El sector financiero ecuatoriano ha avanzado en la formalización de sistemas de gestión de riesgo operativo, seguridad de la información, ciberseguridad, continuidad del negocio, gestión de incidentes y manejo del riesgo de terceros. Según la Superintendencia de Bancos, este proceso ha estado acompañado por actualizaciones normativas y una Supervisión Basada en Riesgos con un enfoque más preventivo, integral y prospectivo.
Para el organismo de control, el avance no debe medirse únicamente a partir del cumplimiento documental de la normativa, sino por la capacidad de las entidades para proteger al usuario, sostener servicios confiables y preservar la estabilidad financiera. La supervisión permanente busca verificar la implementación y la efectividad de los controles aplicados.
Los riesgos de una operación más digital
La expansión de servicios y canales digitales mantiene la atención sobre ciberataques, fraude y suplantación digital, explotación de vulnerabilidades, compromiso de credenciales, indisponibilidad de servicios críticos, pérdida o filtración de información y fallas de terceros tecnológicos.
Identidades y accesos, autenticación, protección de datos, vulnerabilidades y parches, seguridad de aplicaciones y APIs, monitoreo, fraude digital, nube, terceros y continuidad de los servicios también forman parte de los ámbitos que deben gestionarse de acuerdo con el perfil de riesgo de cada entidad. En este punto, la Superintendencia pone énfasis en evaluar la efectividad real de los controles y no solamente su existencia documental.
El siguiente paso, la resiliencia operativa
Aunque las entidades muestran avances en la gestión de incidentes de ciberseguridad, la Superintendencia identifica oportunidades de mejora en monitoreo continuo, registro y correlación de eventos, criterios de severidad y escalamiento, equipos de respuesta, contención, análisis forense, comunicación, recuperación y lecciones aprendidas.
El desafío planteado por el organismo es evolucionar desde la gestión de continuidad del negocio hacia un enfoque de resiliencia operativa. La posibilidad de mantener o recuperar oportunamente los servicios críticos considera redundancia, respaldos, alternativas de operación, pruebas y coordinación con terceros.
La gestión de terceros ocupa también parte de esta agenda. La dependencia de proveedores, servicios en la nube, plataformas y servicios especializados puede generar concentración, dependencia operativa y puntos únicos de falla. Las entidades mantienen la responsabilidad por los servicios tercerizados tanto frente al organismo de control como ante el usuario financiero.
Nuevas prioridades para la supervisión
La Superintendencia de Bancos se encuentra en la etapa final de un proyecto de reforma a la Norma de control para la gestión del riesgo operativo, con el propósito de adaptar sus lineamientos a mejores prácticas internacionales y tendencias emergentes. Entre las prioridades señaladas están la ciberseguridad, la resiliencia operativa, la gestión del riesgo de terceros y la gestión de incidentes.
El crecimiento de los servicios especializados incorpora además la gestión de la concentración tecnológica, el talento especializado y el fortalecimiento de los ejercicios de crisis. La Superintendencia prevé mantener la Supervisión Basada en Riesgos para verificar la efectividad de los controles, bajo una premisa expresada por el organismo: “supervisar mejor no es supervisar más, sino hacerlo estratégicamente”.
