b. los procesos clave que dependen de proveedores externos de servicios de TIC, incluidas las interconexiones con dichos proveedores que dan soporte a funciones esenciales o importantes identificadas por la entidad (con arreglo al artículo 8, apartado 5 del Reglamento DORA).

Identificación y clasificación de los riesgos de TIC materiales que afectan a los sistemas de TIC y los servicios de TIC que dan soporte a funciones esenciales o importantes

A continuación, las autoridades competentes clasificarán el riesgo de TIC material detectado según las categorías de riesgo de TIC establecidas en el anexo III. Se espera que las entidades mantengan sus propias categorías en lugar de utilizar las establecidas en el anexo.

6.4.3. Evaluación del marco de gestión y control del riesgo operacional

Las autoridades competentes evaluarán el marco y los mecanismos de que dispone la entidad para la gestión y el control del riesgo operacional teniendo en cuenta el resultado del análisis del marco general de gestión de riesgos y de control interno contemplado en el título 5, ya que esto influirá en las exposiciones al riesgo operacional de la entidad. Por lo que respecta al riesgo de BC/FT, la autoridad competente tendrá en cuenta la evaluación facilitada por el supervisor de PBC/FT.

Estrategia y apetito de riesgo operacional

Las autoridades competentes evaluarán si la entidad cuenta con una estrategia de riesgo operacional sólida, claramente formulada y documentada, así como con un nivel de apetito de riesgo operacional aprobados por el órgano de administración, en los que se especifiquen la naturaleza, los tipos y los niveles de riesgo operacional que la entidad está dispuesta a asumir. Para esta evaluación, las autoridades competentes tendrán en cuenta, entre otros factores, la función del órgano de administración en el establecimiento, la aprobación, la aplicación y la revisión de la estrategia y el apetito de riesgo operacional (incluidos el apetito de riesgo de TIC y la estrategia de resiliencia operativa digital), así como la cobertura suficiente y la adecuación de la estrategia con respecto a la naturaleza y al perfil de riesgo operacional de la entidad. Marco organizativo y de control interno

Las autoridades competentes evaluarán el cumplimiento por parte de la entidad de lo dispuesto en el artículo 323 del Reglamento (UE) n.º 575/2013. En esta evaluación, las autoridades competentes examinarán la solidez y la eficacia del marco organizativo y los procedimientos de gobierno interno que faciliten una gestión, medición y control eficaces del riesgo operacional, con recursos humanos y técnicos suficientes para llevar a cabo las tareas necesarias. Las autoridades competentes tendrán en cuenta si existen líneas de responsabilidad claras para la identificación, evaluación, mitigación, seguimiento y comunicación del riesgo operacional, así como el cumplimiento del modelo de las tres líneas de defensa.

Las autoridades competentes evaluarán si la entidad cuenta con un marco de control sólido y salvaguardas eficaces para mitigar su riesgo operacional, incluidas políticas y procedimientos adecuados que abarquen también el riesgo residual, y si son coherentes con la estrategia y el apetito de riesgo operacional de la entidad y abarcan todas las operaciones y procesos clave. Esto incluye, entre otros, evaluar si dichas políticas y procedimientos están claramente formalizados, se comunican y se aplican de manera coherente en el conjunto de la entidad.

Las autoridades competentes evaluarán además la funcionalidad de la función de auditoría interna en lo que respecta a la idoneidad, el alcance y la frecuencia de las auditorías internas del marco de gestión del riesgo operacional.

Continuidad de la actividad, respuesta y recuperación

Las autoridades competentes evaluarán el cumplimiento por parte de la entidad i) de las Directrices de la ABE sobre gobierno interno en relación con la gestión general de la continuidad de la actividad y ii) del Reglamento DORA en relación con la política de continuidad de la actividad en materia de TIC y los planes de respuesta y recuperación en materia de TIC. A este respecto, las autoridades competentes determinarán si la política de continuidad de la actividad en materia de TIC y los planes de respuesta y recuperación en materia de TIC forman parte integrante de la política global de continuidad de la actividad y del plan de respuesta y recuperación de la entidad.

Las autoridades competentes evaluarán si la entidad ha establecido un sistema eficaz de gestión de la continuidad de la actividad, con planes de continuidad, respuesta y recuperación que hayan sido sometidos a pruebas y que abarquen, como mínimo, sus funciones esenciales

• o importantes, incluidas aquellas subcontratadas a terceros, y si dichos planes tienen en cuenta una serie de escenarios graves, pero plausibles, ante los que la entidad pueda ser vulnerable. Las autoridades competentes evaluarán también si la política de continuidad de la actividad de la entidad permite adoptar medidas adecuadas de respuesta y recuperación ante cualquier tipo de incidente.

Las autoridades competentes determinarán si la gestión de la continuidad de la actividad de la entidad incluye:

• a. análisis de impacto en el negocio;
• b. estrategias de recuperación adecuadas que incorporen dependencias internas y externas clave y prioridades de recuperación y niveles de resiliencia claramente definidos;
• c. planes completos y flexibles para hacer frente a escenarios de perturbación plausibles, que se establecen sobre la base del análisis de impacto en el negocio y en coordinación con las partes interesadas internas y externas;
• d. planes que establezcan estrategias de contingencia y procedimientos de respuesta y recuperación;
• e. pruebas eficaces del diseño y la eficacia operativa de los planes;
• f. programas de formación y concienciación sobre la gestión de continuidad de la actividad;
• g. planes de comunicación para informar a la dirección y a todas las partes interesadas pertinentes, y documentación de gestión de crisis, medidas y una función de gestión de crisis cuando proceda (de conformidad con el artículo 11, apartado 7, del Reglamento DORA).

Las autoridades competentes evaluarán si los planes de continuidad de la actividad, respuesta y recuperación de la entidad:

• a. establecen las funciones y responsabilidades, incluidas orientaciones claras sobre posibles sucesiones, y definen el proceso interno de toma de decisiones, junto con la definición de los factores desencadenantes de su activación;
• b. se revisan a fin de garantizar que las estrategias de contingencia sigan siendo coherentes con las operaciones actuales, los riesgos y las amenazas, los niveles de resiliencia y los objetivos y prioridades de recuperación;
• c. priorizan las acciones de continuidad de la actividad utilizando un enfoque basado en el riesgo;
• d. se someten a pruebas periódicamente para garantizar el cumplimiento de los objetivos y plazos de recuperación; y
• e. incluyen pruebas de los servicios prestados por proveedores terceros, cuando proceda.

Las autoridades competentes evaluarán también si los resultados de las pruebas se documentan y se comunican al órgano de administración.

Evaluación del marco de gestión de riesgos de TIC

Las autoridades competentes evaluarán el cumplimiento por parte de la entidad del Reglamento DORA y de las Directrices de la ABE sobre gobierno interno en relación con el gobierno interno y la organización de la gestión del riesgo de TIC. Las autoridades competentes se formarán una opinión sobre si el órgano de administración de la entidad es el responsable general de la gestión del riesgo de TIC, y si define, aprueba y supervisa adecuadamente la aplicación de todos los mecanismos relacionados con las TIC. Las autoridades competentes evaluarán si los miembros del órgano de administración poseen los conocimientos y las competencias suficientes para entender y evaluar el riesgo de TIC y su impacto sobre las operaciones de la entidad.

Las autoridades competentes evaluarán la forma en que se incorporan e integran en el marco de control interno y de gobierno de la entidad las funciones y responsabilidades relacionadas con las TIC, así como los procedimientos de gobierno establecidos, con el fin de gestionar el riesgo de TIC. A tal fin, considerarán si la entidad ha asignado de manera efectiva la responsabilidad de gestión y supervisión del riesgo de TIC a una función de control independiente que goce de acceso directo y tenga una línea de comunicación directa con el órgano de administración de la entidad en el ejercicio de su función de supervisión, y evaluarán si la entidad demuestra lo siguiente:

• a. una comunicación clara, así como la asignación e integración de funciones y responsabilidades en todas las funciones relacionadas con las TIC, incluidas las funciones de negocio y los procesos sustentados por las TIC;
• b. un presupuesto suficiente y adecuado para satisfacer la resiliencia operativa digital con respecto a todos los tipos de recursos, incluidos los programas de sensibilización pertinentes, las actividades de formación y las capacidades en materia de TIC para todo el personal (conforme a lo dispuesto en el artículo 5, apartado 2, letra g), del Reglamento DORA);
• c. seguimiento y respuesta adecuados por parte del órgano de administración de las deficiencias críticas detectadas por la auditoría de TIC y los hallazgos comunicados con arreglo al artículo 13, apartado 5, del Reglamento DORA.

Las autoridades competentes adquirirán un conocimiento profundo del marco de gestión del riesgo de TIC de la entidad y evaluarán si esta cuenta con estrategias, políticas, procedimientos, protocolos y herramientas de TIC suficientes y adecuados, incluidos los niveles de tolerancia, para abordar de forma eficaz, eficiente y exhaustiva los riesgos de TIC materiales, de conformidad con el Reglamento DORA. A tal fin, las autoridades competentes considerarán, cuando proceda:

• a. la idoneidad y eficacia de las políticas³⁶ , los procesos y los procedimientos de gestión de riesgos de TIC de la entidad, que abarquen, entre otros aspectos, la gestión de terceros en materia de TIC, la detección y respuesta ante incidentes relacionados con las TIC, la gestión de activos de TIC, el cifrado y la criptografía, la seguridad de las operaciones de TIC, la seguridad de la red y el control de acceso, así como si estos han sido aprobados por el órgano de administración y comunicados a todas las partes interesadas pertinentes (de conformidad con el artículo 14 del Reglamento DORA);
• b. la idoneidad del nivel de tolerancia al riesgo relacionado con las TIC de la entidad y la tolerancia al impacto de las perturbaciones de las TIC (según el artículo 6, apartado 8, letra b), del Reglamento DORA);
• c. la idoneidad y la aplicación de la estrategia de resiliencia operativa digital de la entidad, incluida su coherencia con la estrategia de negocio;
• d. la coherencia de la estrategia sobre el riesgo relacionado con las TIC derivado de terceros, incluida la estrategia de múltiples proveedores de TIC, cuando exista, con la estrategia de negocio global y el marco de gestión del riesgo de TIC;
• e. el riesgo residual derivado de los riesgos identificados por la entidad en relación con los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales
• o importantes;
• f. el riesgo residual derivado de los riesgos identificados por la entidad en relación con los proyectos de TIC que afectan a funciones esenciales o importantes y que se han comunicado al órgano de administración, así como en relación con la adquisición, el desarrollo y el mantenimiento de los sistemas de TIC y los cambios en los mismos;
• g. la solidez y la exhaustividad del programa de pruebas de resiliencia operativa digital;
• h. la tendencia y magnitud de los incidentes graves relacionados con las TIC y las anomalías comunicadas al órgano de administración con arreglo al artículo 17, apartado 3, letra e), y al artículo 13, apartado 5, del Reglamento DORA;
• i. los controles de riesgos de TIC específicos para los riesgos de TIC materiales identificados;
• j. la rápida comunicación de los aspectos de la gestión del riesgo de TIC al órgano de administración y a la alta dirección;
• k. la cobertura de la auditoría interna y las conclusiones.

³⁶ De conformidad con el Reglamento DORA, estas deben incluir, como mínimo, la política de seguridad de la información, las políticas de copias de seguridad, la política de gestión de activos de TIC, la política de cifrado y de controles criptográficos, la política de gestión de claves criptográficas, la política de gestión de proyectos de TIC, la política de adquisición, desarrollo y mantenimiento de sistemas de TIC, la política de recursos humanos, la política de seguridad física y ambiental, la política de gestión de incidentes relacionados con las TIC y la política sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC.

En la evaluación de la gestión de riesgos relacionados con las TIC, las autoridades competentes prestarán especial atención a la gestión de los riesgos derivados de terceros en el ámbito de las TIC, incluido el nivel de concentración de la entidad respecto a los proveedores terceros de servicios de TIC. A tal fin, las autoridades competentes garantizarán una estrecha cooperación con los supervisores principales de los proveedores terceros esenciales de servicios de TIC (CTPP), de conformidad con las Directrices conjuntas de las AES³⁷ , en caso de que la entidad evaluada reciba servicios de TIC de un CTPP. Las autoridades competentes también evaluarán la eficacia de la función específica establecida por la entidad, o del miembro designado de la alta dirección, en lo que respecta al seguimiento de los acuerdos con terceros en materia de TIC.

³⁷ Directrices conjuntas sobre la cooperación en materia de supervisión y sobre el intercambio de información entre las AES y las autoridades competentes en virtud del Reglamento (UE) 2022/2554 (JC/GL/2024/36).

Las autoridades competentes evaluarán si la función de auditoría interna es eficaz y cuenta con los conocimientos, las competencias y la experiencia suficientes para auditar el marco de gestión del riesgo de TIC de la entidad, comprobando si:

• a. el marco de gestión del riesgo de TIC se audita con la calidad, el foco y la frecuencia requeridos y en consonancia con el perfil de riesgo de TIC de la entidad;
• b. el plan de auditoría incluye auditorías de los riesgos de TIC materiales identificados por la entidad, incluidas revisiones independientes de los planes de respuesta y recuperación en materia de TIC;
• c. las anomalías críticas de la auditoría de TIC se verifican y corrigen con prontitud, incluida la comunicación al órgano de administración;
• d. las anomalías de la auditoría de TIC, incluidas las medidas acordadas, son objeto de seguimiento formal y la alta dirección o el comité de auditoría revisan periódicamente los informes de progreso.

6.4.4. Evaluación del riesgo de reputación

Las autoridades competentes evaluarán el riesgo de reputación al que está expuesta la entidad utilizando el conocimiento adquirido mediante los títulos 4 a 6.2. Dicha evaluación se centrará también en el marco general de riesgo de reputación, verificando la capacidad de la entidad para gestionar de manera efectiva cualquier suceso relacionado con la reputación. A efectos de esta evaluación, las autoridades competentes evitarán contabilizar por duplicado los aspectos que ya se hayan tenido en cuenta en la evaluación del riesgo jurídico (apartado 6.4.2.1).

A la hora de evaluar la relevancia del riesgo de reputación, las autoridades competentes considerarán el tamaño de la entidad, así como la naturaleza, la escala y la complejidad de sus servicios, actividades y operaciones (por ejemplo, acciones o títulos de deuda cotizados, o participación en los mercados interbancarios).

Las autoridades competentes considerarán factores internos y externos o eventos que puedan dar lugar a problemas de reputación para la entidad, excepto en los casos que den lugar a procedimientos judiciales. En el caso de las entidades de las clases 1 y 2, las autoridades competentes considerarán todos los indicadores siguientes en su evaluación:

• a. la cobertura negativa en los medios de comunicación y en las redes sociales, así como las iniciativas de las asociaciones de consumidores que puedan perjudicar la percepción pública y la reputación de la entidad;
• b. la cantidad y los cambios en las reclamaciones de clientes o la pérdida repentina de clientes
• o inversores;
• c. acontecimientos negativos relacionados con otras entidades del mismo sector que el público pueda relacionar con el sector financiero en general o con un grupo de entidades;
• d. la reputación de las personas que participan en la gestión de la entidad o que poseen participaciones significativas;
• e. la participación o el desarrollo de actividades en sectores o jurisdicciones muy expuestas a BC/FT o con personas asociadas a un alto riesgo desde el punto de vista del BC/FT;
• f. la participación o el desarrollo de actividades en sectores o jurisdicciones o con contrapartes muy expuestas a problemas significativos o controversias públicas relacionadas con factores ASG, incluidos, entre otros, los factores ambientales;
• g. el impacto sobre la reputación de los incidentes relacionados con las TIC registrados por la entidad de conformidad con el Reglamento Delegado (UE) 2024/1772 de la Comisión³⁸ ;
• h. otros indicadores de «mercado», en su caso (p. ej., rebajas de calificación o cambios en la cotización de las acciones a lo largo del año).

³⁸ Reglamento Delegado (UE) 2024/1772 de la Comisión, de 13 de marzo de 2024, por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo mediante normas técnicas de regulación que especifican los criterios para la clasificación de los incidentes relacionados con las TIC y las ciberamenazas, establecen umbrales de importancia relativa y especifican la información detallada de las notificaciones de incidentes graves, C/2024/1519 (DO L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Las autoridades competentes evaluarán la importancia de la exposición al riesgo de reputación de la entidad y su interconexión con los demás riesgos usando las evaluaciones de riesgos pertinentes (incluidas las de otras autoridades de supervisión) para identificar cualquier posible efecto secundario en cualquiera de las dos direcciones.

En el contexto del análisis del riesgo operacional, las autoridades competentes tendrán en cuenta la relevancia y la importancia de las exposiciones de la entidad al riesgo de BC/FT desde una perspectiva prudencial dentro del ámbito del riesgo operacional. A este respecto, las autoridades competentes utilizarán la información pertinente recibida de los supervisores de PBC/FT para complementar los resultados de la supervisión continuada y evaluar si plantean preocupaciones prudenciales relacionadas con el riesgo de BC/FT.

Las autoridades competentes tendrán en cuenta que cualquier entidad puede estar expuesta al riesgo de BC/FT, independientemente de su tamaño o de su solidez financiera. Por lo tanto, también se prestará suficiente atención a las entidades que se perciben como sólidas desde el punto de vista financiero y que pueden tener una buena reputación, dado que estas entidades podrían ser objetivo específico del BC/FT. También se prestará atención a las entidades que tienen mucho éxito a la hora de atraer nuevos clientes o de aumentar la cuota de mercado, especialmente mediante el uso de canales de distribución no tradicionales, ya que esto podría estar relacionado con la debilidad de los controles de diligencia debida de clientes en la fase de alta.

Las autoridades competentes compartirán con los supervisores de PBC/FT información pertinente sobre las cuestiones de riesgo operacional detectadas que puedan dar lugar a riesgos de BC/FT, a riesgos de no aplicación o de elusión de sanciones financieras específicas, y a preocupaciones tales como deficiencias en el sistema de TIC o el marco de control interno de las entidades.

Las autoridades competentes evaluarán si la entidad ha implantado los procedimientos, estrategias, procesos y mecanismos adecuados para gestionar el riesgo de reputación. En particular, las autoridades competentes tendrán en cuenta si:

• a. la entidad ha formalizado políticas y procesos para la identificación, gestión y seguimiento de este riesgo, incluido un sólido código de conducta, y si los mismos son proporcionados a su tamaño e importancia en el sistema;
• b. la entidad aborda este riesgo de forma preventiva, lo que incluye el establecimiento de indicadores y herramientas de seguimiento adecuados, la inclusión de posibles problemas de reputación en los planes de contingencia, la organización de sesiones de formación y sensibilización pertinentes y el aprovechamiento de las lecciones aprendidas;
• c. la entidad realiza pruebas de resistencia o análisis de escenarios para evaluar cualquier efecto secundario del riesgo de reputación (p. ej., liquidez y costes de financiación, operaciones de titulización, acceso a servicios de corresponsalía bancaria, etc.);
• d. la entidad actúa para proteger su marca mediante herramientas de seguimiento de los medios de comunicación y las redes sociales, protocolos para hacer frente a la desinformación y la publicidad negativa, así como campañas de comunicación inmediatas;
• e. la entidad considera el posible impacto de su estrategia y sus planes de negocio (y de forma más general, de su comportamiento) sobre su reputación.

6.4.5. Resiliencia operativa

Las autoridades competentes se formarán una opinión global de la capacidad de la entidad para desempeñar funciones esenciales o importantes en situaciones de perturbación (nivel de resiliencia operativa), capacidad que se ve favorecida por una gestión eficaz del riesgo operacional, teniendo en cuenta el tamaño de la entidad, su modelo de negocio y su perfil de riesgo global. Para ello, las autoridades competentes se basarán en sus evaluaciones existentes sobre la gestión del riesgo operacional, la continuidad de la actividad, las capacidades de gestión del cambio, los servicios de terceros y las TIC de las que depende la entidad, con el fin de evaluar de manera integral si estos elementos, en su conjunto, respaldan la resiliencia operativa de la entidad. Las autoridades competentes considerarán, además, si la entidad aplica su marco de gestión de riesgos, sus planes de continuidad de la actividad, la gestión por terceros (ya evaluada en el contexto del Reglamento DORA y las Directrices de la ABE emitidas de acuerdo con el artículo 74, apartado 3, de la Directiva 2013/36/UE sobre sistemas, procesos y mecanismos de gobierno interno) y los marcos de recuperación y resolución de manera coherente y coordinada. Además, las autoridades competentes evaluarán si la entidad ha identificado adecuadamente las interconexiones e interdependencias internas y externas necesarias para desempeñar sus funciones esenciales o importantes.

Las autoridades competentes considerarán la atención prestada por el órgano de administración y la alta dirección a la capacidad de la entidad para responder frente a perturbaciones y recuperarse de ellas en el supuesto de que se produzcan fallos. Para llevar a cabo esta evaluación, las autoridades competentes considerarán si:

• a. el órgano de administración desempeña un papel activo a la hora de fomentar un conocimiento general del enfoque de resiliencia operativa en el conjunto de la entidad y de realizar un seguimiento de la eficacia de este enfoque;
• b. se informa oportunamente sobre la resiliencia operativa actual de la entidad, con el fin de respaldar la función de vigilancia del órgano de administración, en particular cuando se detecten deficiencias graves que puedan afectar al desarrollo de las funciones esenciales o importantes de la entidad.

6.4.6. Resumen de resultados, puntuación y medidas de supervisión

Basándose en la evaluación anterior, las autoridades competentes se formarán un opinión del riesgo operacional de la entidad. Esta opinión se reflejará en un resumen de resultados, acompañado de una puntuación del riesgo basada en las consideraciones especificadas en el cuadro 10. Cuando, en función de la materialidad de determinadas subcategorías de riesgos, la autoridad competente decida evaluarlas y puntuarlas de forma individual, las instrucciones facilitadas en este cuadro se deberán aplicar por analogía en la medida de lo posible.

Cuadro 10. Consideraciones supervisoras para asignar una puntuación al riesgo operacional

El cuadro que figura a continuación presenta una lista no exhaustiva de las medidas de supervisión que las autoridades competentes pueden adoptar en caso de que se detecten deficiencias en el marco de gestión del riesgo operacional y en la resiliencia operativa de la entidad (teniendo en cuenta la estrecha interconexión entre la resiliencia operativa y la gestión del riesgo operacional). Las autoridades competentes decidirán el tipo de medida en función de su eficacia para subsanar la deficiencia concreta identificada. Las autoridades competentes podrán aplicar medidas de supervisión adicionales [incluidas medidas cuantitativas de conformidad con el artículo 104, apartado 1, letra a), de la Directiva 2013/36/UE] o una combinación de ellas con las enumeradas en el cuadro que figura a continuación, si se consideran más adecuadas para subsanar las deficiencias identificadas. En caso de incumplimiento del Reglamento DORA, las autoridades competentes considerarán las medidas correctoras y reparadoras aplicables previstas en el artículo 50 de dicho Reglamento. Cuadro 11. Lista orientativa y no exhaustiva de medidas de supervisión derivadas de la evaluación del riesgo operacional y la resiliencia operacional Posibles medidas de supervisión que pueden adoptar las autoridades competentes de conformidad con el artículo 104, apartado 1, letras b), d), e), f), j), l), m) y n) de la Directiva 2013/36/UE y el artículo 50 del Reglamento (UE) 2022/2554 – Las autoridades competentes podrán exigir a la entidad: A. implicar al órgano de administración o a sus comités de forma más activa en las decisiones de gestión del riesgo operacional; B. mejorar los sistemas de medición del riesgo operacional; C. reforzar los controles de los procesos operativos, incluidas la identificación, el seguimiento, la respuesta y la recuperación; D. mejorar el marco de gobernanza operativa; E. mejorar la comunicación del riesgo operacional al órgano de administración y a la alta dirección; F. desarrollar y aplicar planes de medidas correctoras para subsanar las deficiencias; G. limitar determinados acuerdos con terceros, en particular para funciones esenciales o importantes; H. mejorar las pruebas de resistencia y el análisis de escenarios del riesgo operacional; I. aplicar medidas operativas más estrictas; J. mejorar los planes de continuidad de la actividad, de respuesta y de recuperación; K. mejorar la gestión del riesgo operacional relacionado con los riesgos ASG, en particular los riesgos ambientales, posiblemente sobre la base de una o varias de las acciones enumeradas anteriormente.