DORA no termina en el contrato: cómo comprobar que sus proveedores TIC resistirán. Esta situación aparece cuando los contratos contienen cláusulas extensas, pero la entidad no puede explicar qué funciones importantes dependen de cada proveedor, qué escenarios ha probado ni cómo recuperaría la operación ante una interrupción prolongada. Para entidades financieras, responsables de riesgo, continuidad, compras y tecnología en España, la decisión útil no es comprar una actividad aislada, sino definir qué resultado necesita el negocio, quién lo aprobará y qué evidencia permitirá comprobarlo.
Esta guía desarrolla el servicio de Cumplimiento DORA de Insylux con casos de uso, ejemplos y criterios prácticos para España. No promete que una metodología elimine el riesgo ni presenta casos hipotéticos como clientes reales. Su propósito es ayudar a preparar una conversación informada antes de solicitar una propuesta.
El problema que conviene resolver primero
los contratos contienen cláusulas extensas, pero la entidad no puede explicar qué funciones importantes dependen de cada proveedor, qué escenarios ha probado ni cómo recuperaría la operación ante una interrupción prolongada. Cuando esto ocurre, cada área puede estar trabajando de buena fe y aun así dejar vacíos: una herramienta se renueva sin relacionarla con el riesgo, una política no tiene evidencia, un proveedor asume que la decisión pertenece al cliente y la gerencia recibe métricas que no explican impacto.
Empiece por escribir la decisión de negocio en una frase: qué resultado necesita proteger, qué interrupción o error sería inaceptable y quién puede aceptar el riesgo residual. Esa frase limita el alcance y evita convertir el proyecto en una lista infinita. También permite distinguir entre una necesidad inmediata y una capacidad que debe sostenerse durante el año.
Los momentos que normalmente justifican revisar este servicio incluyen aplicación de DORA, renovaciones de nube, externalización de procesos críticos, fusiones o concentración en pocos proveedores. Ninguno obliga automáticamente a contratar el alcance más amplio. La prioridad depende de la criticidad, el calendario, las dependencias y la evidencia existente.
Señales de que ha llegado el momento
- La dirección recibe problemas técnicos, pero no alternativas de decisión ni impacto para el negocio.
- Un cliente, auditor o regulador solicita evidencias que están repartidas entre correos, proveedores y personas.
- La organización no puede nombrar un responsable y una fecha para cada riesgo relevante.
- Existen iniciativas paralelas que compiten por presupuesto sin una prioridad común.
- Un cambio importante se acerca y las pruebas o aprobaciones se han dejado para el final.
Una señal aislada puede resolverse internamente. Varias señales simultáneas indican que hace falta un trabajo estructurado. Antes de contratar, reúna responsables de negocio, tecnología, riesgo y operación durante una sesión corta. Compare lo que cada uno entiende por éxito; las diferencias tempranas son más baratas de resolver que los desacuerdos al recibir el informe.
Cómo convertir la necesidad en un alcance
Un alcance sólido identifica procesos, sedes, sistemas, datos, terceros y periodo. También aclara exclusiones. Decir “revisar la seguridad” no permite estimar trabajo ni interpretar resultados. Es mejor describir el servicio de negocio, sus usuarios, las decisiones sensibles y las interfaces con proveedores.
El punto de partida debería incluir responsables disponibles, documentación existente, restricciones operativas, fechas críticas y formato de entrega. Si habrá acceso a información o sistemas, acuerde autorización, custodia, retención y eliminación. Si el proyecto puede afectar operación, establezca ventanas, contactos y criterio de detención.
Para este servicio, un conjunto razonable de resultados sería inventario de dependencias, clasificación de servicios, matriz de requisitos, evidencias de pruebas, plan de salida, responsables y seguimiento de hallazgos. La propuesta debe indicar cuáles están incluidos, quién los valida y si existe acompañamiento posterior. No dé por supuesto que expresiones como “implementación completa” o “acompañamiento integral” significan lo mismo para ambas partes.
Casos de uso donde aporta valor
Preparar una decisión de gerencia
La dirección necesita comparar costo, exposición y urgencia. El servicio debe traducir hallazgos en opciones: corregir ahora, compensar temporalmente, transferir una parte o aceptar de manera consciente. Una recomendación sin dueño, dependencia ni fecha rara vez cambia la operación.
Responder a un cliente o auditor
La evidencia debe representar el funcionamiento real. Reunir documentos durante la semana anterior a una revisión produce estrés y contradicciones. El proyecto puede ordenar registros, pero también debe mostrar qué control se ejecuta, quién lo revisa y cómo se gestiona una excepción.
Acompañar un cambio importante
Durante aplicación de DORA, renovaciones de nube, externalización de procesos críticos, fusiones o concentración en pocos proveedores, el servicio ayuda a definir puertas de decisión. Cada puerta debería responder qué debe estar listo, qué riesgo permanece y quién autoriza avanzar. Esto protege el calendario sin ocultar asuntos pendientes bajo una aprobación genérica.
Ejemplo hipotético aplicado
Escenario hipotético, no cliente ni resultado real de Insylux: una entidad de pagos española dependía de un proveedor para autenticación y de otro para mensajería. En el escenario hipotético, ambos figuraban en inventarios distintos y ningún ejercicio comprobaba la secuencia completa. Al mapear la función de alta de clientes, el equipo descubrió un punto único de fallo y probó una ruta manual limitada con criterios de activación. El valor no provino de producir más documentos, sino de conectar una situación concreta con responsables, evidencia y una decisión verificable.
Un proyecto semejante debería comenzar con una muestra representativa, no con la promesa de abarcar toda la organización. Seleccione un proceso importante, observe cómo funciona y contraste lo documentado. Esa diferencia permite estimar el esfuerzo real antes de ampliar el alcance.
Los entregables del caso podrían incluir inventario de dependencias, clasificación de servicios, matriz de requisitos, evidencias de pruebas, plan de salida, responsables y seguimiento de hallazgos. El orden depende de la urgencia. Si existe una fecha comercial o regulatoria, separe mínimos para decidir, correcciones de corto plazo y construcción de capacidad permanente.
Una ruta de trabajo en cinco pasos
- Encuadrar. Acordar objetivo, patrocinador, alcance, exclusiones, restricciones y criterio de éxito.
- Observar. Revisar documentos, entrevistar responsables y comprobar una muestra de la operación.
- Valorar. Relacionar brechas con impacto, probabilidad, obligaciones y dependencias.
- Actuar. Priorizar responsables, fechas, recursos, compensaciones y decisiones pendientes.
- Comprobar. Validar resultados, registrar excepciones y presentar a dirección lo que cambió y lo que aún no.
La secuencia evita saltar de una preocupación a una herramienta. Puede adaptarse al tamaño de la empresa: una pyme tendrá menos interlocutores, pero sigue necesitando objetivo, evidencia y responsable. Una organización grande requerirá coordinación entre unidades, proveedores y líneas de defensa.
Quién debe participar
| Rol | Aporte esperado | Decisión |
|---|---|---|
| Dirección | Prioridades y tolerancia al riesgo | Acepta recursos y riesgo residual |
| Dueño del proceso | Operación, impacto y restricciones | Valida que la solución funcione |
| Tecnología | Arquitectura, accesos y proveedores | Planifica cambios técnicos |
| Riesgo o cumplimiento | Obligaciones y trazabilidad | Confirma evidencia necesaria |
| Insylux | Metodología, análisis y acompañamiento | Recomienda dentro del alcance |
La responsabilidad no se externaliza por completo. Insylux aporta criterio especializado, evidencia y seguimiento; la empresa conserva las decisiones sobre su operación, prioridades y aceptación del riesgo. Esa separación debe figurar desde la propuesta para evitar expectativas imposibles.
Cómo medir un resultado útil
Para este caso conviene observar funciones importantes con dependencias completas, pruebas ejecutadas, hallazgos cerrados, planes de salida practicables y tiempos de recuperación observados. Combine indicadores de avance con indicadores de funcionamiento. Contar reuniones, documentos o hallazgos dice cuánto trabajo ocurrió; no demuestra por sí mismo que la organización decida mejor o que el proceso resista.
Defina una línea base y una frecuencia. Un indicador sin periodo, población y fuente puede mejorar solo porque cambió la forma de contarlo. Documente también excepciones: por qué se aprobaron, quién lo hizo, qué medida temporal existe y cuándo vence.
Evite promesas absolutas. Un proyecto profesional reduce incertidumbre y mejora capacidad; no garantiza ausencia de incidentes, auditorías sin hallazgos o cumplimiento universal. El resultado más honesto identifica lo cubierto, lo pendiente y el riesgo que la dirección decidió conservar.
Errores frecuentes al contratar
- Elegir solo por número de actividades sin relacionarlas con el objetivo.
- Omitir sistemas, proveedores o sedes que sostienen el proceso principal.
- Dejar las entrevistas y evidencias para después de iniciar.
- Confundir un documento entregado con un control operativo.
- No reservar tiempo interno para validar, corregir y decidir.
- Solicitar una fecha sin explicar dependencias ni criterio de cierre.
Compare propuestas por claridad de alcance, experiencia aplicable, metodología, entregables, tratamiento de información, equipo asignado y acompañamiento. Pregunte cómo se manejará un hallazgo urgente, qué necesita aportar su empresa y cómo se comprobará una corrección.
Servicios que pueden complementar el trabajo
El Security GAP Assessment puede aportar una línea base o una capacidad adyacente cuando el diagnóstico muestre brechas fuera del alcance principal. No debe añadirse de forma automática: primero confirme qué decisión nueva habilitará.
El Ransomware: recuperación y resiliencia puede ayudar a sostener gobierno, implementación o resiliencia después del proyecto. Mantenga contratos y entregables separados cuando las responsabilidades sean diferentes; así será más sencillo medir qué resultado corresponde a cada servicio.
Qué puede preparar esta semana
Día uno: nombre el patrocinador y escriba el resultado que necesita. Día dos: dibuje el proceso y sus dependencias. Día tres: reúna evidencias existentes y marque vacíos. Día cuatro: identifique la fecha crítica, las restricciones y las personas disponibles. Día cinco: redacte preguntas para comparar propuestas y acuerde quién tomará decisiones durante el proyecto.
Con esa preparación, la conversación comercial deja de centrarse en una lista genérica. Insylux puede proponer un alcance proporcionado y su empresa puede reconocer qué queda fuera. Si la información aún es incompleta, una fase inicial de diagnóstico es preferible a prometer un resultado basado en supuestos.
Preguntas frecuentes
¿Un SLA demuestra cumplimiento?
No por sí solo. El SLA define compromisos; la entidad debe conocer dependencias, supervisar resultados y conservar evidencia de pruebas.
¿Debe probarse cada proveedor igual?
No. La profundidad debe seguir la criticidad, concentración, sustituibilidad y efecto sobre funciones importantes.
¿DORA traslada la responsabilidad al proveedor?
No. La participación del tercero no elimina la responsabilidad de la entidad financiera sobre su resiliencia.
Fuentes y alcance editorial
Reglamento (UE) 2022/2554, DORA y Autoridades Europeas de Supervisión: DORA. Consultadas el 10 de octubre de 2026, hora Colombia. Las aplicaciones prácticas, el ejemplo y los criterios de contratación son elaboración editorial de Insylux; deben adaptarse a cada organización y no sustituyen asesoría legal ni la evaluación de una entidad acreditada cuando corresponda.
