Compliance

DORA cambia la pregunta. La auditoría tradicional preguntaba: ¿Se tienen controles? DORA va más allá: ¿Funcionan esos controles cuando realmente se necesitan? Y luego: ¿Puede la organización seguir prestando sus servicios críticos cuando la tecnología falla?

🏛️ La auditoría interna en el modelo de gobierno DORA

DORA establece que las entidades financieras, salvo determinadas excepciones aplicables a microempresas, deben garantizar una separación e independencia apropiadas entre las funciones de gestión del riesgo TIC, las funciones de control y la auditoría interna, siguiendo el modelo de las tres líneas u otro modelo interno de gestión y control de riesgos. También prevé que el marco de gestión del riesgo TIC debe ser sometido periódicamente a auditoría interna de acuerdo con el plan de auditoría. Los auditores deben disponer de conocimientos, habilidades y experiencia suficientes en riesgos TIC y contar con independencia adecuada. La frecuencia y alcance de las auditorías deben ser proporcionales al riesgo TIC de la entidad.

👥 Responsabilidades del órgano de dirección

La resiliencia digital deja de ser considerada exclusivamente responsabilidad del departamento de tecnología. DORA asigna importantes responsabilidades al órgano de dirección. Entre otros asuntos, este debe aprobar y revisar periódicamente aspectos relacionados con los planes de continuidad y recuperación TIC, los planes de auditoría TIC, los recursos destinados a resiliencia digital y las políticas relativas al uso de servicios proporcionados por terceros TIC. Para el auditor, esto significa que una revisión de DORA debería incluir necesariamente el gobierno corporativo.

🔗 Gestión de riesgos de terceros proveedores TIC

Probablemente uno de los aspectos más importantes de DORA sea la gestión de los riesgos asociados con terceros proveedores TIC. Las entidades financieras dependen cada vez más de proveedores de nube, software como servicio, centros de datos, plataformas de pagos, telecomunicaciones, servicios de ciberseguridad y múltiples soluciones especializadas. La externalización de estos servicios no significa externalización de la responsabilidad por el riesgo. DORA exige gestionar el riesgo de terceros TIC como parte integral del riesgo tecnológico de la entidad. Asimismo, desde la aplicación del reglamento las entidades dentro de su ámbito deben disponer de un registro integral de sus acuerdos contractuales con proveedores TIC. Para el auditor, este registro se convierte en una fuente extraordinariamente importante de evidencia.

🎓 Desafío profesional: competencias requeridas

DORA exige que los auditores responsables de las revisiones tengan conocimientos, habilidades y experiencia suficientes en riesgo TIC. Esto no significa necesariamente que el auditor interno deba ser un ingeniero de ciberseguridad. Significa que debe comprender suficientemente conceptos tales como: ciberseguridad, computación en la nube, gestión de identidades, vulnerabilidades, continuidad tecnológica, RTO y RPO^[2], recuperación ante desastres, pruebas de penetración, arquitectura TIC, tercerización, riesgo de concentración, gestión de incidentes y dependencia tecnológica. En revisiones particularmente complejas será razonable utilizar especialistas, pero la función de auditoría debe conservar la capacidad de integrar sus conclusiones dentro de una evaluación global del riesgo empresarial.

Una auditoría DORA madura no debería convertirse en un ejercicio de diligenciar una lista de chequeo. Debe combinar gobierno, tecnología, riesgos, continuidad del negocio, terceros, ciberseguridad, pruebas, datos y capacidad de recuperación.