1. Introducción
El sector de servicios financieros ha experimentado una profunda transformación estructural durante las últimas dos décadas. Las instituciones que alguna vez desarrollaron y mantuvieron la mayor parte de sus capacidades operativas internamente, ahora dependen habitualmente de proveedores externos para computación en la nube, procesamiento de pagos, verificación de know-your-customer (KYC), ciberseguridad, sistemas bancarios centrales y una amplia gama de servicios auxiliares. La pandemia de COVID-19 aceleró esta trayectoria, forzando la rápida adopción de canales digitales e infraestructura de trabajo remoto, a menudo a través de proveedores externos [1].
Esta dependencia crea ventajas estratégicas: acceso a experiencia especializada, escalabilidad y eficiencia de costos. Sin embargo, también introduce capas de riesgo operativo, legal, reputacional y sistémico sobre las cuales los reguladores de diversas jurisdicciones han expresado una creciente preocupación. Incidentes de alto perfil —desde el fallo tecnológico de Knight Capital en 2012 hasta la brecha de cadena de suministro MOVEit de 2023 que afectó a docenas de instituciones financieras— han subrayado el potencial de los eventos relacionados con terceros para convertirse en disrupciones sistémicas [2].
En este contexto, la función de adquisiciones en banca y servicios financieros ha sido reimaginada. La función de compra tradicional —encargada de obtener bienes y servicios al menor costo— está siendo reemplazada por un mandato más amplio de gobernanza de proveedores que abarca el cumplimiento normativo, la evaluación de riesgos, la supervisión de la seguridad de la información y la planificación de la resiliencia operativa. Este artículo explora las dimensiones clave de esta evolución, examinando la arquitectura regulatoria que da forma a la gobernanza de terceros y los marcos operativos que las instituciones deben implementar para cumplir con la normativa.
2. El panorama regulatorio
2.1 La Ley de Resiliencia Operativa Digital (DORA)
Adoptada por la Unión Europea en enero de 2023 y aplicable a partir de enero de 2025, DORA (Reglamento (UE) 2022/2554) representa la intervención regulatoria más completa en la gestión de riesgos TIC de servicios financieros hasta la fecha. Su ambición es armonizar las reglas entre los estados miembros de la UE sobre cómo las entidades financieras —incluidos bancos, aseguradoras, firmas de inversión y proveedores de servicios de criptoactivos— gestionan la resiliencia operativa digital de sus sistemas TIC, con especial enfoque en el riesgo TIC de terceros [3].
Bajo DORA, las entidades financieras deben mantener un registro de todos los proveedores de servicios TIC externos y categorizarlos por criticidad. Los proveedores externos críticos (CTPP) están sujetos a un novedoso marco de supervisión administrado por las Autoridades Europeas de Supervisión (ESA), incluida la Autoridad Bancaria Europea (EBA), quienes pueden realizar inspecciones y auditorías directas de estos proveedores. Esto representa un cambio fundamental: los reguladores ya no se conforman con responsabilizar solo a la institución financiera; ahora ejercen poderes de supervisión directa sobre los propios proveedores [4].
Para las funciones de adquisiciones, DORA impone requisitos contractuales obligatorios. Los contratos escritos con proveedores de TIC externos deben incluir disposiciones sobre niveles de servicio, derechos de auditoría, ubicación y portabilidad de datos, obligaciones de notificación de incidentes, derechos de rescisión y estrategias de salida. Críticamente, DORA exige que las entidades financieras aseguren que los riesgos de concentración de sus carteras de proveedores de TIC sean identificados y gestionados, y que prueben su capacidad para salir de acuerdos críticos sin interrumpir las operaciones [5].
2.2 Guía de la OCC sobre relaciones con terceros
En Estados Unidos, la Office of the Comptroller of the Currency ha establecido expectativas desde hace mucho tiempo para la gestión de las relaciones con terceros por parte de los bancos. La guía interinstitucional de 2023 emitida conjuntamente por la OCC, la Federal Reserve y la FDIC consolida la guía previa en un marco unificado aplicable a todas las relaciones con terceros, no solo a las 'críticas' [6]. La guía identifica tres fases del ciclo de vida de la relación —planificación, monitoreo continuo y rescisión— y especifica que las instituciones deben realizar una diligencia debida basada en el riesgo, proporcional al nivel de riesgo que plantea cada relación.
El marco de la OCC coloca una responsabilidad explícita en los consejos de administración y la alta dirección. La actividad de adquisiciones se eleva de una función operativa a un asunto de gobernanza: se espera que los consejos aprueben políticas para la gestión de relaciones con terceros, revisen informes periódicos sobre acuerdos significativos y garanticen que se dediquen recursos adecuados a la supervisión. Este marco de gobernanza alinea las decisiones de adquisiciones con el apetito de riesgo y los objetivos estratégicos de la institución, en lugar de tratar la selección de proveedores como un ejercicio puramente comercial [7].
2.3 FCA SYSC 8 y el régimen de subcontratación del Reino Unido
En el Reino Unido, el libro de consulta sobre Disposiciones, Sistemas y Controles de Alta Dirección de la Financial Conduct Authority —específicamente el Capítulo 8 (SYSC 8)— rige la subcontratación por parte de firmas autorizadas. SYSC 8 exige que las firmas no subcontraten actividades de una manera que perjudique materialmente la calidad de los controles internos o la capacidad de la FCA o la PRA para supervisar la firma. Las reglas imponen deberes para mantener la supervisión de las funciones subcontratadas, garantizar que el proveedor cumpla con estándares equivalentes y preservar la continuidad del servicio [8].
Tras la publicación de las Directrices de la EBA sobre Acuerdos de Subcontratación (EBA/GL/2019/02) y su integración en la práctica regulatoria del Reino Unido tras el Brexit, las instituciones financieras británicas ahora deben realizar evaluaciones extensas previas a la subcontratación, mantener un registro de subcontratación, incluir disposiciones contractuales específicas y notificar a los reguladores los acuerdos de subcontratación materiales. La declaración de supervisión SS2/21 de la Prudential Regulation Authority (PRA) sobre subcontratación y gestión de riesgos de terceros elabora aún más las expectativas para las firmas reguladas por la PRA, incluidos los requisitos para los controles de sub-subcontratación y los acuerdos de continuidad de negocio [9].
3. Marcos de gestión de riesgos de terceros
3.1 El ciclo de vida del riesgo de proveedor
La TPRM efectiva en servicios financieros está estructurada en torno a un modelo de ciclo de vida de proveedor que abarca cinco etapas: (i) identificación y categorización de proveedores; (ii) diligencia debida y evaluación precontractual; (iii) negociación y ejecución de contratos; (iv) monitoreo continuo y gestión del desempeño; y (v) desvinculación y gestión de salida. Cada etapa conlleva exposiciones de riesgo distintas que los equipos de adquisiciones deben gestionar en colaboración con las líneas de legal, cumplimiento, seguridad de la información y negocio [10].
En la etapa de identificación y categorización, las instituciones segmentan a los proveedores por el riesgo inherente que plantean, típicamente a través de dimensiones que incluyen sensibilidad de datos, criticidad para las operaciones, exposición regulatoria, salud financiera y riesgo jurisdiccional. Los modelos de riesgo por niveles —como los recomendados por el Shared Assessments Program o el Financial Services Information Sharing and Analysis Center (FS-ISAC)— permiten que los recursos de diligencia debida se asignen de manera proporcional, con el escrutinio más intenso aplicado a los proveedores de nivel uno y críticos para la misión [11].
3.2 Diligencia debida y evaluación de seguridad de la información
La diligencia debida precontractual en servicios financieros se extiende mucho más allá del análisis financiero y la verificación de referencias. Las evaluaciones de seguridad de la información se han convertido en un componente central, impulsadas por el reconocimiento de que las brechas de datos originadas en sistemas de terceros representan uno de los vectores de amenaza más significativos que enfrenta la industria. Las instituciones requieren habitualmente que los proveedores completen cuestionarios estandarizados —como los desarrollados por la iniciativa Standardised Information Gathering (SIG)— que cubren controles en dominios que incluyen gestión de acceso, cifrado, respuesta a incidentes y continuidad de negocio [12].
Las auditorías y certificaciones de terceros, incluidos los informes SOC 2 Tipo II, la certificación ISO/IEC 27001 y las certificaciones específicas de la nube (como CSA STAR), proporcionan una garantía estructurada de que los controles del proveedor cumplen con estándares definidos. Sin embargo, los reguladores y profesionales reconocen cada vez más que las evaluaciones puntuales son insuficientes: las herramientas de monitoreo continuo —que rastrean la postura de seguridad, los eventos noticiosos y la salud financiera del proveedor en tiempo real— se están convirtiendo en un estándar de la industria y están siendo exigidas o fuertemente fomentadas bajo marcos como DORA [13].
3.3 Protecciones contractuales y SLA
El contrato en sí sirve como el instrumento principal de gobernanza de riesgo de proveedores. Los contratos de adquisiciones de servicios financieros han evolucionado sustancialmente en respuesta a los requisitos regulatorios, incorporando disposiciones sobre: procesamiento y sub-procesamiento de datos (alineado con el GDPR y regímenes equivalentes); derechos de auditoría e inspección; plazos de notificación de incidentes (típicamente 24-72 horas para incidentes materiales); estándares de continuidad de negocio y recuperación ante desastres; derechos de rescisión activados por insolvencia, cambio de control u objeción regulatoria; y obligaciones de devolución y eliminación de datos al finalizar el contrato [14].
Los Service Level Agreements (SLA) en sectores regulados deben equilibrar la practicidad comercial con la capacidad de defensa regulatoria. Los reguladores esperan que los SLA reflejen umbrales de desempeño materialmente genuinos —no objetivos aspiracionales— y que las soluciones ante incumplimientos sean proporcionales al impacto del bajo rendimiento en la institución y sus clientes. La FCA del Reino Unido ha criticado explícitamente la práctica de incluir SLA que son tan laxos que no brindan una protección significativa [15].
4. Riesgo de concentración de proveedores
Uno de los riesgos estructuralmente más significativos en la adquisición de servicios financieros es la concentración de proveedores: el grado en que las instituciones —individual y colectivamente— dependen de un pequeño número de proveedores para funciones críticas. La infraestructura en la nube ofrece la ilustración más clara. Un análisis de 2023 del Bank of England encontró que la mayoría de las instituciones reguladas por el Reino Unido dependían de uno de los tres proveedores de nube a hiperescala —Amazon Web Services, Microsoft Azure o Google Cloud Platform— para elementos materiales de sus operaciones [16].
Esta concentración no es solo un problema de firma individual; es un problema sistémico. Un corte o incidente de seguridad que afecte a un proveedor dominante podría perjudicar simultáneamente las operaciones de múltiples instituciones importantes a nivel sistémico, provocando efectos de contagio a través de los sistemas de pago, mercados de capitales y depósitos. Los reguladores han respondido con un escrutinio mayor: DORA exige explícitamente que las entidades financieras mapeen y evalúen el riesgo de concentración TIC, tanto a nivel de entidad como, a través de la coordinación de la ESA, a nivel sectorial. La EBA ha publicado informes regulares sobre la concentración en la nube en el sector bancario de la UE, señalando el riesgo como una preocupación supervisora prioritaria [17].
Desde la perspectiva de la estrategia de adquisiciones, la gestión del riesgo de concentración requiere arquitecturas deliberadas de múltiples proveedores, estándares de portabilidad y requisitos de interoperabilidad integrados en los contratos desde el principio. Las estrategias de salida —incluida la capacidad de migrar cargas de trabajo o datos a un proveedor alternativo dentro de un marco de tiempo definido— deben ser probadas, no solo documentadas. Los equipos de adquisiciones deben trabajar estrechamente con las funciones de tecnología y arquitectura empresarial para garantizar que las decisiones comerciales no creen inadvertidamente una dependencia que socave la resiliencia operativa [18].
5. El papel evolutivo de las adquisiciones
La convergencia de las demandas regulatorias, el riesgo cibernético y los requisitos de resiliencia operativa está transformando fundamentalmente la función de adquisiciones en los servicios financieros. El CPO y su equipo ya no pueden operar como intermediarios transaccionales centrados principalmente en ahorros de costos y cumplimiento contractual. Deben actuar en cambio como orquestadores conscientes del riesgo, capaces de coordinar entre partes interesadas de legal, cumplimiento, tecnología y negocio para ofrecer relaciones con proveedores que sean comercialmente sólidas, operacionalmente resilientes y demostrablemente conformes con las expectativas regulatorias [19].
Esto requiere inversión en capacidades que son relativamente nuevas para las adquisiciones: plataformas de tecnología TPRM (como Coupa, Ariba integrado con módulos de riesgo, o herramientas especializadas como ProcessUnity y OneTrust), calificación de riesgo basada en datos y personal de adquisiciones con suficiente conocimiento de seguridad de la información y marcos regulatorios para llevar a cabo conversaciones significativas con los proveedores. El Chartered Institute of Procurement and Supply (CIPS) ha reconocido este cambio, desarrollando una guía sobre el riesgo de la cadena de suministro en servicios financieros que incorpora tanto dimensiones comerciales como regulatorias [20].
Las estructuras de gobernanza también deben adaptarse. Muchas instituciones han establecido comités de riesgo de terceros dedicados o han integrado TPRM en sus marcos de gestión de riesgos empresariales bajo el modelo de las Tres Líneas de Defensa —con adquisiciones ocupando la primera línea, cumplimiento y gestión de riesgos la segunda, y auditoría interna la tercera. El informe periódico a los consejos y comités de riesgo superiores sobre el perfil de riesgo de terceros de la institución —incluida la concentración, el desempeño y los riesgos emergentes dentro del ecosistema de proveedores— es considerado cada vez más como una expectativa de gobernanza básica por parte de los reguladores [21].
6. Conclusión
Las adquisiciones en banca y servicios financieros han entrado en una nueva era, definida no solo por la búsqueda de ahorros de costos, sino por el imperativo de gestionar el riesgo de terceros dentro de un panorama regulatorio denso y en evolución. DORA, la guía interinstitucional de la OCC, el SYSC 8 de la FCA y marcos equivalentes en otras jurisdicciones han elevado colectivamente la gobernanza de terceros de una preocupación de back-office a una responsabilidad a nivel de consejo [22].
Los desafíos son sustanciales. Las instituciones financieras deben gestionar simultáneamente el desempeño comercial de cientos o miles de relaciones con proveedores, mantener evaluaciones de riesgo actualizadas en un entorno de amenazas que cambia rápidamente, integrar requisitos regulatorios complejos en contratos y procesos de diligencia debida, y abordar vulnerabilidades estructurales como el riesgo de concentración de proveedores. Ninguno de estos objetivos puede lograrse mediante equipos de adquisiciones que trabajen de forma aislada [23].
Lo que se requiere es un modelo de gobernanza de terceros integrada —uno en el que las funciones de adquisiciones, riesgo, cumplimiento, legal y tecnología operen como una unidad coherente, respaldada por estructuras de supervisión y tecnología adecuadas. Las instituciones que inviertan en este modelo estarán mejor posicionadas no solo para satisfacer las expectativas regulatorias, sino para realizar el potencial estratégico de sus relaciones con los proveedores, haciendo de la gobernanza de terceros una fuente de resiliencia competitiva en lugar de simplemente una carga de cumplimiento [24].