Sector Banca y Finanzas
Acompañamiento a bancos, bancos de crédito cooperativo, intermediarios del art. 106 del TUB, sociedades gestoras, entidades de pago y de dinero electrónico: sistema de control interno, prevención del blanqueo, transparencia, resiliencia operativa digital y obligaciones ante Banca d’Italia, la Consob y la UIF.
Los retos del sector
La gestión de riesgos, el cumplimiento normativo, la auditoría interna y la función de prevención del blanqueo necesitan mandato, recursos e independencia adecuados, deben producir informes útiles para los órganos sociales y no solaparse entre sí: en las entidades de dimensión reducida es la restricción organizativa más exigente.
La clasificación del riesgo del cliente, la diligencia debida proporcionada, la comunicación de operaciones sospechosas a la UIF y los controles de segundo y tercer nivel deben seguir funcionando mientras avanza el paquete europeo antiblanqueo de 2024, que ha creado una autoridad sectorial y trasladará parte de la regulación a un reglamento de aplicación directa.
El core bancario, los servicios en la nube, los procesadores de pagos y los proveedores informáticos concentran el riesgo operacional fuera de los límites de la entidad: DORA exige un registro de información sobre los acuerdos contractuales, cláusulas específicas, estrategias de salida y la notificación de los incidentes graves.
Información precontractual, documentos de síntesis, modificaciones unilaterales, plazos de respuesta a las reclamaciones, recursos ante el Arbitro Bancario Finanziario y, en los servicios de inversión, idoneidad y gobernanza de productos conforme a la MiFID II: obligaciones que recaen sobre contratos, sistemas y redes de distribución.
Evaluación de la solvencia, modelos de scoring, sistemas de información crediticia, Centrale dei rischi (la central de riesgos de Banca d’Italia) y antifraude: tratamientos de alto impacto que exigen bases jurídicas correctas, información comprensible y salvaguardas sobre las decisiones íntegramente automatizadas.
Las expectativas supervisoras sobre los riesgos climáticos y ambientales requieren integrarlos en la gobernanza, en los procesos de crédito y en la información a los órganos sociales, mientras la divulgación ESG del Pilar 3 y el estado de información de sostenibilidad exigen datos y controles sobre la calidad de la información.
Ámbitos de intervención
Revisamos mandatos, procedimientos y flujos de información de las funciones de control frente a las disposiciones de supervisión aplicables (Circolare 285/2013 para los bancos, Circolare 288/2015 para los intermediarios del art. 106 del TUB, disposiciones específicas para entidades de pago y de dinero electrónico) y proponemos un diseño proporcionado a la estructura, incluida la ubicación de la función de prevención del blanqueo.
Asumimos íntegramente la función de auditoría interna o damos apoyo a la ya existente: audit universe, plan basado en riesgos aprobado por los órganos sociales, programas de trabajo, pruebas de controles, hallazgos clasificados y seguimiento, con informes al consejo de administración y al Collegio sindacale (el órgano italiano de control societario).
Trabajamos en la autoevaluación de riesgos, los procedimientos de diligencia debida, los criterios de clasificación del cliente, la gestión de las anomalías y el análisis de las operaciones sospechosas, con planes de formación y pruebas por muestreo sobre los expedientes, para que el sistema sea verificable y no solo esté formalizado.
Construimos o revisamos el marco de gestión del riesgo relacionado con las TIC, el registro de información sobre los acuerdos con proveedores terceros de servicios TIC, las cláusulas contractuales y las estrategias de salida, el proceso de clasificación y notificación de los incidentes graves y el programa de pruebas de resiliencia.
Sometemos la banca electrónica, las apps, los portales y las interfaces de pago a penetration tests y vulnerability assessments, e incorporamos sus resultados al programa de pruebas de resiliencia operativa digital. En las entidades designadas para las pruebas avanzadas basadas en amenazas reales, preparamos el perímetro, la documentación y la verificación de los requisitos del proveedor encargado, y hacemos el seguimiento de la coordinación con la autoridad. Seguridad y continuidad se mantienen alineadas con las normas ISO 27001 e ISO 22301.
Revisamos la información precontractual, los documentos de síntesis y las comunicaciones al cliente a la luz del Título VI del TUB y de las disposiciones de transparencia de Banca d’Italia, reconstruimos el ciclo de las reclamaciones hasta el Arbitro Bancario Finanziario y, en los servicios de inversión, verificamos la evaluación de la idoneidad, la gobernanza de productos y la información sobre costes.
Analizamos qué delitos base del D.Lgs. 231/2001, sobre la responsabilidad administrativa de las personas jurídicas, pesan sobre una entidad financiera: delitos tributarios, abuso de mercado, receptación, blanqueo y autoblanqueo, corrupción, falsedad en la información societaria, obstrucción a las funciones de supervisión y delitos informáticos. Los protocolos se integran en los procedimientos de supervisión ya existentes.
Nos ocupamos de las cláusulas informativas, las bases jurídicas, las evaluaciones de impacto sobre scoring y antifraude, los plazos de conservación, las relaciones con los sistemas de información crediticia y los derechos de los interesados frente a las decisiones automatizadas, con el DPO externo cuando el cargo no está cubierto internamente.
La actividad bancaria y financiera está reservada y sujeta a supervisión: el acceso pasa por una autorización y la permanencia depende del mantenimiento de los requisitos organizativos y de capital. Banca d’Italia, el banco central y supervisor italiano, ejerce la supervisión prudencial dentro del Mecanismo Único de Supervisión, que atribuye al BCE la supervisión directa de los bancos significativos; la Consob, la autoridad italiana de los mercados financieros, vigila los servicios de inversión; la UIF, la unidad italiana de información financiera, recibe las comunicaciones de operaciones sospechosas. El perímetro es heterogéneo, desde los bancos hasta los confidi supervisados, los consorcios italianos de garantía crediticia.
El esquema de fondo es, sin embargo, común. Toda entidad debe dotarse de funciones de control distintas (gestión de riesgos, cumplimiento normativo, auditoría interna) y de administradores y directivos que reúnan los requisitos de idoneidad. Las disposiciones antiblanqueo de Banca d’Italia añaden la función de prevención del blanqueo: una función autónoma de control de segundo nivel, con su propio responsable y con la figura distinta del responsable de la comunicación de operaciones sospechosas; en las entidades menos complejas puede atribuirse, en las condiciones previstas, al responsable de cumplimiento normativo.
Cambian, en cambio, los requisitos prudenciales: el ICAAP, el ILAAP y las reglas de capital y liquidez revisadas por el paquete bancario europeo de 2024 (CRR3 y CRD6) afectan a los bancos, mientras las demás entidades siguen las disposiciones que les resultan aplicables, con la salvaguarda de los fondos de la clientela en el caso de las entidades de pago y de dinero electrónico.
A la supervisión prudencial se suman la protección de la clientela y la prevención del blanqueo: el Título VI del TUB (D.Lgs. 385/1993, la ley bancaria italiana) y las disposiciones de transparencia de Banca d’Italia gobiernan la relación con el cliente, hasta los recursos ante el Arbitro Bancario Finanziario, el órgano italiano de resolución extrajudicial de conflictos bancarios, mientras que en los servicios de inversión rigen el TUF (la ley italiana de los mercados financieros) y la MiFID II. El D.Lgs. 231/2007 y las disposiciones de desarrollo de Banca d’Italia regulan las obligaciones de diligencia debida y la comunicación de operaciones sospechosas; el paquete europeo antiblanqueo de 2024 trasladará gran parte de la regulación a un reglamento de aplicación directa, pero con aplicación diferida: hoy las obligaciones operativas siguen siendo las del decreto.
En el plano tecnológico la referencia es el Reglamento (UE) 2022/2554 (DORA), que introduce en el perímetro de supervisión la dependencia de los proveedores de servicios informáticos, hasta el registro de información sobre los acuerdos que se comunica a la autoridad. Completan el cuadro el GDPR en materia de elaboración de perfiles y credit scoring, el D.Lgs. 231/2001 y las expectativas supervisoras sobre los riesgos climáticos y ambientales.
Un único interlocutor que conoce la supervisión, la prevención del blanqueo y los sistemas de información trabaja con las funciones de control, con IT, con la dirección de crédito y con los órganos sociales, en lugar de consultores separados para cada normativa. Partimos de los documentos que la entidad ya produce: informes de las funciones de control, autoevaluación de los riesgos de blanqueo, registro de reclamaciones, resultados de las inspecciones.
En la tercera línea ofrecemos auditoría interna externalizada o en co-sourcing, con informes a los órganos sociales y coordinación entre el Collegio sindacale, el auditor de cuentas y el Organismo di Vigilanza previsto por el D.Lgs. 231/2001.
El riesgo informático se controla construyendo el sistema DORA y poniéndolo a prueba: los penetration tests y vulnerability assessments sobre los canales digitales verifican lo que los procedimientos declaran.
La transparencia se mide en los documentos que llegan al cliente y en el ciclo de las reclamaciones, hasta los recursos ante el Arbitro Bancario Finanziario: la fuente más directa de señales sobre los procesos que no funcionan. En el mismo terreno están los procedimientos antiblanqueo, las obligaciones de privacidad sobre scoring y marketing y el Modelo 231 integrado en los controles existentes.
Los datos de sostenibilidad siguen el mismo principio: una sola cadena del dato, con controles sobre las estimaciones y trazabilidad, para la divulgación ESG del Pilar 3 y para el estado de información de sostenibilidad.
El perímetro se define conjuntamente y las decisiones siguen en manos de los órganos de la entidad: nosotros aportamos lectura normativa, método de verificación y evidencias, con responsabilidades y plazos fijados desde el inicio.
Preguntas frecuentes
El sector bancario y financiero figura entre los sectores de la NIS2, pero el Reglamento (UE) 2022/2554 opera como normativa sectorial con requisitos equivalentes: para la gestión del riesgo informático y para la notificación de los incidentes se aplican DORA y las comunicaciones a las autoridades de supervisión financiera, no las obligaciones correspondientes del D.Lgs. 138/2024. Quedan por verificar los casos particulares, por ejemplo, sociedades del grupo que desarrollan actividades ajenas a los servicios financieros y pueden entrar por sí mismas en el perímetro de la NIS2. La primera actividad es, por tanto, una calificación motivada y documentada de la entidad, para evitar controles duplicados y notificaciones dirigidas a la autoridad equivocada.
Las disposiciones de supervisión admiten la externalización de las funciones de control en determinadas condiciones, que varían según la naturaleza, la dimensión y la complejidad de la entidad y, por regla general, exigen el nombramiento de un responsable interno de referencia, un contrato que regule los niveles de servicio y el acceso a la información, y el mantenimiento de la responsabilidad en los órganos sociales. La verificación de admisibilidad es el primer paso del encargo: si las condiciones no se cumplen, la fórmula practicable es el co-sourcing en apoyo de una función interna.
Por el ejercicio de autoevaluación de los riesgos y por una prueba por muestreo sobre los expedientes de diligencia debida: juntos indican si los criterios de clasificación son coherentes con la actividad real y si la información recabada está completa y actualizada. Se pasa después al recorrido de las anomalías, desde la generación de la alerta hasta el archivo motivado o la comunicación a la UIF, midiendo plazos y calidad del análisis. Son las mismas evidencias que se piden en una inspección, y por eso conviene construirlas antes.
Reconstruyendo toda la cadena: fuentes de los datos, base jurídica de cada tratamiento, información facilitada al cliente, lógica del modelo descrita de forma comprensible, plazos de conservación, contratos con los proveedores de datos y con los sistemas de información crediticia. Cuando la evaluación produce efectos significativos de forma íntegramente automatizada hay que prever la intervención humana, la impugnación de la decisión y la trazabilidad de las solicitudes de los interesados. Una evaluación de impacto actualizada mantiene unidos estos elementos y reduce el riesgo de controversias.
Pesan sobre todo los que nacen de la actividad típica de una entidad financiera: abuso de mercado, receptación, blanqueo y autoblanqueo, delitos tributarios, corrupción, falsedad en la información societaria y obstrucción al ejercicio de las funciones de las autoridades públicas de supervisión, además de los delitos informáticos. El mapa debe construirse sobre la actividad efectiva: captación de depósitos, crédito, servicios de inversión, pagos, gestión de créditos deteriorados. Los protocolos se apoyan en los controles ya previstos por la normativa de supervisión, de modo que se evite un segundo cuerpo de procedimientos paralelo.
Se parte de los puntos en los que los riesgos climáticos y ambientales ya afectan a los procesos: políticas de crédito y análisis de las operaciones, valoración de las garantías, información a los órganos sociales, divulgación ESG del Pilar 3 donde se exige. La parte más costosa son los datos: origen de la información recabada de la clientela, criterios de las estimaciones cuando el dato falta, controles de calidad, trazabilidad de quien ha producido la cifra. La misma información alimenta el estado de información de sostenibilidad para las entidades obligadas, por lo que conviene construir una sola cadena del dato en lugar de dos informes separados.
Servicios vinculados
Función de auditoría interna en outsourcing o co-sourcing: planes de auditoría basados en riesgos, pruebas de controles e informes a la alta dirección.
Saber másVerificaciones técnicas de seguridad sobre redes, aplicaciones e infraestructuras: detectamos las vulnerabilidades antes de que lo haga un atacante.
Saber másModelos de Organización, Gestión y Control conforme al Decreto Legislativo italiano 231/2001, evaluación de riesgos de los delitos presupuesto y apoyo al Organismo de Vigilancia.
Saber másAdecuación al Reglamento (UE) 2016/679 y al Código de Privacidad italiano: diagnóstico, registro de actividades de tratamiento, DPIA, políticas y formación.
Saber másInformación ESG conforme a CSRD, ESRS, GRI y el estándar VSME: análisis de materialidad, recopilación de datos, redacción y preparación para la verificación.
Saber másDiseño, implantación y mantenimiento de sistemas de gestión certificables: ISO 9001, 14001, 45001, 27001, 37001, 50001 y los principales esquemas sectoriales y de cadena de suministro.
Saber másHablemos
Cuéntenos las prioridades de su empresa: en una primera reunión sin compromiso analizamos el contexto y le proponemos un recorrido concreto, con plazos y resultados medibles.