Dependencia tecnológica de entidades financieras plantea retos de continuidad operativa y exige alternativas ante fallas de proveedores, dicen expertos
La concentración de servicios tecnológicos en proveedores de inteligencia artificial y computación en la nube representa un riesgo para las instituciones financieras mexicanas cuando varias entidades dependen de las mismas plataformas para mantener operaciones críticas. Aunque estas herramientas ofrecen escalabilidad y velocidad, su utilización generalizada puede generar dependencias compartidas que dificulten la continuidad de los servicios ante una interrupción.
Durante el panel Blindaje digital: El futuro de los pagos seguros, del STP Summit, Mary Pily Loo, directora general de riesgo operacional y tecnológico de la Comisión Nacional Bancaria y de Valores (CNBV), señaló que la concentración de servicios en terceros constituye una preocupación para la supervisión financiera, particularmente por la dependencia de proveedores como OpenAI y de plataformas de nube.
De acuerdo con la funcionaria, múltiples instituciones están utilizando una cantidad reducida de proveedores tecnológicos para soportar servicios considerados críticos. Esta situación plantea un desafío que supera la protección individual de cada entidad, debido a que una eventual falla en una plataforma compartida podría afectar simultáneamente a diferentes organizaciones.
Esta concentración tecnológica también responde a los beneficios que ofrecen estos proveedores. Las soluciones de nube permiten ampliar capacidades operativas y acelerar determinados procesos, pero su adopción puede incrementar la dependencia de infraestructura y servicios externos.
En ese sentido, la representante de la CNBV planteó la necesidad de que las instituciones financieras identifiquen alternativas dentro de sus planes de continuidad de negocio, especialmente cuando sus funciones esenciales dependen de terceros.
Uno de los aspectos señalados por Loo corresponde a la responsabilidad empresarial sobre los riesgos tecnológicos. La dependencia de proveedores externos no debería considerarse exclusivamente un problema de los departamentos de sistemas, debido a que sus consecuencias pueden extenderse al funcionamiento integral de una institución financiera.
La directiva sostuvo que corresponde a los niveles superiores de administración determinar si la organización está dispuesta a aceptar determinadas condiciones de dependencia tecnológica. Estas decisiones deben considerar tanto los beneficios de utilizar plataformas externas como las alternativas disponibles si dejan de funcionar.
Esta perspectiva modifica el tratamiento de las interrupciones tecnológicas. En lugar de limitarse a recuperar sistemas después de una falla, las instituciones necesitan establecer cómo continuarían prestando sus servicios esenciales mientras se restablecen las condiciones normales de operación.
Durante la conversación, Maricarmen García de Ureña, especialista en ciberseguridad y resiliencia, distinguió entre implementar controles para prevenir incidentes y desarrollar capacidades organizacionales para responder cuando estos ocurren.
Según explicó, la ciberresiliencia requiere identificar cuáles son los procesos y recursos indispensables para mantener funcionando una organización. Esto supone ampliar el enfoque tradicional de recuperación tecnológica hacia estrategias de continuidad de negocio que contemplen personas, activos y operaciones críticas.
La dependencia de proveedores tecnológicos también se relaciona con la incorporación de inteligencia artificial en las instituciones financieras. Loo señaló que la CNBV ya ha visitado entidades que utilizan estas herramientas y que, ante la ausencia de un marco regulatorio específico para su uso, promueve la adopción de buenas prácticas y mecanismos internos de gobernanza.
Según la funcionaria explicó, la administración de estos riesgos debe comenzar desde la alta dirección y extenderse transversalmente hacia las diferentes áreas de las organizaciones. Bajo este enfoque, los departamentos especializados no serían los únicos responsables de identificar y atender las consecuencias de incorporar nuevas tecnologías.
Por su parte, Pablo Corona, director de soluciones de ciberseguridad de NYCE y moderador del panel, planteó que la adopción tecnológica implica riesgos en ambas direcciones. No implementar inteligencia artificial puede representar pérdidas de competitividad y eficiencia, mientras adoptarla demasiado rápido puede incrementar la exposición y dependencia operativa.
La discusión sitúa la gestión tecnológica dentro de las decisiones estratégicas de las instituciones financieras. Las plataformas externas pueden actuar como habilitadores del negocio, pero también requieren evaluar hasta qué punto una organización podría continuar operando sin ellas.
Para la CNBV, el desafío consiste en acompañar la innovación sin obstaculizar su desarrollo, mientras las entidades fortalecen su capacidad para administrar riesgos cambiantes. En este escenario, la concentración de servicios críticos en pocos proveedores exige evaluar dependencias, definir alternativas de continuidad y establecer responsabilidades desde la dirección de las instituciones financieras.