Guidelines on the sound management of third-party risk regarding non-ICT services (EBA/GL/2026/09): final report

Qué contiene

El informe final de las directrices de la Autoridad Bancaria Europea (EBA), EBA/GL/2026/09, publicado el 18 de septiembre de 2026, establece cómo deben gestionar los riesgos de los proveedores de servicios que no son de tecnologías de la información y la comunicación (TIC) las entidades de crédito, ciertas empresas de servicios de inversión, las entidades de pago y de dinero electrónico y los emisores de tokens referenciados a activos. Parte de que el uso de terceros es uno de los principales motores del riesgo operacional y de que la noción tradicional de externalización debe ampliarse a los acuerdos con terceros en general. Los servicios TIC quedan dentro del alcance del Reglamento DORA; estas directrices cubren el resto, con atención especial a los que sostienen funciones críticas o importantes, cuya definición es coherente con la de DORA.

Las directrices se organizan en torno a la proporcionalidad, la evaluación de los acuerdos con terceros, el marco de gobierno (políticas, conflictos de interés, planes de continuidad del negocio, auditoría interna y documentación), el análisis precontractual (condiciones supervisoras, evaluación de riesgos y debida diligencia), la fase contractual (subcontratación, derechos de acceso, información y auditoría, y derechos de terminación), el monitoreo y las estrategias de salida. Cuando los servicios sostienen funciones críticas o importantes se aplican disposiciones más estrictas. Un título aparte se dirige a las autoridades competentes, que deben supervisar estos acuerdos, identificar y monitorear la concentración de riesgo y evaluar si podría amenazar la estabilidad del sistema financiero.

Las directrices derogan las de externalización de la EBA del 25 de febrero de 2019. Se aplican a los acuerdos con terceros celebrados, revisados o modificados desde la fecha de aplicación, que el informe deja por fijar; las entidades deben revisar los acuerdos existentes y, si la revisión de los que sostienen funciones críticas o importantes no está terminada en los dos años siguientes a esa fecha, informar a su autoridad competente con las medidas previstas o la posible salida. Los acuerdos que no sostienen funciones críticas o importantes pueden revisarse al renovarse. El informe incluye también el análisis de impacto y la respuesta a la consulta pública.

Resumen elaborado por el Club de Gestión de Riesgos de la República Dominicana a partir de la lectura del documento original, con fuente verificada el 12 de octubre de 2026. No sustituye la lectura del texto oficial ni constituye asesoría.

Ver todas las publicaciones