La EBA publica las directrices sobre la gestión del riesgo de proveedores de servicios no TIC

La Autoridad Bancaria Europea (ABE o EBA, en siglas inglesas) publicó, el 18-9-2026, las directrices finales sobre la gestión adecuada del riesgo de proveedores de servicios no tecnológicos¹ (o no TIC, de tecnologías de la información y las comunicaciones).

Estas directrices:

• sustituyen a las emitidas por esta autoridad sobre externalización,²
• presentan un conjunto de criterios y de requisitos para gestionar el riesgo de proveedores de servicios distintos de TIC, coherente con el Reglamento (UE) 2022/2554,³ sobre resiliencia operativa digital (conocido como reglamento DORA) para los proveedores TIC, e
• incorporan un enfoque basado en el riesgo y en el principio de proporcionalidad, que concentra los requisitos más exigentes en los acuerdos sobre funciones críticas o importantes y los reducen en los acuerdos de menor relevancia.

Resumimos a continuación los aspectos principales de estas directrices.

Ámbito de aplicación

Estas directrices:

• amplían el ámbito de las anteriores sobre externalización al abarcar acuerdos recurrentes o continuados, incluidos los acuerdos intragrupo, con independencia de que los servicios contratados constituyan o no externalización de funciones;
• excluyen ciertos acuerdos, como:
  • los que legalmente tiene que prestar un proveedor (como la auditoría legal),
  • los servicios financieros que han de prestar entidades financieras reguladas,
  • los de información de mercados,
  • de infraestructuras de redes de pago,
  • de compensación y liquidación;
• también exceptúan los que no tengan un efecto significativo en la exposición al riesgo o en la resiliencia operativa de la entidad, como:
  • servicios jurídicos o fiscales,
  • administrativos, limpieza, servicios médicos, servicios telefónicos, gas o agua, o
  • mantenimiento de oficinas.

Asimismo, las directrices afectan a:

• entidades de crédito,
• entidades de pago y de dinero electrónico,
• emisores de tókenes referenciados a activos,³ y
• empresas de servicios de inversión, salvo las pequeñas y no interconectadas que cumplan las condiciones del artículo 12.1 del Reglamento (UE) 2019/2033.⁴

Gestión del riesgo de proveedores

Gestión integral de este tipo de riesgo

Los servicios de TIC continúan sujetos al régimen de gestión del riesgo previsto en el reglamento DORA.

No obstante, la EBA promueve una gestión integral de los riesgos derivados de ambos tipos de proveedores, tecnológicos y no tecnológicos, de modo que las entidades puedan:

• disponer de una gobernanza y control del riesgo comunes, y
• aprovechar las políticas, procedimientos y estructuras organizativas para cumplir con DORA, aunque atiendan requisitos específicos de cada tipo de proveedor.

Asimismo, el concepto de función crítica o importante es coherente con el previsto en el reglamento DORA.

Gobernanza y gestión interna del riesgo de proveedores

Las directrices refuerzan la responsabilidad del órgano de administración sobre la gestión del riesgo de proveedores no TIC y recogen las siguientes obligaciones de las entidades:

1. Integrar la gestión del riesgo de este tipo de proveedores en los sistemas de gobierno corporativo y control interno.
2. Describir una política de gestión del riesgo de proveedores de servicios no TIC que sustenten funciones críticas o importantes, que debe aprobar el órgano de administración, y revisada periódicamente.
3. Definir las funciones y responsabilidades de las áreas involucradas en la contratación, supervisión y control de los proveedores.
4. Verificar que los acuerdos con proveedores no reduzcan la capacidad para cumplir las obligaciones regulatorias ni impidan una supervisión efectiva.
5. Mantener un registro actualizado de los acuerdos con estos proveedores que permita identificar y supervisar estas relaciones, con especial atención a las que sustenten funciones críticas o importantes.
   • Ha de estar a disposición de la autoridad.
   • Debe ser coherente con el registro de información previsto en el artículo 28.3 del reglamento DORA.
6. Incluir dentro de la función de auditoría interna, cuando exista, la evaluación independiente y enfocada en riesgos de los servicios prestados por proveedores.

Evaluación de los riesgos

Las directrices recogen la obligación de identificar y evaluar los riesgos asociados a los proveedores no TIC antes de formalizar los acuerdos y durante su vigencia y concreta cómo hacerlo.

Así, las entidades tienen que:

• evaluar los riesgos atendiendo a la naturaleza, complejidad y relevancia de los servicios, y a los efectos sobre las funciones críticas o importantes;
• comprobar, antes del acuerdo, que el proveedor dispone de los recursos, la capacidad y los mecanismos de control adecuados para prestar el servicio de manera segura y continuada;
• disponer de medidas de continuidad operativa y estrategias de salida documentadas para los acuerdos sobre funciones críticas o importantes.
• contemplar posibles fallos o interrupciones de esos proveedores y analizar los efectos para el negocio, evaluando las consecuencias de interrupciones graves, considerando la criticidad de las funciones, las dependencias y posibles sustituciones.

Estas exigencias se aplicarán de forma proporcionada, con mayor intensidad en los acuerdos que sustenten funciones críticas o importantes.

Requisitos contractuales

Las directrices también recogen requisitos del contenido de los acuerdos contractuales con proveedores no TIC, similares a los que establece el reglamento DORA para los proveedores TIC.

Los contratos deberán contener, al menos:

• la descripción de los servicios contratados y sus condiciones de prestación;
• los niveles de servicio y los mecanismos de seguimiento;
• las obligaciones de confidencialidad y protección de la información;
• los derechos de acceso, información e inspección;
• las condiciones de subcontratación, y
• las causas de terminación y las condiciones para garantizar una transición ordenada.

Detallan requisitos adicionales para los acuerdos sobre funciones críticas o importantes, como planes de salida y medidas reforzadas de seguimiento, auditoría y control.

Notas finales

Las directrices serán aplicables tras la publicación en todas las lenguas oficiales de la Unión Europea. Desde esa misma fecha quedarán derogadas las directrices sobre externalización del 2019.

Aunque desde la fecha de aplicación, las entidades tendrán que ajustarse a estas directrices:

• para los acuerdos sobre funciones críticas o importantes, si no hay cambios finales, dispondrán de dos años para completar la revisión y documentación de las nuevas exigencias, y
• para los acuerdos que no se refieran a funciones críticas o importantes, podrán revisarse y documentarse cuando se renueven.