Nuevas directrices europeas sobre gestión de riesgos de terceros y proveedores críticos

La Autoridad Bancaria Europea (EBA) publicó el 18 de septiembre de 2026 sus directrices finales sobre la gestión del riesgo de terceros. El marco se centra en los acuerdos con proveedores que soportan funciones críticas o importantes de las entidades, y busca una aplicación más proporcionada y consistente en toda la Unión.

Las directrices se alinean con el Reglamento de Resiliencia Operativa Digital (DORA), que ya regula el riesgo de terceros en el ámbito de las tecnologías de la información y la comunicación. La aportación de las directrices es extender una visión integral del riesgo de terceros que cubra tanto los servicios ICT como los servicios no-ICT, evitando vacíos entre ambos marcos.

El enfoque es proporcional: la intensidad de los controles esperados depende de la criticidad de la función soportada y del perfil de riesgo del acuerdo. Esta proporcionalidad es especialmente relevante para entidades de menor tamaño, que deben aplicar el marco de manera coherente con su escala y complejidad.

Las directrices estructuran la gestión del riesgo de terceros a lo largo de todo el ciclo de vida de la relación: evaluación previa de riesgos, diligencia debida sobre el proveedor, contenido del contrato, control de la subcontratación, monitorización continua del desempeño, documentación de la relación y definición de estrategias de salida.

En su elaboración, la EBA ha tenido en cuenta los principios internacionales en esta materia, incluidos los desarrollados por el Comité de Basilea sobre externalización y gestión de riesgos operativos, lo que favorece la coherencia del marco europeo con los estándares globales.

Las directrices prevén un período transitorio de dos años para su aplicación, de modo que las entidades dispongan de tiempo para adecuar sus marcos internos, sus contratos vigentes y sus procesos de gobierno a las nuevas expectativas supervisoras.

Las implicaciones prácticas para bancos, entidades de pago y otras organizaciones reguladas son amplias. Entre las primeras tareas figuran la actualización del inventario de proveedores, la clasificación de la criticidad de cada acuerdo y la identificación de dependencias de concentración, especialmente cuando varias funciones importantes recaen sobre un mismo proveedor o grupo.

En el plano contractual, las entidades deberán verificar que los acuerdos incorporan derechos de acceso y auditoría, cláusulas de continuidad, condiciones de subcontratación y mecanismos de terminación ordenada. La estrategia de salida deja de ser una formalidad para convertirse en un componente exigible de la gestión del riesgo.

La supervisión de la cadena de subcontratistas merece una mención específica: el riesgo no termina en el proveedor directo, y las entidades deben conocer y controlar en qué medida las funciones críticas dependen de terceros sucesivos, incluida su localización geográfica.

El período transitorio de dos años no debe interpretarse como un aplazamiento del trabajo preparatorio. La experiencia con marcos anteriores muestra que la revisión de inventarios, la renegociación de contratos y la definición de estrategias de salida son procesos que consumen tiempo, especialmente cuando afectan a acuerdos de larga duración o a proveedores con elevado poder de negociación.

En síntesis, las directrices consolidan una expectativa supervisora clara: la externalización no transfiere la responsabilidad. Las entidades seguirán siendo responsables de las funciones que encargan a terceros, y deberán poder demostrar que gobiernan esas dependencias con controles proporcionados, documentados y revisados de forma continua.