EAF
La estructura ligera que delega el back-office
"Somos tres personas: administración, tecnología y parte del cumplimiento están fuera. Queríamos asegurarnos de que esa estructura sigue defendiéndose como medios suficientes."
Externalización de funciones críticas: delega la tarea, nunca el control
Puedes externalizar casi todo; la responsabilidad, jamás. Diseñamos y revisamos los acuerdos de outsourcing de tu entidad regulada —incluido el capítulo TIC bajo DORA— para que apoyarte en proveedores no te deje sin respuestas ante el supervisor.
¿Vas a externalizar (o ya lo hiciste sin papeles)?
Cuéntanos qué funciones tienes en manos de terceros y te decimos qué contratos, registros y comunicaciones faltan.
- +50 entidades asesoradas
- Respuesta en 24 h
- Sin compromiso
Servicios
Outsourcing regulado: lo que hacemos por ti
Del inventario de proveedores al plan de salida: seis servicios para que cada delegación tenga contrato, control y evidencia detrás.
DORA
Proveedores TIC bajo DORA
Aplicable desde enero de 2025: adaptamos tus contratos tecnológicos a las cláusulas obligatorias del art. 30, construimos el registro de información y ordenamos tu gestión del riesgo de terceros TIC.
Ver más →
Art. 30RegistroTICDesde 2025
Cumplimiento
Externalizar la función de cumplimiento
La delegación bien hecha de una función de control: mandato escrito, acceso pleno a la información, reporte directo al órgano de administración y evidencia continua de que el control funciona.
Ver más →
MandatoReporteControlEvidencia
Datos
DPO externo
El delegado de protección de datos como función externalizada: independencia, recursos y encaje con el resto de proveedores.
Ver más →
RGPDIndependencia
Riesgos
Riesgo de terceros
Integramos proveedores y delegaciones en tu mapa de riesgos, con indicadores, incidencias y revisión periódica.
Ver más →
IndicadoresSeguimiento
Expediente
Outsourcing en la autorización
Lo que externalices debe reflejarse en el programa de actividades y sostener el juicio de medios suficientes de la CNMV.
Ver más →
MediosPrograma
Tercera línea
Auditoría de externalizaciones
Revisión independiente de tus acuerdos críticos: contrato firmado, ejecución real y planes de salida puestos a prueba.
Ver más →
RevisiónSalida
Perfiles
Así se externaliza (y se complica) en el sector
Cuatro entidades, cuatro dependencias de terceros distintas. Todas legítimas; ninguna defendible sin contrato, visibilidad y plan B.
Gestora
El core que vive en la nube
"Toda nuestra operativa corre sobre un proveedor cloud. Con DORA descubrimos que el contrato no contemplaba auditoría, ni localización de datos, ni estrategia de salida."
Agencia de valores
La cadena de subcontratas
"Nuestro proveedor tecnológico subcontrata a su vez a otros dos. Caímos en que no sabíamos quién tocaba realmente nuestros datos ni desde qué país."
Banca
El inventario que nadie tenía
"Cada área contrataba proveedores por su cuenta. El primer paso fue construir un inventario único y clasificar qué era de verdad crítico o importante."
Dónde se falla
Tres errores que convierten el outsourcing en un hallazgo
Externalizar es legal, habitual y muchas veces la mejor decisión. Lo que el supervisor no perdona es la delegación sin contrato serio, sin visibilidad y sin salida.
Delegar y desentenderse: la función viaja, la responsabilidad no. Si el proveedor falla, el expediente es tuyo. El supervisor exige control efectivo y seguimiento continuo, no un contrato firmado y olvidado en un cajón.
Contratos huérfanos de cláusulas: sin derechos de acceso, información y auditoría —también para el supervisor—, sin niveles de servicio y sin plan de salida, el acuerdo es indefendible. Con proveedores TIC, además, DORA impone contenido contractual obligatorio (art. 30).
La cadena invisible: tu proveedor subcontrata, el subcontratista vuelve a subcontratar y nadie en tu entidad sabe ya dónde se procesa qué. Sin visibilidad de la cadena no hay control que defender.
| Categoría | Qué incluye | Qué te exige la normativa |
|---|---|---|
| Delegable con condiciones | Funciones críticas o importantes: tecnología, back-office, administración y funciones de control en los términos admitidos | Contrato escrito, control efectivo y seguimiento continuo, derechos de acceso y auditoría, plan de salida y comunicación al supervisor según proceda |
| No delegable | La responsabilidad de la entidad y de su órgano de administración, y la dirección efectiva del negocio | La externalización no puede vaciar la entidad de sustancia ni trasladar a un tercero sus obligaciones frente a clientes y supervisor |
| Proveedores TIC bajo DORA | Servicios tecnológicos que sostienen funciones esenciales o importantes: cloud, software, datos, comunicaciones | Desde enero de 2025: registro de información de proveedores, cláusulas contractuales obligatorias del art. 30 y gestión del riesgo de terceros |
Ordena tus externalizaciones antes de que las ordene el supervisor
Inventariamos tus acuerdos con terceros, clasificamos lo crítico, renegociamos los contratos que cojean, montamos el registro de información DORA y dejamos probados los planes de salida. Para que delegar siga siendo una ventaja y no un flanco abierto.
Preguntas frecuentes
Externalización: lo que preguntan las entidades
¿Qué es una función crítica o importante?
En términos generales, aquella cuyo fallo o deficiencia comprometería seriamente el cumplimiento continuo de las condiciones de la autorización, los resultados financieros o la solidez y continuidad de los servicios de la entidad.
La etiqueta importa porque activa el régimen reforzado: contrato con contenido mínimo, control intensificado, comunicación al supervisor según el caso y plan de salida. Clasificar bien —con criterios escritos— es el primer control del sistema.
¿Puedo externalizar la función de cumplimiento normativo?
Con carácter general sí, especialmente en entidades de menor tamaño donde la proporcionalidad lo justifica. Las condiciones: un mandato escrito con alcance claro, acceso pleno del prestador a la información, reporte directo al órgano de administración y supervisión de la entidad sobre el servicio.
Lo que nunca se transfiere es la responsabilidad: el cumplimiento sigue siendo tuyo. Así lo articulamos en nuestro servicio de compliance officer externo, y de forma análoga con el DPO externo.
¿Qué debe incluir el contrato de externalización?
Los bloques imprescindibles:
- Descripción del servicio y niveles de servicio medibles.
- Derechos de acceso, información y auditoría para la entidad, sus auditores y el supervisor.
- Confidencialidad, protección de datos y localización del tratamiento.
- Régimen de la subcontratación: condiciones, comunicación y traslado de derechos.
- Continuidad de negocio, gestión de incidentes y plan de salida.
Si el servicio es TIC y sostiene funciones esenciales o importantes, DORA añade cláusulas obligatorias específicas (art. 30).
¿Tengo que comunicar la externalización al supervisor?
Las externalizaciones de funciones críticas o importantes deben ponerse en conocimiento del supervisor en los términos de la normativa aplicable a tu tipo de entidad. En una autorización nueva, además, el reparto entre medios propios y externalizados forma parte del programa de actividades.
La regla práctica: si la delegación cambia tu estructura de medios, el supervisor espera saberlo antes de descubrirlo en una inspección. Y el registro DORA hace visible de oficio buena parte de tu mapa TIC.
¿Qué pasa con la subcontratación en cadena?
Es el punto ciego clásico. Tu contrato debe regular si el proveedor puede subcontratar, en qué condiciones y con qué obligación de informarte, y trasladar a los subcontratistas relevantes tus derechos de acceso y auditoría.
Para servicios TIC, el registro de información bajo DORA obliga a reflejar también las cadenas de subcontratación relevantes: si hoy no sabes quién está detrás de tu proveedor, ese registro no lo puedes cumplimentar con rigor.
¿Qué cambia DORA desde enero de 2025?
El Reglamento (UE) 2022/2554 (DORA), aplicable desde enero de 2025, convierte la resiliencia operativa digital en obligación transversal del sector financiero: gestión del riesgo TIC, incidentes, pruebas y —lo que más afecta al outsourcing— un régimen específico para el riesgo de terceros TIC.
Sus dos piezas estrella: el registro de información de todos los acuerdos con proveedores TIC y las cláusulas contractuales obligatorias del art. 30. Te lo desarrollamos en servicios DORA.
¿Qué es el registro de información de proveedores TIC?
Un inventario estructurado de todos tus acuerdos con proveedores de servicios TIC, que identifica qué funciones sostiene cada uno, su criticidad y las cadenas de subcontratación relevantes. Debe mantenerse actualizado y estar disponible para el supervisor.
Bien construido, es más que una obligación: es la foto de tu dependencia tecnológica real, la base para priorizar renegociaciones de contratos y planes de salida. Mal construido, es la primera incoherencia que detectará quien lo revise.
¿Qué se espera exactamente de un plan de salida?
Una estrategia realista para revertir la función a la entidad o migrarla a otro proveedor si el actual falla, incumple o desaparece: escenarios, responsables, tiempos, datos a recuperar y costes estimados. Para las funciones críticas no es opcional.
El estándar supervisor sube cada año: de tener un documento a poder demostrar que el plan es ejecutable —dependencias identificadas, alternativas sondeadas y, en lo posible, elementos probados—. Una dependencia irreversible de un solo proveedor es, en sí misma, un riesgo a explicar.
Guía operativa
Un programa de externalización que se sostiene solo
Tres fases y diez pasos para pasar del outsourcing improvisado a un programa gobernado: saber qué tienes, contratarlo bien y controlarlo mientras dure.
Inventario y clasificación
Reunimos todos los acuerdos con terceros en un repositorio único —también los heredados y los del grupo— y clasificamos qué es función crítica o importante y qué servicio TIC cae bajo DORA. Sin mapa no hay programa.
Contrato y despliegue
Due diligence del proveedor, negociación de las cláusulas que la normativa exige —acceso, auditoría, subcontratación, salida, art. 30 DORA cuando toca— y comunicaciones al supervisor que procedan. El contrato es tu principal evidencia.
Control, salida y supervisor
Indicadores de servicio, gestión de incidencias, derechos de auditoría ejercidos de verdad, registro de información al día y planes de salida revisados. El programa se defiende con lo que haces cada trimestre, no con lo que firmaste una vez.
Externalización defendible en 10 pasos
- Inventario único: reúne en un solo repositorio todos los acuerdos con terceros, incluidos los históricos, los intragrupo y los contratados por áreas sueltas.
- Clasificación: determina con criterios escritos qué es función crítica o importante y qué servicios TIC sostienen funciones esenciales.
- Due diligence del proveedor: evalúa solvencia, capacidad técnica, seguridad y reputación antes de firmar, y deja constancia del análisis.
- Contrato completo: cierra por escrito servicio, niveles, acceso y auditoría, datos, subcontratación, continuidad, incidentes y salida.
- Capítulo DORA: si el servicio es TIC, incorpora las cláusulas obligatorias del art. 30 y clasifica su criticidad para el registro.
- Comunicación al supervisor: articula las notificaciones que procedan y refleja la externalización en tu programa de actividades.
- Registro de información: construye y mantén el registro de proveedores TIC y el inventario general de externalizaciones, con responsable asignado.
- Control continuo: define indicadores, reuniones de seguimiento, gestión de incidencias y ejercicios reales de tus derechos de auditoría.
- Cadena de subcontratación: exige visibilidad de los subcontratistas relevantes y traslada tus derechos de acceso a toda la cadena.
- Plan de salida: prepara y revisa la estrategia de reversión o sustitución de cada función crítica, con responsables, tiempos y alternativas.
Si buscas delegar funciones concretas con todas las garantías, mira compliance officer externo, DPO externo y la adaptación completa a DORA.
Recurso gratuito · PDF
Descarga el Checklist MiFID II
Los 10 controles de conducta que la CNMV espera ver funcionando en una EAF o ESI, con la evidencia típica de cada uno. Ideal como autodiagnóstico trimestral con tu equipo.
- Los 10 controles de conducta esenciales
- La evidencia esperada en cada control
- 5 señales de que un control existe solo en papel
- PDF profesional · 5 páginas · 11 KB
Sin spam. Tu email solo se usa para enviarte este checklist y, ocasionalmente, novedades regulatorias relevantes.
Tu descarga ha comenzado
El checklist se está descargando ahora mismo. Si no se inicia automáticamente, haz clic aquí.
¿Después de leerlo necesitas ayuda implantando alguno de los pasos? Escríbenos directamente:
Diccionario operativo
El outsourcing regulado en nueve términos
Este es el vocabulario que usan la normativa, los supervisores y —cada vez más— tus propios proveedores al negociar. Conviene llegar a esa mesa sabiéndolo.
Función críticaConcepto
Lo que no puede fallar
Función cuyo fallo comprometería seriamente la autorización, los resultados o la continuidad de los servicios de la entidad.
Su externalización activa el régimen reforzado.
ExternalizaciónMarco
Hacer a través de otro
Acuerdo por el que un tercero realiza un proceso, servicio o actividad que la entidad desempeñaría en otro caso por sí misma.
Intragrupo también cuenta como externalización.
ResponsabilidadPrincipio
Lo único indelegable
La entidad y su órgano de administración responden frente a clientes y supervisor exactamente igual que si la función fuera interna.
El contrato no la traslada jamás.
Plan de salidaContingencia
El final, previsto desde el principio
Estrategia para revertir o migrar la función si el proveedor falla o el acuerdo termina: escenarios, tiempos, datos y alternativas.
Para funciones críticas, imprescindible.
Cadena de subcontrataciónRiesgo
Quién está detrás de tu proveedor
Los terceros a los que tu proveedor delega a su vez. Sin visibilidad y traslado de derechos, el control se evapora.
El registro DORA la hace visible.
DORANorma
Reglamento (UE) 2022/2554
El reglamento de resiliencia operativa digital del sector financiero, aplicable desde enero de 2025. Reordena el riesgo TIC de terceros.
Su art. 30 fija cláusulas contractuales obligatorias.
Registro de informaciónEvidencia
El censo de tus proveedores TIC
Inventario estructurado de todos los acuerdos TIC con funciones sostenidas, criticidad y cadenas de subcontratación.
Actualizado y disponible para el supervisor.
Proveedor TICTerceros
El tercero tecnológico
Quien presta servicios digitales y de datos en continuidad: cloud, software, comunicaciones, procesamiento.
Bajo DORA, con régimen contractual propio.
Derecho de auditoríaContrato
Poder mirar dentro
Facultad de la entidad, sus auditores y el supervisor de acceder, inspeccionar y auditar al proveedor y su servicio.
Pactado en contrato y ejercido de verdad.
Playbook de outsourcing
Las cinco fases que auditará el supervisor
Clasificación
Criterios escritos para identificar funciones críticas o importantes y servicios TIC esenciales, aplicados de forma consistente.
Política de externalización, inventario clasificado y análisis de criticidad por acuerdo.
Due diligence
Evaluación previa del proveedor proporcional a la criticidad: solvencia, capacidad, seguridad, concentración.
Informes de due diligence, cuestionarios respondidos y aprobación del nivel adecuado.
Contrato
Contenido mínimo completo: niveles de servicio, acceso y auditoría, datos, subcontratación, continuidad y salida; art. 30 DORA en TIC.
Contratos firmados con las cláusulas exigibles y matriz de verificación de contenidos.
Seguimiento
Control efectivo durante la vida del acuerdo: indicadores, incidencias, revisiones y auditorías ejercidas.
Cuadros de mando de proveedores, actas de seguimiento e informes de auditoría al prestador.
Salida y contingencia
Planes de salida realistas para lo crítico y gestión activa del riesgo de concentración y dependencia.
Planes de salida documentados y revisados, alternativas identificadas y pruebas realizadas.
Señales de que tu outsourcing está fuera de control
Cinco frases que escuchamos a menudo en el primer diagnóstico. Cada una es un hallazgo en potencia; juntas, un expediente.
- No existe un inventario único: cada departamento guarda sus contratos y nadie tiene la foto completa.
- El contrato con tu proveedor cloud no menciona el acceso del supervisor ni derechos de auditoría.
- Sabes que tu proveedor subcontrata, pero no podrías decir a quién ni desde qué país opera.
- La función de cumplimiento externalizada no ha presentado un solo informe al órgano de administración este año.
- Si mañana cae tu proveedor crítico, no hay plan de salida escrito ni alternativa identificada.
Ecosistema
La externalización toca todas las líneas de tu organización
Delegar funciones reordena el control interno, la prevención de blanqueo y hasta el encaje de tus medios en la autorización. Estas páginas completan el cuadro para decidir qué sacar fuera y cómo gobernarlo.
Legal
Outsourcing legal
La asesoría jurídica recurrente como servicio externo: qué cubre, cómo se estructura y qué gana una entidad pequeña.
Ver servicio →
RecurrenteBoutique
Modelo
Tres líneas de defensa
Dónde encajan las funciones externalizadas en tu modelo de control para que delegar no rompa la arquitectura.
Ver modelo →
ControlArquitectura
PBC/FT
Representante ante el SEPBLAC
La vertiente de prevención de blanqueo: qué puede apoyarse en externos y qué exige presencia interna.
Ver figura →
SEPBLACPBC
EAF
Obligaciones de una EAF
Las estructuras más ligeras del sector son también las más dependientes de proveedores: así se compatibiliza.
Ver obligaciones →
MediosCumplimiento
Para funciones concretas, revisa el compliance officer externo y el DPO externo; para el frente tecnológico, la adaptación a DORA; y si el mapa de medios afecta a tu licencia, la autorización de ESI.