GESTIÓN DE CONTINUIDAD DE NEGOCIO EN LAS ENTIDADES

ACTUALIDAD
ACTUALIDAD
Los problemas crediticios, uno de los riesgos más temidos para este 2008
GESTIÓN DE CONTINUIDAD
DE NEGOCIO EN LAS
ENTIDADES FINANCIERAS
El nuevo milenio pareció dar el pistoletazo de salida: desde esas fechas, las entidades financieras de
todo el mundo han ido incrementando el presupuesto dedicado a la Gestión de Continuidad de
Negocio (GCN), alertadas por el impacto que supuso el 11S, por los numerosos desastres naturales, y
por el cibercrimen y su imparable evolución. En 2007, el cambio del ciclo económico parece haber
marcado un nuevo período, en el que la mayor de las preocupaciones es la crisis crediticia, más
acentuada en el mercado estadounidense, pero cuyas consecuencias pueden salpicar a todo el
planeta. En este contexto la GCN está tomando fuerza como medida eficaz de reducción del riesgo.
dicen sin tapujos, y explican que una de las
maneras de evitar que este tipo de problemas se vuelvan a repetir es que las entidades
financieras revisen y mejoren su capacidad
para detectar riesgos. Así lo han apuntado recientemente Warren Buffet, el hombre más rico del mundo y respetado por sus acertados
pronósticos, y Ben Bernanke, el presidente
de la Reserva Federal de Estados Unidos,
quien ha asegurado que “los bancos centrales están buscando una mayor transparencia
en las entidades financieras para mejorar la
disciplina de los mercados”.
Una mayor transparencia, a través de
normas de continuidad de negocio para entidades financieras, podría ayudar a reducir futuros riesgos en el sector que pudieran provocar nuevas crisis.
RIESGOS MÁS PERCIBIDOS
JOANNE GAGNON,
Responsable de Proyectos de GCN de
TB-Security y Presidenta BCI Spain
ESTADOS UNIDOS: EN EL FOCO DEL
PROBLEMA
L
as señales de alarma se dispararon
durante el 2007, cuando los bancos y
otras entidades financieras de Esta-
20 BOLSA. Julio 2008
dos Unidos registraron pérdidas como consecuencia de impagos de hipotecas. Aunque
en el 2006 los efectos de este fenómeno en
los valores bursátiles fueron limitados, existe
en la actualidad un riesgo real de recesión,
primero en EEUU y luego en Europa.
Al analizar las causas, los expertos coinciden en señalar como culpables de esta situación a las mismas entidades financieras. Lo
Pero además de este escollo, ¿qué otros
retos se plantean?, ¿qué es lo que preocupa a
las entidades financieras de todo el mundo?
Según el informe sobre Banking Banana
Skins 2008, elaborado por el think tank londinense CSFI, los resultados de sus encuestas delatan una preocupación por la inestabilidad creciente en el sector. Geográficamente, a nivel general, existe un consenso al identificar cuáles son los mayores riesgos: liquidez, crédito y derivados, pero mientras que
en los países industrializados se focaliza más
en la recesión y la posibilidad de una exage-
actualidad
Desde BME se ofrecen soluciones GCN a través de la filial BME INNOVA
España: crecimiento inminente
rada regulación, en las economías emergentes muestran su preocupación por el acceso
a la financiación.
Por regiones, Norte América se inquieta
por la crisis crediticia, pero no demasiado por
una posible recesión a nivel macroeconómico,
al contrario que en Europa, donde temen que
les influyan los problemas de EEUU. Los europeos se muestran también preocupados por la
pobre gestión de riesgos en las entidades financieras y prevén una fuerte regulación como consecuencia de esta crisis. El acceso a la
financiación y sus costes inquieta a los bancos
de Europa del Este y Rusia y de las economías
emergentes, al igual que a los países de Asia
Pacífico, quienes reflejan menos preocupación por los efectos económicos que en Occidente, aunque no esperan salir ilesos del trance. Como en la UE, la gestión de riesgos es una
constante en el top ten de preocupaciones de
todas las regiones (se sitúa siempre entre la
cuarta y la octava posición), a diferencia de la
regulación excesiva, que está ausente en el
ranking de las economías emergentes y que
en el resto de casos ocupa posiciones muy diversas (el tercer lugar, en Asia Pacífico, frente
al décimo de Norte América).
REGULACIÓN: TENDENCIAS
PREDOMINANTES
Ante este panorama de temores desiguales, ¿cómo se posicionan los diferentes países?, ¿cuáles son las tendencias predominantes?
A nivel global, el increíble aumento de
transacciones financieras en el ámbito internacional a partir de los años 70 provocó que
las empresas transnacionales fueran más
vulnerables en sus operaciones, ya que dependían tanto del estado del mercado interior como del exterior. De hecho, desde principios de los 80, tres cuartas partes de los
184 países del Fondo Monetario Internacional (FMI) y el Banco Mundial (BM) sufrieron
crisis financieras, relacionadas en muchos
casos con insolvencias bancarias y colapsos
en la balanza de pagos.
Frente a esta situación de gran inestabilidad financiera, los gobiernos lanzaron una
España se mueve en la zona de transición. No se encuentra en el grupo de liderazgo
ni entre los menos previsores. La aplicación de la GCN en España no acaba de despegar, pero existe un consenso en que el sector “se está despertando”. Según la experiencia de TB•Security, entre las empresas mejor preparadas en nuestro país se encuentran las de los ámbitos de telecomunicaciones y finanzas. En concreto, estas últimas dedican múltiples esfuerzos (tanto en recursos humanos como materiales) para
hacer frente a las amenazas en sus organizaciones, aunque en la mayoría de los casos están lejos de sus homólogas anglosajonas.
Buen ejemplo de soluciones innovadoras que el sector está desarrollando para dar
respuesta a los retos de la GCN en entornos financieros es el lanzamiento de una familia de servicios (BME AlterNativ y BME BackGuard), por parte de la empresa BME
INNOVA, destinada a proteger ante imprevistos así como a cumplir los requisitos de
Basilea II y la MiFID.
En términos generales, en el listado de puntos débiles sobre implantación de la GCN
en España se encuentra la carencia de profesionales especializados (insuficientes para satisfacer la demanda cuanto ésta, en un futuro cercano, sea significativa) o la filosofía de los directivos, que parecen no comprender las dimensiones reales y el alcance de las pérdidas que puede originar un desastre no previsto, o bien restringir la GCN
al ámbito tecnológico. Un punto de vista en las antípodas de la visión anglosajona, más
cauta, que concibe la GCN como una mentalidad, como una filosofía de negocio que
debe contemplarse de forma global.
En el lado positivo, además de la MiFID, dos estímulos adicionales contribuyen actualmente al desarrollo de una cultura empresarial sobre GCN: por un lado el nuevo reglamento de la LOPD, la Ley Orgánica de Protección de Datos, en vigor desde pasado
mes de abril, y por otro el creciente papel de la seguridad informática. Ambos activan
una parte importante de todo un plan de contingencias que las empresas deberían
prever. En el caso de las entidades financieras, además, la coyuntura económica sirve
de acicate para tomar una serie de iniciativas destinadas a reforzar la continuidad del
negocio como pieza clave para la reducción de riesgos, constituyendo el revulsivo para construir el primer eslabón de una cadena que puede resultar muy próspera en un
futuro cercano.
serie de iniciativas internacionales designadas a establecer un consistente marco regulador de normas y estándares. Sin embargo
los resultados fueron más bien modestos. A
pesar de que la cuestión ocupaba los primeros puestos en la agenda de las reuniones
mundiales entre bancos centrales y ministros
de economía, parecían no poder resolver una
de las cuestiones claves: reformar las normativas internacionales teniendo en cuenta los
mercados transfronterizos a la vez que las regulaciones nacionales (además de las particularidades culturales y los diferentes modelos estructurales de cada país).
El cambio llegó a finales de los 90, cuando las economías de los países en crisis llevaron a cabo una serie de reformas que les per-
mitieron salir de la inestabilidad, pero que al
mismo tiempo los alejaba de las normas internacionales. Aún con esta tendencia en la
actualidad, la solución que parece más acertada es la de mejorar la relación de organismos reguladores nacionales y animarles a la
adopción de estándares internacionales.
Los Acuerdos de Basilea son un ejemplo
de cómo las regulaciones internas puedan estar de acuerdo con normas globales. Fueron
impulsados por el Comité de Basilea, que a su
vez fue creado en 1974 por los gobernadores
de los bancos centrales del Grupo de Diez (entre ellos España). Este Comité no posee autoridad formal de supervisión, y sus conclusiones no tienen fuerza legal. Más bien, formula
normas de supervisión y recomienda declara-
Julio 2008. BOLSA 21
actualidad
Integración de la GCN en la cultura de la entidad
Entendimiento
de la entidad
ciones de mejores prácticas con la expectativa que las autoridades individuales tomen los
pasos para llevarlos a cabo de acuerdo a sus
propios sistemas nacionales.
En 1997 se emitieron los Principios Básicos de Basilea (que proveen a la comunidad
financiera internacional de un punto de referencia para evaluar la eficacia de los regímenes de supervisión bancaria), y en 1988 y en
2004 el comité aprobó, respectivamente, los
Acuerdos de Basilea I y Basilea II.
El primero de ellos, también llamado
“Acuerdo de Capitales”, constituía un convenio de medición y estándares mínimos de capital de los bancos internacionales que pretendía que el sistema bancario operara con
un capital adecuado a los riesgos asumidos.
Basilea II, por su parte, busca poner más énfasis en la gestión de riesgo y fomentar mejoras continuas en la capacidad de los bancos
para evaluar riesgos; se traslada a las prácticas supervisoras y a la disciplina de mercado
mediante la mejora en divulgación de la información referida al riesgo y al capital.
LA CONTINUIDAD DE NEGOCIO,
TERRENO ANGLOSAJÓN
Si se analiza el panorama centrándonos
en la gestión de continuidad de negocio, en
primer lugar deberíamos distinguir entre
aquellos países sin tradición en gestión de
riesgos (cualquiera que sea el ámbito al que
nos refiramos) y aquellos otros que se encuentran en cabeza. Entre los líderes mundiales destacan Gran Bretaña, Estados Unidos, Canadá, Australia y Nueva Zelanda, que
fueron los países que más temprano implementaron medidas de prevención. Hacia los
años 80 iniciaron los primeros proyectos, llamados “planes de recuperación de desastres
TIC”, que más tarde evolucionarían incorporando la seguridad informática y que han llegado a nuestros días con una visión más global, bajo el epígrafe de “gestión de continuidad de negocio”.
Los cinco países mencionados (sobre todo Gran Bretaña y EEUU) son los que han llevado la batuta en esta disciplina a la hora
aportar nuevas visiones e ir marcando las
22 BOLSA. Julio 2008
la BS 25999, del British Standards InstituEjercicio,
Determinación
Gestión del
mantenimiento
de la
te, que determina el
programa
y revisión
estrategia
proceso, los princide BCM
de GCN
pios y la metodología
de la GCN (y que será
muy probablemente
Desarrollo e
implementación
la base para una norde la respuesta
ma ISO en el futuro),
de GCN
por no mencionar la
experiencia con la
que cuenta tras décadas de liderazgo en la disciplina. Su conociBuen ejemplo de soluciones
miento la sitúa como modelo para otros paíinnovadoras que el sector está
ses, a la vez que le hace plantear nuevos
desarrollando para dar respuesta a rumbos a la GCN, como se puso de manifiesto el pasado mes de enero en Londres, dulos retos de la GCN en entornos
rante la VII Conferencia Anual organizada por
financieros es el lanzamiento de
City & Financial” Continuidad de Negocio y
una familia de servicios (BME
Recuperación de Desastres en el Sector de
AlterNativ y BME BackGuard),
Servicios Financieros”. Uno de los temas repor parte de la empresa BME
currentes entre las ponencias fue la necesidad de incluir también incidencias/eventos
INNOVA, des-tinada a proteger
no físicos entre las amenazas a los sistemas
los negocios ante imprevistos así
financieros, y no limitarse a los físicos (pancomo a cumplir los requisitos de
demias, terrorismo, etc.), tal y como se viene
Basilea II y la MiFID
haciendo desde los orígenes de la GCN. Se
amplía así el horizonte al considerar múltiples factores que pueden empujar a una criprincipales tendencias. También se han ensis en el sector financiero, muy sensible a
cargado de elaborar normativas específicas
cualquier conflicto, por pequeño que sea.
que regulen –y cada vez más- cuestiones relativas a la GCN, una materia que debe actualizar continuamente el porfolio de amenazas
EUROPA Y LA MIFID
para poder darles respuesta.
Siguiendo en gran medida la estela britáEl caso de Gran Bretaña es uno de los
nica, la UE se ocupa de la GCN fundamentalejemplos de cómo han aumentado en los úlmente a través de la directiva sobre Mercatimos años las obligaciones para el sector fidos de Instrumentos Financieros (MiFID), que
nanciero. A través de la Financial Service Auentró en vigor en noviembre de 2007 y cuyo
thority (FSA), entidad encargada, indepenobjetivo es conseguir un mayor nivel de transdiente y no gubernamental (y equivalente al
parencia y protección al inversor (en su artíBanco de España junto con la Comisión Naculo 13 establece las medidas de continuicional del Mercado de Valores (CNMV)) se ha
dad de negocio a seguir por las entidades fipromovido la eficiencia, disciplina y transpanancieras, de acuerdo a las características
rencia en los mercados, además de ayudar a
del mercado así como de los riesgos a los
mejorar las habilidades y eficacia en los neque están expuestas).
gocios, lo que ha incentivado indirectamente
Otra de las cualidades de la MiFID, exprelas iniciativas relacionadas con la GCN.
sado en palabras de la Asociación Española
El país anglosajón es también pionero en
de Banca, “es que proporciona a todos los
el establecimiento de estándares, entre ellos
países de la UE una regulación homogénea”,
actualidad
Realidades que hacen más necesaria la GCN
Cibercrimen: la amenaza creciente
pero el impacto real de esta directiva en el
modo de actuar de las entidades financieras
no se conocerá hasta, como mínimo, el segundo semestre de este año.
LAS NORMAS NORTEAMERICANAS
En Estados Unidos, por su parte, una de
las principales leyes que controla las actividades financieras, la Sarbanes-Oxley, llegó en
2002 tras varios escándalos financieros (entre los más sonados, los de Enron y WorlCom),
justamente para evitar que se volvieran a repetir. Aunque a efectos prácticos no impide
que estos desórdenes sucedan de nuevo, las
autoridades perseguían con esta normativa recuperar la confianza de los inversores.
La normativa establece nuevos estándares para los consejos de administración, dirección y mecanismos contables de todas las
empresas que coticen en la bolsa de EEUU.
Además, introduce responsabilidades penales para el consejo de administración y otros
requerimientos de la comisión reguladora del
mercado de valores estadounidense (Securities and Exchanges Commissions).
Las reacciones ante la ley Sarbanes-Oxley
-que obliga a todas las entidades financieras
que cotizan en la bolsa de Nueva York y a sus
filiales- han sido diversas: mientras que sus
defensores creen que es útil y necesaria, sus
detractores señalan los grandes costes económicos que ha supuesto su implantación
para las empresas. Ésta no es la única reacción adversa ante las regulaciones; de hecho
el Banking Banana Skin correspondiente al
año 2006, establecía como principal preocupación en el sector precisamente la presión
regulatoria que ejercían las autoridades correspondientes.
Además de esta ley, en Estados Unidos
conviven diversas normas y órganos reguladores: la National Association of Securities
Dealers (NASD), una asociación de Dealers
(intervinientes en los mercados por cuenta
propia), que imponen normas a sus miembros que los compromete a crear planes de
continuidad de negocio; organizaciones autorreguladoras (SROs, Self-Regulatory Organitzations); y juntas municipales encargadas de
La intensa actividad de cibercrimen en los últimos años tiene en las entidades financieras una de sus principales víctimas. El fraude bancario, modalidad del phishing,
busca robar a sus clientes tras hacerse con datos tales como contraseñas o información de tarjetas de crédito, entre otros (de hecho los troyanos bancarios son los más
numerosos).
Por este motivo, una de las principales vertientes más atendidas por las entidades financieras en su programa de GCN, es la de protección de datos (el resguardo de la información en su envío, pero también en su almacenamiento). Según una encuesta realizada recientemente por el proveedor de soluciones para la seguridad RSA, la mayoría de los bancos europeos (un 75%) son conscientes de los beneficios del control de
la información, aunque, en la práctica, existe aún confusión sobre cuál es la mejor manera de gestionarla y sobre los riesgos a los que se exponen.
El mismo estudio (realizado con datos de Gran Bretaña, España, Italia, Francia, Alemania y Benelux), determina que el negocio de gestión de riesgos de la información está
aumentando, y así lo demuestran los encuestados (el 67% de ellos), que, sin embargo,
se muestran lentos en adoptar las medidas necesarias (sólo el 32% han iniciado los
trámites en este sentido).
En palabras de uno de los responsables de RSA “la información es cada vez más móvil y toma diversas formas (emails, attachments, bases de datos), por lo que un sistema de seguridad perimetral central no es suficiente en estos casos”. De nuevo, nos
movemos en un terreno en el que la solución no es estática –las amenazas evolucionan continuamente- ni atañe a un solo ámbito, por lo que resulta fundamental permanecer atento y predispuesto a adoptar medidas globales.
elaborar normas de seguridad. La Reserva
Federal (a través del papel de supervisión o
de ajuste de márgenes, entre otras funciones) también forma parte del panorama en
este sector.
PAÍSES EN VÍAS DE DESARROLLO:
INMADUREZ DE LA GCN
En contraste, entre las zonas más atrasadas en GCN en el sector financiero se encuentra América Latina, Asia o África, donde, sin
embargo, la presencia de entidades financieras occidentales preocupadas por salvaguardar sus beneficios, influye en la introducción
de medidas de GCN. Aparte de esta circunstancia, la mayor parte de la GCN en estas regiones está relacionada únicamente con las
TIC, lo cual demuestra lo inmaduro del mercado y de sus directivos empresariales, que identifican únicamente los riesgos en su vertiente
tecnológica, cuando la GCN se trata realmente
de una cuestión organizativa global.
Otro de los rasgos comunes en la zona (y
a nivel general en todos los países menos
desarrollados) es la falta de diálogo entre las
instituciones públicas y el sector empresarial,
lo que trae consigo la poca coordinación y
preparación ante eventuales desastres. Sin
embargo, los últimos acontecimientos económicos a nivel mundial han provocado que se
tomen diversas iniciativas, aunque aisladas,
en la materia, como es el caso de Rusia, donde el Centro Nacional de Depósito ha anunciado que se han realizado con éxito las pruebas correspondientes al plan de negocio de
la entidad.
También en Dubai se han hecho mejoras
en este sentido, al implantarse un espacio
con tecnología punta para la recuperación de
desastres para sus principales sistemas bancarios. Otra de las iniciativas tomadas recientemente por las autoridades del país -gran
centro de negocios internacionales y objetivo
de múltiples inversiones procedentes de todo
el mundo- es la puesta en marcha de un plan
estratégico para desarrollar los diferentes
sectores de la economía, con lo que el gobierno promueve aunque de forma indirecta la
gestión de riesgos de los principales sectores
nacionales.
Julio 2008. BOLSA 23