Retos para la gestión de riesgos de terceros en el sector financiero, en la era de los servicios cloud e inteligencia artificial

De qué trata

Enrique Gómez Lobera, Responsable Global de Riesgo de Terceros del Grupo BBVA, presentó en la IV Jornada Anual de Riesgos (16 de septiembre de 2026) cómo se gestiona el riesgo de terceros como parte de la resiliencia operativa de un banco global.

Las 38 diapositivas parten de la pregunta de si una entidad puede desaparecer porque un proveedor crítico deja de prestarle servicio, repasan los principios de resiliencia operativa de Basilea y la evolución regulatoria europea hasta DORA, y describen el marco de gestión de terceros de BBVA: ciclo de vida, criticidad, registro único, contratos, estrategias de salida y gobierno en tres líneas. Terminan con los riesgos de los servicios cloud y de la inteligencia artificial generativa y con seis retos: conocer, priorizar, coordinar, gobernar, la subcontratación y la dependencia excesiva.

Objetivos

• Situar la gestión de terceros dentro de la resiliencia operativa digital y la regulación europea.
• Describir un marco de gestión de terceros basado en criticidad, trazabilidad y control en todo el ciclo de vida.
• Identificar los riesgos de la concentración en cloud y del uso de IA generativa por terceros, y los retos principales.

Ideas clave

1. El reglamento DORA entró en vigor el 13 de enero de 2023 y fue exigible desde el 17 de enero de 2025; para BBVA fue una oportunidad de construir un modelo integral de gestión de terceros.
2. El ciclo de vida del tercero tiene cinco fases: identificación, formalización, monitorización, desvinculación y gobierno.
3. El marco prioriza por criticidad y riesgo: un registro único de servicios, terceros, procesos y evidencias, contratos alineados con la criticidad, derecho de auditoría y estrategias de salida realistas.
4. En cloud, los vectores de riesgo son la concentración en pocos proveedores y la dificultad de migrar; en la IA generativa, el riesgo de modelo, la opacidad, la fuga de datos, el uso no autorizado y la subcontratación opaca.
5. La responsabilidad no se delega en el tercero: permanece en la entidad, con el consejo como definidor del apetito y tres líneas de defensa con roles distintos.