Las potenciales vulnerabilidades del sistema demandan reacciones normativas y supervisoras acordes a los principios de flexibilidad y proporcionalidad. La implementación de unos razonables planes de continuidad del negocio es una necesidad, especialmente con la explosión de la denominada digitalización de la economía. Esta nueva realidad demanda que los reguladores y supervisores reaccionen para proteger los pilares del sistema financiero, como son la integridad del mercado, la protección de los inversores y la estabilidad financiera.
Los planes de continuidad del negocio, conocidos como “business continuity plan” (BCPs) en inglés, son un elemento estratégico para que las empresas, con independencia de su naturaleza, garanticen su supervivencia cuando acaecen situaciones excepcionales como la que estamos padeciendo con esta pandemia.
Los riesgos actuales más frecuentes provienen, entre otros, de la ciberseguridad, los ataques informáticos, la protección de datos y la estabilidad financiera. En el mundo financiero, el rol específico de las plataformas de negociación e intermediarios financieros demanda una regulación determinada para los mismos por su estrecha conexión con el denominado riesgo sistémico.
IOSCO ha conducido un peer review entre 33 miembros sobre esta materia que se describe a continuación.
En noviembre de 2018, el Consejo de IOSCO acordó efectuar un análisis de la implementación de estos Estándares y Recomendaciones en las distintas jurisdicciones, para lo que creó un “Review Team”. Este “Review Team” estaba compuesto, entre otros, por miembros de los supervisores de Nueva Zelanda, Quebec, Sudáfrica, Dubai, España (CNMV) y Turquía. La CNMV desempeñó un papel muy activo en el desarrollo del análisis efectuado.
Estructura del Peer Review
En la revisión participaron 33 jurisdicciones. El ejercicio incluye una valoración y clasificación del grado de incorporación de los Estándares y Recomendaciones en la regulación de todas y cada una de las jurisdicciones individualmente consideradas.
España ha sido clasificada como “fully implemented” en todas las Recomendaciones y Estándares.
Contenido y valoración de las Recomendaciones y Estándares
-
Los reguladores deben asegurar que los denominados sistemas críticos están debidamente garantizados.
-
Las plataformas de negociación deben asegurar la resistencia, fiabilidad e integridad de sus sistemas críticos.
-
El régimen de responsabilidad y gobernanza del consejo y de la dirección de las plataformas de negociación, en relación con sus sistemas críticos, debe estar suficientemente clara y garantizada.
-
En el supuesto de actividades de delegación (“outsourcing”), la resistencia, fiabilidad e integridad del sistema, por parte de los proveedores de los servicios, deben estar garantizadas.
-
Los reguladores debieran poder establecer requisitos adicionales para asegurar revisiones periódicas, así como los denominados “capacity testing” y “periodic stress testing” de sus sistemas críticos.
En relación con la Recomendación 2, relativa a las plataformas de negociación, el Informe recomienda lo siguiente:
-
La regulación debe permitir a los reguladores obtener una copia de los BCPs así como exigir responsabilidades al consejo y a la dirección de las compañías en relación con el establecimiento y mantenimiento de los mismos.
-
En el supuesto de actividades de “outsourcing” por parte de las plataformas de negociación, los reguladores deben valorar la capacidad para exigir que los proveedores de servicios mantengan adecuados BCPs. Existen jurisdicciones donde no es preceptivo efectuar revisiones periódicas y formales de los BCPs, aceptando asimismo la existencia de un tratamiento desigual a los existentes en sus jurisdicciones. Por ello, el Informe establece que las revisiones periódicas y el tratamiento unitario de los BCPs formen parte del contenido de las Recomendaciones.
En relación con el Estándar 1, relativo a los intermediarios financieros, el Informe recomienda lo siguiente:
-
Las regulaciones deben contener una definición del contenido y concepto de los BCPs.
-
En algunas jurisdicciones se establecen específicas obligaciones para hacer frente tanto a los desastres naturales como a las disrupciones de los sistemas tecnológicos, pero no se requiere a los intermediarios aprobar BCPs con carácter de permanencia. La obligatoriedad de los mismos debiera ser imperativa.
-
La regulación debe delimitar claramente el rol y las responsabilidades del consejo y la dirección de los intermediarios financieros en relación con los BCPs.
En relación con el Estándar 2, relativo a los intermediarios financieros, el Informe recomienda lo siguiente:
-
La regulación debiera establecer la obligación de los intermediarios financieros de efectuar revisiones periódicas de los BCPs, así como los períodos mínimos de ejecución de los mismos.
-
La regulación debe explicitar la necesidad de adaptar los BCPs a los cambios y a las nuevas demandas derivadas de las revisiones periódicas efectuadas.
-
La recomendación anterior obedece a la existencia de jurisdicciones donde no es preceptivo adaptar los planes de continuidad de negocios a cambios materiales imprevisibles y sobrevenidos.
Recomendaciones
-
Las regulaciones deben otorgar poderes adecuados a los supervisores para establecer y exigir el cumplimiento de los estándares y recomendaciones sobre BCPs, así como para exigir tanto a las plataformas de negociación como a los intermediarios financieros, el mantenimiento y actualización de sus BCPs.
-
Los reguladores deben valorar, en el ámbito de sus jurisdicciones, la conveniencia de introducir mejoras en sus regulaciones nacionales con independencia del sistema normativo aplicable (rule-based or a principles-based approach).
-
Los reguladores deben analizar la capacidad de resiliencia de los BCPs para afrontar situaciones extremas y disruptivas, como las pandemias, terremotos o similares.
-
Los reguladores deben analizar la obligatoriedad de que en sus regulaciones las plataformas de negociación y los intermediarios financieros aprueben los BCPs, con vocación de permanencia y estabilidad, no solo en situaciones extraordinarias, como los desastres naturales y las pandemias sino también en circunstancias ordinarias, como las perturbaciones de los sistemas IT y similares.
-
La regulación debiera permitir a las autoridades supervisoras exigir que los intermediarios financieros efectúen revisiones periódicas y regulares para actualizar sus BCPs.
-
Los reguladores pueden considerar la conveniencia de introducir en sus regulaciones la imperatividad de introducir tests de estrés (“stress testing”) para los BCPs.
-
Las jurisdicciones con varias autoridades supervisoras deben adoptar acuerdos de cooperación entre ellas para asegurar la coordinación en esta materia.
a) Los reguladores deben asegurar que sus respectivas regulaciones nacionales les otorguen los poderes necesarios para que puedan exigir el establecimiento y mantenimiento de los BCPs actualizados para las plataformas de negociación y los intermediarios financieros.
c) Los reguladores considerarán si sus regulaciones contienen guías y orientaciones adecuadas para que los BCPs afronten situaciones diversas (desastres naturales, pandemias y emergencias sanitarias).
d) La regulación debe exigir a los intermediarios que conduzcan actualizaciones y revisiones periódicas y regulares, al menos anualmente, de sus respectivos BCPs. Se podrán exigir revisiones extraordinarias de los mismos para hacer frente, tanto a las demandas derivadas de las revisiones periódicas como a los cambios sustanciales que puedan acaecer.
COVID 19 y efectos sobre los BCPs
-
El teletrabajo, con sus ventajas indubitadas, incrementa el riesgo de sufrir ciberataques tanto interna como externamente.
-
Los BCPs requieren “testing periódicos” y adaptaciones a los cambios permanentes que demanda el nuevo ecosistema financiero.
-
El uso de los servicios en la nube ayuda a diversificar y mitigar los riesgos derivados de las diferentes localizaciones geográficas de las instalaciones, que la mayoría de los BCPs aconsejan como buena práctica.
-
Los “Primary Data Centre” y los “Disaster Recovery Site” deben estar separados funcional y geográficamente para atenuar los problemas relacionados con la movilidad de la plantilla y preservar el normal funcionamiento de las unidades estructurales de las distintas organizaciones.
CONCLUSIONES
Los principios de resiliencia, confianza y adaptabilidad de los BCPs demandan clarificar el régimen de responsabilidad de los órganos rectores de las plataformas de negociación e intermediarios financieros. Asimismo, demandan la obligatoriedad de actualizar periódicamente el contenido de los BCPs y priorizar su supervisión por las autoridades correspondientes.
Es aconsejable que los reguladores adopten políticas y procedimientos para promover y asegurar eficaces colaboraciones transfronterizas, incluyendo el pronto y adecuado intercambio de información entre las autoridades competentes, tanto nacionales como internacionales.
El Covid-19 está siendo una oportunidad para examinar la denominada resiliencia operativa de las plataformas de negociación e intermediarios financieros para afrontar situaciones excepcionales y ordinarias, como lo son los retos derivados del trabajo remoto, los servicios en la nube, la ciberseguridad y la creciente dependencia de los sistemas de IT, entre otros muchos.
Como continuidad a la revisión temática objeto del presente Informe se va a iniciar, en el seno de los Comités 2 y 3 de IOSCO, un trabajo sobre resiliencia operativa (“operational resilience”) para analizar si los sistemas normativos existentes garantizan la continuidad de las denominadas “operaciones críticas” cuando afrontan situaciones de shock o disruptivas, como la actual pandemia.
Enlaces de interés:
FR03/2021 Thematic Review on Business Continuity Plans with respect to Trading Venues and Intermediaries (iosco.org)