Resiliencia operativa y third-party risk: lecciones globales para entidades financieras en México.

FINANCIERO BANCARIO / por Miguel Gallardo Guerra

La transformación digital del sector financiero ha generado eficiencias importantes, nuevos modelos de negocio y una mayor capacidad de interacción entre entidades reguladas, proveedores tecnológicos y plataformas especializadas. Sin embargo, esa misma evolución también ha incrementado la dependencia operativa respecto de terceros. En ese contexto, la conversación sobre resiliencia operativa y third-party risk se ha convertido en uno de los temas más relevantes a nivel global, y sus implicaciones resultan particularmente útiles para el mercado mexicano.

Durante muchos años, la gestión de proveedores fue vista principalmente como una función contractual, tecnológica o administrativa. Hoy, esa aproximación resulta insuficiente. En el sector financiero, la relación con terceros puede incidir directamente en continuidad operativa, seguridad de la información, trazabilidad, cumplimiento regulatorio, atención a incidentes y capacidad de la entidad para sostener el funcionamiento de procesos críticos. Por ello, la evaluación de terceros ya no puede limitarse a revisar condiciones comerciales o capacidades técnicas generales. Debe integrarse a una lógica más amplia de control institucional.

La creciente atención internacional a este tema responde a una realidad evidente: muchas funciones esenciales del negocio financiero dependen de infraestructuras, servicios o soluciones operadas por terceros. Servicios en la nube, procesamiento de pagos, herramientas de monitoreo, onboarding digital, autenticación, análisis de datos, almacenamiento de información y soporte operativo son solo algunos ejemplos. Cuando estas relaciones no se gobiernan adecuadamente, una falla externa puede convertirse rápidamente en un problema regulatorio, reputacional y operativo para la entidad que depende de ella.

Desde esta perspectiva, la resiliencia operativa no consiste únicamente en resistir eventos adversos. Consiste también en tener claridad sobre qué funciones son críticas, qué dependencias existen, qué controles deben exigirse a terceros, qué evidencia debe conservarse y cómo responder de forma ordenada ante interrupciones, incidentes de seguridad o fallas de servicio. En otras palabras, la resiliencia requiere una comprensión sustantiva del ecosistema operativo completo de una institución, incluyendo aquellos componentes que no son ejecutados directamente por ella.

La discusión internacional ha fortalecido una idea fundamental: externalizar una función no implica externalizar la responsabilidad. Aunque una entidad utilice proveedores altamente especializados, ello no elimina su deber de supervisar, documentar, evaluar riesgos y asegurar que la relación contractual y operativa permita mantener control suficiente sobre procesos relevantes. Esta lógica resulta especialmente importante en actividades reguladas, donde la autoridad y el mercado esperan que la institución conserve gobierno efectivo sobre funciones esenciales, incluso cuando estas se apoyan en terceros.

Para México, esta conversación tiene varias implicaciones relevantes. El ecosistema financiero local se ha vuelto progresivamente más sofisticado en el uso de tecnología, integraciones operativas y esquemas híbridos entre entidades reguladas y proveedores externos. En ese contexto, observar la evolución internacional en materia de third-party risk puede resultar útil para fortalecer criterios locales sobre debida diligencia, documentación contractual, monitoreo de desempeño, planes de contingencia, derechos de auditoría, seguridad de la información y continuidad operativa.

Uno de los principales aprendizajes globales es que no todos los terceros deben analizarse con la misma profundidad. La gestión eficiente del riesgo exige distinguir entre proveedores ordinarios y aquellos cuya participación tiene un impacto material sobre funciones críticas. Esta clasificación permite asignar recursos de control de manera más racional y desarrollar esquemas de supervisión proporcionales al nivel de dependencia, criticidad y exposición. Bajo esta lógica, la evaluación de terceros deja de ser una revisión uniforme y se convierte en una herramienta estratégica de priorización de riesgos.

Otro aprendizaje importante es que la fortaleza del contrato, aunque esencial, no es suficiente por sí sola. Los mejores marcos de gestión de terceros combinan obligaciones contractuales claras con procesos internos de seguimiento, revisiones periódicas, evidencia documental, protocolos de escalamiento y coordinación entre áreas legales, de cumplimiento, riesgos, tecnología y operación. Cuando estos elementos no se encuentran alineados, la entidad puede contar con cláusulas adecuadas en papel, pero carecer de verdadera capacidad de control en la práctica.

La conversación sobre resiliencia operativa también se vincula con un tema cada vez más relevante: la capacidad de recuperación. No basta con prevenir incidentes; también es indispensable definir cómo continuar, restaurar o sustituir funciones relevantes cuando un tercero falla. Esto exige mapas de dependencias, rutas alternas, criterios de sustitución, claridad sobre accesos a información, mecanismos de salida ordenada y protocolos previamente ensayados. En entornos altamente digitalizados, la velocidad de reacción frente a una interrupción puede ser tan importante como la prevención misma.

Desde una perspectiva institucional, estas tendencias sugieren que las entidades en México deben seguir fortaleciendo no solo sus procesos de contratación, sino también la arquitectura de supervisión de terceros a lo largo de todo el ciclo de vida de la relación. Esto incluye selección, onboarding, monitoreo continuo, reevaluación, documentación de incidentes y, en su caso, terminación o transición de servicios. La relación con terceros ya no puede tratarse como una cuestión periférica. En muchas organizaciones, forma parte del núcleo de su capacidad operativa.

En última instancia, la discusión sobre resiliencia operativa y third-party risk refleja una transformación más amplia del sector financiero. A medida que las entidades dependen más de ecosistemas tecnológicos complejos, la solidez institucional deja de medirse únicamente por lo que ocurre dentro de sus propias paredes. También se mide por la forma en que gobiernan, supervisan y controlan sus dependencias externas. Para México, observar las lecciones globales en esta materia representa una oportunidad para fortalecer, con visión preventiva, una parte esencial del cumplimiento y de la estabilidad operativa contemporánea.