Qué sustituye CPS 230 y por qué
CPS 230 reúne riesgo operativo, continuidad del negocio y externalización en una única norma modernizada, que sustituye a normas anteriores de APRA como CPS 231 (externalización) y CPS 232 (gestión de la continuidad del negocio). La visión de APRA, afinada por caídas e incidentes cibernéticos de gran repercusión, es que la resiliencia operativa es hoy una cuestión prudencial por derecho propio: una disrupción grave puede amenazar a una entidad tanto como un choque de crédito o de mercado.
La norma se basa en principios, pero es concreta. Espera que las entidades comprendan las operaciones de las que dependen sus clientes y el sistema financiero, y que sean capaces de mantenerlas en funcionamiento ante escenarios plausibles pero graves, incluida la caída de un servicio tecnológico o de un proveedor clave.
Operaciones críticas y niveles de tolerancia
Un concepto central de CPS 230 es la «operación crítica»: un proceso cuya interrupción tendría un impacto adverso material sobre depositantes, asegurados, beneficiarios o el sistema financiero. Son ejemplos los pagos, la tramitación de siniestros, las liquidaciones y las operaciones de los partícipes. Las entidades deben identificarlas y mapear las personas, la tecnología, los datos y los proveedores de los que depende cada una.
Para cada operación crítica, el consejo debe aprobar un nivel de tolerancia: el grado máximo de disrupción que la entidad está dispuesta a aceptar, expresado por ejemplo como tiempo máximo tolerable de indisponibilidad y pérdida de datos aceptable. La entidad debe después poder demostrar —mediante pruebas— que puede mantener las operaciones dentro de tolerancia durante una disrupción grave. Los niveles de tolerancia convierten el «tenemos un plan de continuidad» en un compromiso medible y asumido por el consejo.
Riesgo de proveedores y de cuartas partes
CPS 230 eleva notablemente el listón del riesgo de terceros. Las entidades deben mantener un registro de sus acuerdos con proveedores de servicios materiales, realizar diligencia debida, gestionarlos conforme a una política aprobada por el consejo y —esto es clave— comprender el riesgo de concentración y las cuartas partes (los proveedores críticos de sus propios proveedores) que están detrás de una operación crítica.
El registro y los contratos subyacentes deben sostener la continuidad: obligaciones de notificación, derechos de evaluación y auditoría, y capacidad de salir o sustituir a un proveedor sin incumplir la tolerancia. APRA espera además que las entidades le notifiquen determinados acuerdos materiales e incidentes.
Responsabilidad del consejo y evidencias
CPS 230 sitúa al consejo directamente en el punto de mira. El consejo es responsable último de la gestión del riesgo operativo, debe aprobar los niveles de tolerancia de la entidad y debe supervisar el plan de continuidad del negocio y la política de proveedores materiales. La alta dirección debe operar el marco en el día a día y escalar cuando se superen los límites.
Como la norma se centra en resultados, APRA buscará evidencias de que los controles funcionan realmente y de que las disrupciones se contuvieron de verdad dentro de tolerancia, no solo de que existen políticas sobre el papel. Las pruebas de escenarios, las revisiones de incidentes y las líneas claras entre el fallo de un control y su remediación son la moneda del cumplimiento.
Llevar CPS 230 a la operación
Cumplir CPS 230 exige conectar cosas que a menudo viven en silos: el registro de riesgos operativos, la biblioteca de controles, los planes de continuidad, el inventario de proveedores y los registros de incidentes. Cuando un proveedor se degrada o falla un control interno, la entidad necesita ver de inmediato qué operaciones críticas se ven afectadas y si alguna tolerancia está en riesgo.
Las entidades que gestionan riesgo operativo, resiliencia y terceros en una única plataforma conectada pueden responder a las preguntas que APRA realmente formula —qué operaciones críticas dependen de este proveedor, estamos dentro de tolerancia, dónde está la evidencia— sin montarlo todo a mano cada vez. Esa es la diferencia entre demostrar resiliencia y limitarse a afirmarla.