Madurez Externalización · Reglamento COBAC subcontratación

El reglamento COBAC sobre subcontratación establece un principio simple y una serie de obligaciones exigentes. Una entidad sujeta puede encomendar a un tercero una actividad, incluida una actividad esencial o importante, pero conserva la responsabilidad plena frente al supervisor y a su clientela. En la práctica, esto supone una definición interna de lo que se considera esencial, una notificación previa a la Comisión Bancaria para dichas actividades, un contrato escrito que cubra los niveles de servicio, la confidencialidad, el acceso a los datos y el acceso del supervisor, así como un dispositivo de control del proveedor durante toda la relación.

La dificultad rara vez está en el texto normativo, sino en el mantenimiento del dispositivo en el tiempo. Muchas entidades descubren que no disponen de un registro completo de sus externalizaciones: los contratos informáticos firmados por la dirección de sistemas de información, los transportistas de fondos, la gestión de cajeros automáticos, los centros de atención telefónica, las prestaciones realizadas por la matriz no figuran en un mismo inventario. ¿Quién decide que una actividad es esencial? ¿El contrato prevé el acceso de la COBAC a las instalaciones y datos del proveedor? ¿Qué ocurre si ese proveedor deja de prestar el servicio la próxima semana?

Dos confusiones se repiten con frecuencia. La primera consiste en tratar la externalización intragrupo como un asunto interno: una prestación realizada desde la sede de un grupo regional o desde un centro de servicios situado fuera de la zona CEMAC sigue siendo una externalización, con cuestiones adicionales de localización de datos y continuidad. La segunda consiste en confundir el seguimiento comercial del proveedor con el control prudencial de la prestación: la revisión anual del contrato por parte de compras no sustituye la evaluación del riesgo operacional que conlleva esa externalización, ni su integración en el dispositivo de control interno y en el plan de continuidad de negocio.

El diagnóstico de madurez responde a una pregunta distinta de la auditoría de cumplimiento. La auditoría concluye con una brecha o un cumplimiento respecto a una exigencia dada. El diagnóstico sitúa la práctica en una escala progresiva: si el registro existe, si es exhaustivo, si se concilia con la contabilidad de proveedores, si se revisa y se utiliza para tomar decisiones. Después indica la acción precisa que permite pasar al nivel superior, con un coste y un plazo. El diagnóstico prepara la inspección in situ y los intercambios con el supervisor, no otorga ninguna certificación.

En Datamensio, el marco de referencia está listo para usar y sigue siendo suyo. Usted ajusta los ámbitos, las preguntas y las formulaciones de los niveles: la IA reformula según el método CMMI, y puede construir una variante adaptada a su política de externalización, a su carta de control interno o a sus modelos de contrato a partir de sus propios documentos.