Antecedentes

El pasado 28 de diciembre de 2020 se publicó en el BOE la resolución de 17 de diciembre de 2020, de la Dirección General de Seguros y Fondos de Pensiones, relativa a las tablas de mortalidad y supervivencia a utilizar, y por la que se aprueba la guía técnica relativa a los criterios de supervisión en relación con las tablas biométricas, y sobre determinadas recomendaciones para fomentar la elaboración de estadísticas biométricas sectoriales.

El conjunto de normas vigentes hasta el pasado 28 de diciembre en que se publicó dicha resolución, mantenían la aplicabilidad de las tablas de supervivencia GRM/F-95, así como de las tablas generacionales españolas de supervivencia masculina/femenina PERM/F-2000 y el uso de las tablas GKM95 y GKF95 a efectos del cálculo de las provisiones técnicas contables

Sn embargo, tal y como establece la normativa, el final del periodo de observación considerado para la elaboración de las tablas de mortalidad, de supervivencia, de invalidez y de morbilidad no puede ser anterior en más de veinte años a la fecha de cálculo de la provisión. Siendo así, el periodo de observación de las tablas para seguros de supervivencia GR95 y PER2000 y las tablas para seguros de vida-riesgo GK95 ya excedían los límites establecidos, no pudiendo considerarse admisibles.

Asimismo, si bien las tablas PASEM2010 cumplen los requisitos sobre el periodo de observación, el análisis de la experiencia biométrica disponible convierte estas tablas en inadecuadas para la protección de los intereses de los tomadores, asegurados y beneficiarios.

Por todo ello, a partir del vencimiento del plazo de 20 años desde el último año de observación, se iniciaron los pasos para actualizar las tablas biométricas, finalizando dicho proceso con la publicación de la resolución del 17 de diciembre de 2020 por la que se actualizan las tablas biométricas y se establecen los criterios de supervisión en relación con las tablas biométricas, y sobre determinadas recomendaciones para fomentar la elaboración de estadísticas biométricas sectoriales.

Nuevas Tablas Biométricas

Las nuevas tablas biométricas tienen como objetivo garantizar la suficiencia de las provisiones técnicas que acumulan las entidades aseguradoras para hacer frente a sus obligaciones por seguros de vida y que los precios de los seguros se formen sobre bases técnicas transparentes y justas. Como resultado, se han elaborado las siguientes tablas biométricas que diferencia por género, por tipología de cartera (individual/colectivo), y por razón de cálculo (1er Orden y 2º Orden).

Tablas biométricas de longevidad (supervivencia):

• PER2020_Col 1r y 2ndo Orden: Seguros de supervivencia colectivos. PER2020_Ind: Seguros de supervivencia individuales.
• PER2020_Ind 1r y 2ndo Orden: Seguros de supervivencia individuales

Tablas biométricas de mortalidad (vida-riesgo/decesos):

1r Orden:

• PASEM_2020_Rel: Vida-riesgo relacionados con otras operaciones.
• PASEM_2020_NoRel: Resto de seguros de vida riesgo, sin incluir decesos.
• PASEM_2020_Decesos: Seguro de decesos.

2ndo Orden:

• PASEM_2020_General: Vida-riesgo sin incluir decesos.
• PASEM_2020_Decesos: Seguros de decesos.

Como novedad, se definen dos tipos de tablas atendiendo a su utilidad: las tablas de primer orden (a efectos contables) y las de segundo orden (a efectos de solvencia y contabilidad bajo IFRS 17).

Las tablas de segundo orden incluyen la estimación central de la mortalidad, en cambio las tablas de primer orden además de la estimación central de la mortalidad incluyen los recargos técnicos.

Entrada en vigor e Impactos

Las nuevas tablas biométricas han sido ya de aplicación al 31 de diciembre de 2020 para el cálculo de las provisiones técnicas y a finales de marzo de 2021, en la tarificación. Se estima que la aplicación de las nuevas tablas biométricas supondrá un incremento de las provisiones técnicas contables significativo en los productos de longevidad. Por ello, se ha establecido un proceso transitorio voluntario en el ámbito contable hasta el 31 de diciembre de 2024, debiéndose dotar como mínimo un 25% cada ejercicio, hasta llegar al 100% a 31 de diciembre de 2024.

En cuanto a los seguros de vida riesgo y decesos, se estima que supondrá una reducción de las primas de alrededor del 25% derivado del incremento de la esperanza de vida. Si bien, las Entidades deberán evaluar los impactos en los ingresos se vean reducidos. Asimismo, es importante recalibrar las bases técnicas, en particular a lo referente al porcentaje de gastos de administración, que pueden derivar en insuficiencias al disminuir la prima pura.

Monitorización de la longevidad

El estudio desarrollado por la Dirección General de Seguros y Fondos de Pensiones en el año 2019 relativo al impacto de la renovación de determinadas tablas biométricas puso de manifiesto la necesidad de acometer una armonización metodológica de las estadísticas biométricas.

Una adecuada gestión del riesgo biométrico requiere contar con estadísticas biométricas sólidas y realistas basadas en información fiable sobre las exposiciones al riesgo, los eventos asegurados (fallecimientos, invalidez en sus distintas formas, etc.) y las magnitudes económicas más relevantes. Desde un punto de vista sectorial, acometer una monitorización de calidad y fiable de la longevidad del colectivo asegurado total, requiere de unas estadísticas biométricas procedentes de cada Entidad basadas en metodologías suficientemente homogéneas, por ello se han dictado una serie de recomendaciones para promover la elaboración de estadísticas biométricas sectoriales homogéneas basadas en metodologías sólidas y realistas.

En este sentido, las Entidades deberán tener documentado e implementado un proceso de calidad del dato específico que garantice un control interno de la información sobre la experiencia biométrica de los colectivos asegurados.

Asimismo, las entidades documentarán los procesos de monitorización continuada de las hipótesis biométricas, identificando las funciones responsables de ellos y la participación de la función actuarial y la función de gestión de riesgos. El proceso de monitorización incluirá el detalle de las acciones para asegurar la calidad del dato, los sistemas de procesos de información específicos, el control interno de tales procesos, las metodologías aplicadas para derivar la mortalidad real y esperada del colectivo asegurado y comparar ambas, y los procesos de documentación e información sobre las conclusiones de la monitorización continuada.

La ejecución, los resultados, la información sobre el procedimiento de monitorización de las tablas biométricas, así como las decisiones y su implantación, deberán ser documentadas de forma completa y clara por la función actuarial. Adicionalmente, se considerará como buena práctica que su revisión sea objeto de Auditoría Interna al menos cada tres años.

En cuanto a la tarificación, ente otros, como novedad la normativa hace mención al otorgamiento de una participación en beneficios en el caso de seguros en los que la prima de riesgo se ha calculado con tablas de primer orden.

En este sentido, las Entidades Aseguradoras deberán ser capaces de establecer el tratamiento de las tablas biométricas en la estructura y procesos de buen gobierno, estableciendo los procesos de control interno y calidad del dato así, así como como proteger los derechos de los tomadores, asegurados y beneficiarios y dotar de transparencia a las bases técnicas, asegurando la consistencia de las hipótesis biométricas aplicadas en la tarificación con las hipótesis biométricas aplicadas en la valoración de las provisiones técnicas a efectos contables, a efectos de solvencia y para la gestión de riesgos.

Introducción y contexto

El presidente de la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA), Gabriel Bernardino, en una de sus entrevistas más conocidas, formuló que el ejercicio de La Evaluación de Riesgo Propio y Solvencia (ORSA) era el corazón de Solvencia II, indicando en aquel momento la importancia de los ejercicios de autoevaluación de riesgo que realicen las entidades de seguros y reaseguros en el continente europeo.

Desde el primer momento el ORSA tuvo como objetivo establecer una visión más prospectiva para la gestión de riesgos lo que significa que las entidades de seguros también debían de considerar desde el punto de vista de riesgos cualquier desarrollo futuro de su negocio, prestando especial atención a los planes de expansión empresarial que pudieran tener. El ejercicio ORSA debería incluir una visión de los riesgos actuales y futuros, medirlos y contrastarlos con la política y perfil de riesgo de la entidad.

Probablemente la importancia del ejercicio ORSA destacó con fuerza desde que se produjo un evento extraordinario, un cisne negro, si podemos hacer referencia al investigador financiero Nassim Nicholas Taleb, como es la pandemia provocada por el COVID-19.

La pandemia impulsó un golpe duro a la economía mundial, tanto por la propia situación sanitaria como por la gestión de los estados que se vieron obligados a establecer medidas con  el objetivo de la limitación de los contactos sociales y de distanciamiento, lo cual pasaba por limitaciones a la actividad empresarial con sus respectivas consecuencias económicas. Un año y medio desde que estalló la crisis, la incertidumbre a corto plazo de cómo será la recuperación económica, a pesar de la vacunación masiva, todavía persiste.

El efecto negativo de la crisis sobre la economía y la sociedad, cuyas consecuencias se siguen sintiendo en la economía mundial, se espera que se extendiese más en el tiempo. Ello ha llevado a que los bancos centrales adopten medidas para combatir las consecuencias negativas.

No cabe duda de que uno de los focos principales del informe ORSA de 2021 debería ser la crisis provocada por la pandemia. Entre otros, los impactos se traducen en menores rendimientos financieros, caídas, mayor siniestralidad para algunos ramos, cambios en el comportamiento de los clientes etc. Por lo tanto, las entidades del sector deben evaluar y gestionar los impactos tanto en el activo como en el pasivo.

Entre diciembre de 2020 y marzo de 2021 EIOPA lanzó una consulta pública con objetivo de ayudar al sector, estableciendo unas pautas y recomendaciones, para que las entidades las pudieran utilizar para evaluar el riesgo prospectivo y reflejarlo en sus informes ORSA. En julio de 2021 el regulador europeo publicó las conclusiones, reflejando que las consideraciones tratadas en la consulta deberían de emplearse en caso de futuras crisis semejantes, por tanto, es un documento muy relevante para el sector.

A continuación vamos a repasar los mensajes claves de la publicación de EIOPA y posteriormente a modo ejemplo, reflexionar sobre las consideraciones principales a valorar para la ejecución de las proyecciones ORSA.

Conclusiones principales de la Publicación de EIOPA en base al artículo 29 del Reglamento 1094/2010 - más escenarios y más complejos

El comunicado de EIOPA de julio 2021 mencionado establece que el objetivo de la consulta es promover la convergencia supervisora, enfocándose en la vigilancia de los procesos internos de las entidades, necesarias para un ejercicio ORSA de calidad alta. Además procura guiar a las entidades sobre las expectativas supervisoras en la situación actual desencadenada por la pandemia COVID-19, teniendo en cuenta que el impacto en cada entidad dependerá de su perfil de riesgo específico (no se debe olvidar la evaluación y aplicación del principio de proporcionalidad de Solvencia II).

Para cumplir con su objetivo, las conclusiones giran sobre tres ares principales:

1. Relevancia del ORSA como instrumento de evaluación de riesgos prospectiva en el momento actual.
2. La continua observación de la situación que puede derivar en el reporte de informe ORSA ad-hoc.
3. Los escenarios que debe contener el informe.

La importancia del ORSA en el contexto actual

El ORSA fue diseñado y considerado como una herramienta importante y eficaz para la gestión de riesgos. La realización de un ejercicio ORSA en las circunstancias actuales permitiría medir los potenciales impactos futuros de la pandemia del COVID-19 contrastando con el perfil de riesgo de la entidad y permitirá respaldar la toma de decisiones estratégicas por parte de su organismo administrativo, de gestión o de supervisión, como parte de los procesos internos de la entidad. La identificación y gestión eficaz de los riesgos de la entidad debe permitir garantizar que se tenga capital suficiente para absorber posibles pérdidas y ayudar a dirigir el negocio en períodos de adversidad.

La toma o adaptación de decisiones estratégicas debe considerar áreas como, por ejemplo: las prácticas de suscripción y tarificación, las técnicas de mitigación de riesgos, la estrategia de inversiones, la gestión del capital, el reparto de dividendos o las mejoras de la resiliencia operativa y cibernética. Por ello, cabe esperar que los reguladores nacionales, con el tiempo requieran cada vez mayor robustez de los ejercicios ORSA presentados.

Otro punto importante en el contexto actual a incluir en el ORSA debería ser una revisión de los términos y condiciones de los contratos de seguro, como por ejemplo si existe la necesidad de aclaraciones de las coberturas o de las cláusulas de exclusión, y además considerar aumentar o mejorar la comunicación con los propios asegurados sobre riesgos identificados en base a las coberturas del contrato.

Reporte del informe ORSA (regular o ad-hoc)

A pesar de que el informe ORSA se reporta de forma regular una vez al año (recogiendo la planificación estratégica) y a pesar de que posiblemente la totalidad de entidades con obligación de reporte han incluido escenarios sobre el futuro desarrollo de la pandemia, es importante subrayar el dinamismo de la crisis y la alta incertidumbre que genera en el futuro cercano. Por ello, es imprescindible no bajar la guardia en la continua evaluación de la situación.

En esta línea, el ORSA siempre debe tener en cuenta cualquier planificación estratégica ad-hoc y/u otras decisiones estratégicas que se tomen como resultado de la situación de la pandemia. Aquello permitirá a las empresas definir los cambios necesarios en el modelo de negocio.

También se debe realizar un análisis de cara a averiguar si se ha producido cualquier cambio material en el perfil de riesgo de la entidad. Tales cambios pueden derivar de:

• Cambios sustanciales en la exposición al riesgo de contraparte o a los riesgos de mercado;
• Cambios sustanciales en los resultados de suscripción en las líneas de negocio más afectadas por la pandemia;
• Modificaciones importantes en el modelo de negocio, en los productos ofrecidos, en planes y estrategias.

Escenarios ORSA relacionados con la pandemia

Los distintos escenarios son importantes dado que podrán permitir a las entidades autoevaluar el cumplimiento con su perfil de riesgo y determinar si es necesario modificar planes estratégicos, políticas, apetito y tolerancia al riesgo, revisión de coberturas etc. Hemos destacado que es fundamental determinar si el perfil de riesgo definido ha sido alterado por la pandemia y si está expuesto a severos afectos adversos en el futuro, valorados a través de los distintos escenarios ORSA.

El análisis de cada escenario se debe realizar en torno a los siguientes pilares fundamentales en un ejercicio ORSA: gestión de riesgos, indicadores cualitativos y cuantitativos, métricas de medición a riesgo, los propios estrés tests y el proceso de monitorización.

Están representados en el siguiente gráfico.

Como ya hemos aclarado, se espera que los escenarios reflejen la incertidumbre actual y recojan hipótesis sobre su duración, así como la duración de los efectos secundarios que puede derivar. Todo aquello se debe reflejar en las proyecciones de SCR y Fondos Propios admisibles.

Los escenarios deben de ser un número razonable, deben cubrir una variedad de hipótesis futuras y combinaciones entre ellas, y con diferentes grados de severidad. Asimismo, los escenarios deben de ayudar a identificar, al menos de forma cualitativa, los llamados riesgos de segundo grado o riesgos que no se prevén en el corto plazo, pero sí más allá del fin del período del plan de la entidad.

Durante la realización de escenarios, es importante que las entidades incluyan la evaluación del comportamiento del consumidor que se puede traducir en variaciones sobre las estimaciones iniciales de: caídas y cancelaciones, posibles litigios sobre disputas de compensación relacionadas con coberturas de las pólizas etc.

En el contexto del Covid-19, EIOPA urge al sector respecto a los datos externos, a utilizar fuentes fiables como son las instituciones nacionales y supranacionales.

Ejemplo de proceso de realización de escenarios pandémico

Para poner en práctica la evaluación de la situación actual dentro del ORSA un enfoque puede ser el siguiente:

1. Identificar los riesgos concretos para la entidad y categorizarlos.
2. Evaluar la materialidad de dichos riesgos en función de las exposiciones en el activo y en el pasivo de la entidad.
3. Definir rango de escenarios.
4. Evaluar el impacto de los escenarios dentro de las políticas de gestión y perfil de riesgo definidos.
5. Establecer medidas de gestión.

La identificación correcta de los riesgos ayudará a combatir el efecto de la incertidumbre y estar más preparado ante situaciones adversas.

Aquí posiblemente se puede utilizar de base la experiencia del año 2020 ,ya que las entidades evaluaron los impactos en el activo y en el pasivo, reestimando en muchos casos su planes y adoptando medidas respecto a la gestión y el reparto de dividendos. Por tanto, existe una fuente de información y experiencia que puede ayudar a identificar riesgos y definir hipótesis en torno al:  comportamiento en los mercados financieros, comportamiento de los gobiernos naciones y de los bancos centrales, comportamiento de los consumidores y las diferencias interdependencias entre ellos. El comportamiento de cada uno de los factores afectará al sector de seguros. La base de los comportamientos dependerá sin duda de la situación sanitaria en primer lugar, y luego en la fortaleza de la economía en general.

Por ejemplo, a mayor avance en la vacunación o en los tratamientos médicos se puede suponer hipótesis de menores restricciones con su respectivo efecto directo sobre el flujo de dinero en la economía. Naturalmente, este modelo se puede complicar tanto como la entidad estime material y conveniente para su realidad de su negocio en función de hipótesis sobre otros factores o sub-factores tales como:

• El avance de la vacunación a nivel nacional, comunitaria, mundial.
• Posibilidad de surgir nuevas variantes del virus que lleven a una disminución en la efectividad de las vacunas y por tanto a nuevas restricciones.
• La dependencia de la economía a sectores con mayores restricciones.
• El número de cierres parciales/totales en las economías y la duración de las restricciones.
• Las ayudas económicas para los diferentes sectores económicos afectados por las restricciones.
• Mayor uso de las tecnologías, trabajo a distancia y riesgos cibernéticos que puede derivar.
• La inflación.

Una vez realizado el trabajo de identificación, se debe realizar el mapeo con los riesgos de la entidad del pasivo y del activo: suscripción, mercado, contraparte, operacional, liquidez, estratégico, operacional. Consecuentemente, la evaluación de estos riesgos variará en función de las hipótesis que se establezcan sobre las variables asociadas de cartera y/o nuevo negocio asociadas tales como: primas, siniestros, gastos, ingresos y gastos financieros, hipótesis de dividendos, variables macroeconómicas, ratings, defaults etc.

Se deben hacer diferentes escenarios con una escala de severidad variable que permita encontrar el grado de comodidad de la entidad de cubrir una alta gama de posibles desenlaces en los próximos períodos.

A partir de aquí, se evaluará el impacto de los escenarios dentro de las políticas de gestión y perfil de riesgo definidos, para ver si es necesaria su modificación. Se adoptarán las decisiones de gestión necesarias de cara a disminuir el riesgo de insolvencia en el corto plazo.

Conclusiones

Cualquier riesgo o amenaza se puede convertir en una oportunidad. Para el sector de seguros con la realización del ORSA 2021 y muy previsiblemente, al menos el ORSA 2022, la situación de pandemia presenta una oportunidad para las propias entidades de testear sus procesos ORSA para valorar si es suficientemente robusto, eficiente, de retar los indicadores de medición de riesgo, KPIs establecidos y de re-valorar su perfil de riesgo. Este ejercicio puede permitir a las entidades perfeccionar su proceso, sus hipótesis, la robustez de las proyecciones y en general, ayudar a que el ejercicio ORSA proporcione una respuesta cada vez más segura a la incertidumbre del futuro.

Introducción

El pasado diciembre, la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA, por sus siglas en inglés) publicó su opinión sobre el 2º paquete de modificaciones de Solvencia II, el marco prudencial europeo de seguros.

Esta opinión, disponible en la web de EIOPA, servirá como referencia a la Comisión Europea (CE) para presentar al Consejo y Parlamento una propuesta de modificación de Solvencia II, previsiblemente, en septiembre de 2021.

A continuación, se presenta un resumen de las principales propuestas del supervisor europeo.

Medidas de garantía a largo plazo

Uno de los aspectos más positivos de la opinión de EIOPA es su propuesta de mantenimiento del ajuste por casamiento como una medida separada e independiente del resto de medidas de garantía a largo plazo (LTG, en inglés) y de que se reconozca en el capital de solvencia obligatorio (SCR, en inglés) de la fórmula estándar los efectos de diversificación entre las carteras del ajuste por casamiento y el resto de las carteras de la entidad. Merece la pena destacar que se haya mantenido esta medida habida cuenta que, tras la salida del Reino Unido de la UE, el mercado español es el único que la aplica.

Según EIOPA, esta propuesta supondrá una reducción media del 8,5% del capital de solvencia obligatorio de las entidades que aplican el ajuste por casamiento, algo que se valora muy positivamente por parte de UNESPA.

Por otro lado, EIOPA propone modificar el método para extrapolar los tipos de interés libres de riesgo al objeto de tener en cuenta los tipos de mercado más allá del punto de entrada a la extrapolación (last liquid point). Se busca incrementar la sensibilidad de la parte de la curva extrapolada a los tipos de interés de mercado.

En la práctica, esta modificación del método de extrapolación supondría que la curva extrapolada sea más baja que la curva extrapolada con el método actual.

Para el ajuste por volatilidad se propone que el mismo se divida en una parte permanente y otra macroeconómica. El ajuste macroeconómico tiene por objeto principal mejorar el actual componente nacional del ajuste por volatilidad, que apenas ha llegado a activarse.

Por lo que respecta al ajuste por volatilidad permanente, se incrementa la ratio de aplicación del 65% al 85%. No obstante, debe corregirse teniendo en cuenta las características de iliquidez de los pasivos y los desfases de duración activos-pasivos de la entidad.

Con este nuevo enfoque habría entidades que obtengan un ajuste por volatilidad superior al resultante de la metodología actual, mientras que para otras sería inferior.

Con respecto a las medidas transitorias de tipos y provisiones, EIOPA recomienda incorporar nuevas obligaciones de transparencia en el informe sobre la situación financiera y de solvencia (SFCR, en inglés) en relación con las razones por las que la entidad utiliza la transitoria. Asimismo, se deberá incluir una valoración de la dependencia de la entidad respecto de la transitoria y, en su caso, explicar las medidas planificadas para acabar con dicha dependencia al final del periodo de transición.

Por otra parte, EIOPA propone que las entidades que no hayan empezado a aplicar estas transitorias todavía sólo puedan hacerlo en situaciones muy concretas.

En relación con la transparencia de las medidas LTG, se recomienda incorporar su impacto únicamente en el apartado del SFCR destinado a usuarios diferentes a los tomadores. En el apartado para tomadores sólo se darían los datos con las medidas LTG.

Del mismo modo, EIOPA propone que las entidades con pasivos a largo plazo publiquen en el SFCR el resultado de un análisis de sensibilidad de la extrapolación.

EIOPA propone eliminar de la gestión de las medidas LTG el análisis de las medidas a tomar para restablecer el cumplimiento del SCR ante una reducción del ajuste por volatilidad o ajuste por casamiento a cero (artículo 44.2bis de la directiva). A cambio recomienda incorporar en la evaluación propia de riesgo y de la solvencia (ORSA, en inglés) una valoración de si con la aplicación de las medidas LTG y las transitorias se está poniendo en riesgo la situación de solvencia de la entidad.

Riesgo de acciones

Respecto al tratamiento de las inversiones estratégicas en acciones (artículo 171 del Reglamento de Solvencia) se propone mantener el criterio de que el valor de la inversión en acciones sea significativamente menos volátil en los 12 meses siguientes que el valor de otras acciones durante el mismo período.

Respecto al tratamiento de inversiones a largo plazo en acciones (artículo 171 bis del Reglamento de Solvencia) EIOPA clarifica que el subconjunto de acciones a largo plazo no son un fondo de disponibilidad limitada.

EIOPA recomienda ampliar el intervalo del ajuste simétrico de +/-10% a +/-17% y de introducir un límite inferior del 22% en el shock del riesgo de acciones.

Margen de riesgo

EIOPA propone que el cálculo de SCR futuros se ajuste teniendo en cuenta la dependencia de los riesgos, algo que reduciría el importe del margen de riesgo. Si bien se tiene en cuenta la dependencia de los riesgos en la proyección de SCR se sigue manteniendo la tasa de coste de capital en el 6%.

Fondos propios

EIOPA recomienda no modificar el actual sistema de niveles de Solvencia II. Esto incluye mantener los beneficios esperados en las primas futura en el Nivel 1 aunque trabajará en recomendaciones sobre esta materia.

Capital de solvencia obligatorio

EIOPA recomienda modificar la calibración del riesgo de tipo de interés para reflejar la situación de tipo negativos, algo que no ocurre en el actual Reglamento de Solvencia II. En cualquier caso, EIOPA propone que el tipo de interés estresado en el escenario “bajista” no sea inferior a -1,25%.

Asimismo, se propone un periodo de 5 años para aplicar los cambios en este módulo.

Con respecto a las matrices de correlación, la única propuesta de modificación es la reducción del parámetro de correlación entre el riesgo de diferencial y el de tipo de interés (para el shock de bajada de tipos) de 0,5 a 0,25.

Para el riesgo de contraparte, EIOPA propone una simplificación opcional adicional para el cálculo del efecto de mitigación del riesgo de derivados, acuerdos de reaseguro, vehículos de propósito especial y titulizaciones de seguros.

Presentación de información al supervisor y divulgación pública.

EIOPA propone algunas recomendaciones en este ámbito entre las que destacan el mantenimiento de tener que reportar el cuarto trimestre, y reducir la información en determinadas plantillas. Asimismo, se fija un plazo de 16 semanas para la remisión de la información anual individual y de 5 semanas para la remisión de la información trimestral individual. Para la remisión del SFCR Se establece un plazo de 18 semanas. Se mantiene el retraso en 6 semanas para la información a nivel de grupo.

EIOPA propone incorporar nuevas plantillas para reportar información sobre negocio transfronterizo, ciber riesgos e información por producto tanto en vida como en no vida. También se propone requerir a aquellas entidades que tengan modelo interno a reportar al supervisor plantillas sobre SCR a través de fórmula estándar.

Con respecto al SFCR, se propone desglosarlo en una parte dirigida a los tomadores y otra dirigida a otros usuarios (por ejemplo, público profesional). También se recomienda incorporar información sobre sensibilidades (ratio de cobertura, SCR, fondos propios…) así como referencias a cuestiones sobre sostenibilidad.

EIOPA considera que la entidad debe facilitar al supervisor la localización exacta donde se encuentra disponible el SFCR en su sitio web.

Proporcionalidad

EIOPA recomienda incrementar los umbrales establecidos en el artículo 4 de la Directiva de Solvencia II del siguiente modo: provisiones técnicas de 25 millones € a 50 millones €, y se permite a los Estados miembros incrementar el umbral de primas de los actuales 5 millones € hasta 25 millones €

Asimismo, EIOPA propone una serie de criterios que ha de cumplir una entidad para ser considerada de “perfil bajo de riesgo” y poder aplicar automáticamente una serie de medidas de proporcionalidad relacionadas, principalmente, con pilar II. En cualquier caso, nunca podrá ser una reaseguradora pura, una entidad que calcule el SCR con un modelo interno (total o parcial) o una entidad cabecera de un grupo.

Por otro lado, EIOPA considera que las medidas de proporcionalidad no deben considerarse una lista cerrada, por lo que se debería permitir simplificaciones no mencionadas expresamente en el marco de Solvencia II.

Supervisión de grupos

EIOPA propone una revisión de numerosos aspectos de la supervisión de grupos como, por ejemplo, evaluar regularmente la consideración de los beneficios futuros como fondos propios de grupo. No establece por defecto que no deban ser considerados, pero establece que esta disponibilidad se debería justificar.

Por otro lado, se trata de aclarar los casos en los que se pueden excluir entidades de la supervisión de grupos y se modifica la definición de operaciones intragrupo para incluir expresamente determinadas contrapartes que se consideran de interés supervisor. Asimismo, se propone establecer unos claros criterios para la definición de los umbrales para reportar las operaciones intragrupo y los casos de concentración de riesgos.

Libre prestación de servicios y libertad de establecimiento

EIOPA propone reforzar la cooperación y el intercambio de información entre las autoridades de supervisión respecto a las operaciones transfronterizas.

Política macroprudencial

EIOPA considera que la perspectiva macroprudencial debe complementar Solvencia II incluyendo algunas medidas como la facultad de las autoridades de supervisión para fijar un recargo de capital para abordar fuentes de riesgo sistémico detectada en las entidades. Asimismo, se aconseja incluir en el artículo 45 de la Directiva Solvencia II (ORSA) una referencia explícita a la necesidad de tener en cuenta la perspectiva macro prudencial.

EIOPA propone restringir o suspender dividendos u otros pagos a los accionistas y la posibilidad de restringir la compra de las propias acciones bajo determinadas circunstancias. También se recomienda permitir la congelación temporal de los derechos de rescate, como medida de último recurso, durante un breve período de tiempo y únicamente a las entidades afectadas por un riesgo de liquidez significativo.

EIOPA considera necesario dotar a los supervisores de medidas para incentivar a las aseguradoras a reforzar su posición de liquidez.

Recuperación y resolución

EIOPA considera que debe establecerse un marco mínimo armonizado de recuperación y resolución para las entidades de seguros, ya que los principios armonizados de recuperación y resolución aplicados de manera proporcionada contribuyen a proteger adecuadamente a los asegurados, así como a mantener la estabilidad financiera en la UE.

Esta armonización mínima implica la definición de un enfoque común de los elementos fundamentales de recuperación y resolución, dejando espacio para que los Estados miembros adopten medidas adicionales a nivel nacional, sujetas a que estas medidas sean compatibles con los principios, requisitos mínimos y objetivos establecidos a nivel de la UE.

Sistemas de protección de los asegurados

EIOPA parte de la idea de que todos los Estados miembros de la UE deben de contar con un sistema de protección de los asegurados, entendiéndose como tal un fondo de garantía nacional específico o un mecanismo que ofrezca un resultado similar, siempre que cumpla una serie de requisitos mínimos armonizados. En este sentido, cabe recordar que en España contamos con la figura del Consorcio de Compensación de Seguros (CCS).

La estructura y definición quedaría en manos de dichos Estados miembros si bien se proponen unos principios mínimos sobre, entre otros aspectos, las pólizas cubiertas, la cobertura geográfica y la financiación.

Requerimientos de aptitud y honorabilidad

EIOPA quiere dotar al supervisor de más medios para que compruebe que dichos requisitos se cumplen, no solo en el momento de iniciar la actividad o cuando hay un cambio accionarial, sino en todo momento.

Próximos pasos

Como se ha podido comprobar son numerosos y de gran calado los aspectos que se están revisando. Ahora habrá que esperar a la propuesta de la CE para conocer en qué grado se ha desviado de la opinión de EIOPA. La fecha de aplicación de las modificaciones dependerá, obviamente, de la duración de las negociaciones entre las instituciones europeas.

La anticipación de la evolución de variables económicas y financieras siempre está sujeta a un elevado error. Si atendemos a la volatilidad histórica de las variables objeto de previsión, veremos que, aplicando la regla de “2 sigmas”, el rango posible (al 95%) para cualquiera de ellas es excesivo. Y por si en condiciones normales no fuera ya difícil acertar en las previsiones, resulta que ahora tenemos un factor de distorsión adicional: el coronavirus. Sirva este descargo de responsabilidad como introducción al ejercicio que se me ha pedido, y que es uno de los principales componentes de mi trabajo: tratar de anticipar qué puede pasar con los tipos de interés. Diré que esta variable es relativamente menos difícil de modelizar que los tipos de cambio y, sobre todo, los índices bursátiles o las materias primas. Y es que el entorno actual, gracias a las pistas que nos dan los bancos centrales, es más propicio para hacer previsiones de tipos de interés que en épocas anteriores.

Comencemos por la pandemia. Aunque en el momento de escribir estas líneas estamos inmersos en una nueva ola, debemos reconocer que hemos ganado mucha visibilidad respecto a hace unos meses. Y no sólo sobre la evolución de los contagios, sino también sobre el impacto en la actividad económica y financiera. Las vacunas son una realidad, en un ejemplo de la capacidad investigadora y logística del ser humano. Se ha hablado mucho, y bien, de poder contar con una vacuna en apenas 6/9 meses. Creo que se ha alabado menos el hecho de haber fabricado e inoculado en un período similar un total de 4.000 millones de dosis por todo el mundo. Las vacunas son eficaces para reducir los contagios y los efectos de la COVID19. Buenas noticias. Pero, además, y es aquí donde yo puedo hablar con algo más de conocimiento, el impacto sobre la actividad económica es cada vez menor. Acaso porque hemos aprendido a “convivir” con el virus y, sobre todo, porque nos hemos apalancado mucho más en la tecnología. El impacto en el PIB habría sido muy superior en caso de que esta pandemia hubiera surgido con una menor dotación tecnológica. Se dice que el coronavirus ha sido el principal impulsor de la digitalización de la economía, de las empresas y de la forma en la que trabajamos y consumimos. Cambio estructural en la economía.

Otro de los frentes que tenemos que analizar para hacer cualquier previsión de variables económicas o financieras es la denominada geoestrategia. La llegada de Trump a la presidencia de EEUU tras la victoria en las elecciones de 2016 abrió una nueva etapa caracterizada por el enfrentamiento con el resto de potencias con decisiones como, entre otras, la instauración de aranceles. Su impacto sobre el comercio mundial y, por lo tanto, sobre el PIB de todos los países, fue negativo. La actual configuración de las cadenas de producción en las que, para la mayoría de bienes, participan muchos países constató el error de este tipo de medidas proteccionistas. No es objeto de este artículo entrar en este tipo de consideraciones, pero sí en señalar cómo la salida de Trump de la presidencia ha permitido una reducción de la prima por riesgo político, a lo que se ha sumado la materialización del BREXIT o la eliminación, también por un relevo en la jefatura del gobierno, de la tensión en la UE entre Bruselas e Italia. Me conformo con señalar que, al igual que con el COVID, en el frente geoestratégico hemos ganado visibilidad respecto a la situación de hace apenas un año (recordar que Biden ganó en noviembre, que el acuerdo definitivo sobre el BREXIT se alcanzó en diciembre y que Draghi fue nombrado primer ministro en enero¹). Y esto es positivo (o, al menos, no es negativo) para el crecimiento del PIB.

Con estos mimbres, se entiende que el ciclo económico haya mostrado una clara recuperación, especialmente en la primera mitad de 2021. Las primeras inoculaciones de la vacuna en el arranque del año permitieron una relajación de las medidas restrictivas y un aumento de la movilidad de los agentes que favoreció la recuperación económica. Y, tal y como he defendido durante los últimos 15 meses², el reto era conseguir que una crisis, que necesariamente debería ser coyuntural, no provocara un daño estructural sobre el PIB (no hubiera histéresis del PIB). A ello contribuyeron los ingentes y rápidos estímulos fiscales y monetarios³, así como el hecho de que esta crisis no se originara por la existencia de desequilibrios económicos.

Crecimiento del PIB y previsiones (OCDE)

Fuente: OCDE

La revisión al alza de las previsiones de crecimiento ha sido inédita. En el momento actual se anticipa un avance del PIB mundial de cerca del 6,0%, que más que compensaría la caída del pasado año (-3,3%). Un avance liderado por EEUU que, aunque crecería menos que China (6,9% vs 8,0%), al tener un mayor tamaño (del orden de 2 veces) implicaría aportar más al PIB global. EEUU como el gran dinamizador (su avance sería el mayor desde 1984 y una de las tasas más altas desde la Gran Depresión de los años 30 del siglo pasado) en contraste con la UME que, aunque crece a un ritmo vigoroso (4,3%), no es suficiente, ni siquiera, para compensar la caída de 2020.

Junto con esta recuperación de la actividad económica, hemos asistido a un repunte de la inflación que, al igual que lo observado en el crecimiento, es histórico. Así, por ejemplo, en el caso de EEUU ha alcanzado la cota del 5,4% en el componente general y el 4,5% en el subyacente. En la UME es menos intenso, tanto en el general (2,0%) como en la subyacente (1,2%).

Evolución de la inflación en EEUU y en la UME

Fuente: Bloomberg

En este punto, la reacción a la pregunta “¿qué va a pasar con los tipos de interés?” parece clara si, como decimos, el PIB crece con fuerza y la inflación se ha situado por encima de la cota del 2% que sirve de referencia cuantitativa para los bancos centrales. La respuesta rápida es “subida de los tipos de interés”. Tan rápida como errónea.

Porque “esta vez será diferente”. Y aprovecho para reivindicar la utilidad de esta frase, frente a lo que consideran muchos de mis colegas, quienes afirman que es muy peligroso señalar que esta vez diferente. Yo defiendo que lo será, porque siempre lo es. Es lo bueno (o malo) que tiene la economía y los mercados financieros. Cada fase expansiva y contractiva cuenta con elementos diferenciales que provocan que el pasado no se repita. O, al menos, de forma tan mecánica. Cierto que hay elementos comunes, pero ni el desarrollo tecnológico, la importancia de China en la economía mundial o la imposición de criterios ESG (por poner solo tres ejemplos) han existido antes. Y son elementos lo suficientemente importantes como para considerar que, esta vez, será diferente.

Evolución de la deuda pública (en % del PIB)

Fuente: JPMorgan

Pero lo será porque unos de sus principales responsables, los bancos centrales, así nos lo han dicho, al haber modificado su definición cuantitativa para la estabilidad de los precios⁴. El primero en hacerlo fue la Reserva Federal de EEUU ya en agosto del pasado año⁵. Entonces indicó que, si bien su objetivo sigue siendo el 2,0%, para su medición se debe tener en cuenta un amplio período de tiempo y, en concreto, los años pasados. Dado que durante la última década la tasa de inflación media ha sido del 1,7%, implícitamente transmite que permitirá un crecimiento de los precios en el rango 2,0%-2,5% durante los próximos años. De forma similar, el BCE acaba de anunciar un cambio en su objetivo. Que haya pasado de “cercano, pero por debajo del 2,0%” al “2,0% de forma simétrica⁶” puede parecer baladí, pero no lo es⁷. Es el reconocimiento de su permisividad a que el crecimiento de los precios se sitúe por encima de esa cota durante los próximos años.

Revisión de las políticas monetarias de la Fed y del BCE

Fuente: Fed, BCE, Bloomberg y elaboración propia

¿Permisividad o “deseo”? Podemos pensar en este segundo. El nivel de endeudamiento público es tan elevado que los bancos centrales han modificado el agente prioritario en su política monetaria: del ahorrador al endeudado. De políticas monetarias que imponían tipos de interés reales positivos (esto es, tipos nominales por encima de la inflación), a otras que priorizan tipos reales negativos. De una orientación de los bancos centrales a favor del mantenimiento del poder adquisitivo del ahorrador, a otra en la que el objetivo principal es el crecimiento con la intención de reducir el endeudamiento público, que se ha intensificado como consecuencia de la crisis financiera (2008-2012) y la crisis COVID19. Pero es que, además, nos enfrentamos a un nuevo reto que exigiría un importante desembolso de dinero: evitar el cambio climático. En esto los bancos centrales han exhibido su compromiso para ayudar a la financiación en condiciones ventajosas. Por un lado, mediante el mantenimiento de los tipos de interés en niveles reducidos (y por debajo de la inflación). Por el otro, mediante la persistencia de los programas de compra de activos de renta fija. Éstos, iniciados por la Reserva Federal de EEUU como reacción a la quiebra de Lehman Brothers en 2008⁸ se han considerado, hasta ahora, política monetaria no convencional. Pero he aquí otro de los cambios en la batería de herramientas de los bancos centrales: la adquisición de bonos a vencimiento (quantiative easing) es ya un recurso convencional más que permite anticipar tipos de interés bajos durante los próximos años. Otras de esas medidas que se han instaurado como convencionales son la “orientación futura sobre los tipos de interés” (forward guidance) así como la inyección de liquidez a plazos largos (2/3 años) a las entidades financieras⁹.

Tipo de interés a 12 meses del USD e inflación en EEUU

Fuente: Fed, Bloomberg y elaboración propia

Tipo de interés a 12 meses del EUR e inflación en la UME

Fuente: BCE, Bloomberg y elaboración propia

En conclusión, los últimos 6 meses han servido para ganar mucha visibilidad sobre el frente COVID, al tiempo que la prima por riesgo geostratégico se ha moderado. Dos factores negativos sobre el crecimiento económico que se ha liberado, permitiendo una fuerte reactivación de la economía mundial. Tras la crisis observada entre febrero y junio (o diciembre en la UME), inédita por su magnitud en un período tan corto de tiempo, la recuperación ha sido casi igual de rápida. A ello han contribuido los ingentes estímulos monetarios y fiscales. El hecho de que esta crisis no se haya generado por desequilibrios, sino por la decisión de las autoridades de “parar el motor”, en una estrategia que ha priorizado la salud a la economía, permite entender también el ritmo de recuperación. Y, por el último, la dotación tecnológica, que ha servido para mitigar el impacto negativo de los confinamientos en las horas trabajadas o el consumo de las familias, por ejemplo. El escenario para el PIB en los próximos 12/24 meses es de un fuerte crecimiento, acompañado de un repunte de la inflación que, no obstante, no será intenso. Cierto que en la actualidad es importante, sobre todo en EEUU, pero existe consenso en considerar que será coyuntural. Es verdad que la tasa de inflación se puede situar en los 2/3 próximos años por encima del 2,0% pero he aquí uno de los grandes cambios de los últimos años: los bancos centrales han modificado la definición cuantitativa de su objetivo de inflación. Ahora serán más permisivos. Es más, ahora son más partidarios de un crecimiento de los precios en la zona 2,0%-2,5% que en el rango 1,5%-2,0%. Los bancos centrales priorizan ahora el crecimiento del PIB a la inflación; su prioridad son ahora los endeudados en lugar de los ahorradores. Éstos se van a enfrentar a unos tipos de interés estables en zona de mínimos (-0,5% - 1,5%) con una inflación repuntando (2,0% - 2,5%). Tipos de interés reales negativos (-1,0% - 2,5%) que puede incentivar pasos hacia una mayor asunción de riesgos por parte de los agentes. ¿La semilla de la próxima crisis?

Evolución de los tipos de interés de referencia

Fuente: Bloomberg

0. La importancia progresiva de los riesgos tecnológicos

En el contexto actual de mercado, la Ciberseguridad se ha convertido en un elemento transformacional prioritario que debe abordarse desde una perspectiva estratégica en todas las organizaciones. Existen diferentes factores que han contribuido a que esto sea así. En primer lugar, la evolución tecnológica a la que se enfrentan todos los sectores está transformando su actividad e incrementando el perfil de riesgos tecnológicos asumidos. En segundo, la profesionalización de los atacantes, debida a una mayor capacidad de monetización de sus actividades fraudulentas, ha multiplicado tanto los incidentes de seguridad como los impactos derivados de los mismos. En este sentido, el ataque al Banco de Bangladesh en 2016 y, sobre todo, el incidente global Wannacry de 2017, supusieron señales difíciles de ignorar. Por último, ambos factores han derivado en una evolución normativa muy relevante que condiciona de manera profunda la actividad empresarial.

Todo esto ha llevado a que los cinco primeros riesgos considerados por los auditores internos en empresas globales sean riesgos tecnológicos:

Fuente: Risk in focus 2020, Hot topics for internal auditors, elaborado con información aportada por más de 500 directores de Auditoría Interna de las principales organizaciones europeas

El sector asegurador no ha sido una excepción a esta tendencia, sufriendo importantes incidentes en los últimos dos años y recibiendo del regulador nuevas guías a las que adaptarse. El objetivo de este artículo es dar algunas claves para la gestión ordenada de estos riesgos y esbozar el papel de los actuarios en dicha gestión.

1. Definición de riesgos tecnológicos

A pesar de no existir una definición única, las Directrices de la EBA sobre gestión de riesgos de TIC y de seguridad (EBA-GL-2019-04-ES.pdf (bde.es)) incluían desde sus primeros borradores una taxonomía inicial que resulta muy útil para delimitar el alcance de la actividad de gestión. En concreto, incluye cinco tipologías de riesgos: i) Seguridad, ii) Continuidad de Negocio, iii) Gestión del cambio, iv) Externalización y v) Integridad de la información.

Los dos primeros elementos de esa taxonomía son riesgos primarios, dado que ambos se definen a partir de sus efectos, no de sus causas raíz, y por ello engloban al resto. El riesgo de seguridad o ciberseguridad es la posibilidad de tener pérdidas financieras derivadas del acceso, modificación fraudulenta o publicación de información confidencial utilizada en los procesos de negocio o soporte de una compañía. El riesgo de continuidad de negocio es, de manera paralela, la posibilidad de tener pérdidas financieras derivadas de la indisponibilidad de los sistemas informáticos necesarios para la ejecución de dichos procesos. Incluir la mención a las pérdidas financieras no es casual. Estos riesgos tienen una capacidad disruptiva muy relevante que se puede medir y se debe mitigar como parte de la gestión de la solvencia económica de una compañía.

La transformación digital acelerada de los últimos años ha aumentado la complejidad, apertura e interrelación entre los sistemas informáticos. La existencia de múltiples capas de hardware y software interconectadas implica que la aplicación de cambios muchas veces pueda producir vulnerabilidades de seguridad no cubiertas o caídas de los sistemas. El riesgo de gestión del cambio es la probabilidad de sufrir un incidente de seguridad o de continuidad de negocio por un cambio ejecutado sobre la plataforma tecnológica necesaria para la ejecución de los procesos.

Por otro lado, la presión en los costes y la aparición de nuevos modelos de servicio en la nube controlados por terceros ha aumentado notablemente la dependencia en terceros, reduciendo el control directo que se tiene sobre la tecnología utilizada. El riesgo de externalización es la probabilidad de sufrir incidentes de seguridad o de continuidad de negocio en tecnologías gestionadas por terceros.

Por último, el riesgo de tomar decisiones equivocadas debido a la falta de información veraz e íntegra se conoce como riesgo de integridad de la información. Sin embargo, su gestión suele tener matices diferentes por lo que se suele excluir de ámbito de acción de los riesgos tecnológicos, teniendo entidad propia bajo la responsabilidad de los Chief Data Officers de cada compañía.

2. Contexto normativo. Guías y directrices, pero de obligado cumplimiento

La importancia de los riesgos mencionados ha llevado a los diferentes reguladores a generar un volumen muy elevado de regulaciones para asegurar su gestión correcta. En este sentido, existen tanto regulaciones transversales (LGPD, NIS) como sectoriales (directrices de la EIOPA) o requerimientos específicos incluidos en regulaciones más generales (PSD2). La visión global puede resultar hasta cierto punto abrumadora, pero afortunadamente existe bastante coherencia entre las diferentes normativas, lo que facilita garantizar su cumplimiento.

Visión global de regulaciones y estándares con relevancia en la gestión de riesgos tecnológicos

Las Directrices sobre gobernanza y seguridad de las tecnologías de la información y de las comunicaciones de la EIOPA (eiopa-gls-ict-security-and-governance-es.pdf (europa.eu)), son la normativa europea más reciente y relevante en el sector asegurador, siendo de obligado cumplimiento desde el 1 de julio de 2021. En ellas, la EIOPA especifica a través de veinticuatro apartados sus requerimientos de gestión del Riesgo ICT y de seguridad. De manera resumida, se puede hablar de ocho grandes impactos a tener en cuenta:

• Gobierno y estrategia: Se define la responsabilidad del Consejo de establecer un gobierno interno sólido y un marco de control interno que asigne funciones claras al personal de las organizaciones. Además, se requiere el establecimiento y comunicación de una estrategia ICT alineada con la estrategia de negocio y una gestión y mitigación de los riesgos de seguridad e ICT a través de funciones de control independientes y objetivas (garantizando la independencia de las tres líneas de defensa y reportando la segunda línea de defensa directamente al Consejo).
• Marco de gestión de los riesgos de seguridad e ICT: Se exige que las aseguradoras y reaseguradoras mantengan actualizado un inventario con sus funciones de negocio, roles, procesos de soporte y recursos de información, clasificándolos en función de su criticidad en términos de confidencialidad, integridad y disponibilidad, y que evalúen periódicamente los riesgos operacionales relacionados con los riesgos de seguridad e ICT, con impacto sobre la organización. Además, se requiere la ejecución periódica de auditorías sobre la gestión y gobierno de los riesgos ICT.
• Política de la seguridad de la información: Se requiere el establecimiento de una política de seguridad de la información que recoja a alto nivel los principios y reglas para proteger la confidencialidad, integridad y disponibilidad de la información, así como los roles y responsabilidades para la gestión de los riesgos ICT. La política debe ser comunicada a todos los empleados de la organización y ser aplicable a los proveedores de servicios.
• Control de accesos: Estas directivas ponen especial foco en el control de accesos y su monitorización, estableciendo requisitos mínimos relativos a: Need-to-know, mínimo privilegio y segregación de funciones, utilización de cuentas genéricas, usuarios privilegiados, medios de autenticación, gestión de derechos de acceso, gestión de acceso remoto y establecimiento y monitorización de logs de acceso.
• Monitorización de la seguridad ICT: Se exige la implementación de procedimientos para asegurar la confidencialidad, integridad y disponibilidad de los sistemas y servicios ICT mediante la securización e implantación de mecanismos que aseguren la integridad de los activos de la organización, así como la monitorización continua y la realización de análisis periódicos para la identificación de vulnerabilidades.
• Gestión de las operaciones ICT: Se describen los requerimientos para la gestión de los proyectos ICT, incluida la adquisición, desarrollo, y mantenimiento de los sistemas y servicios ICT. Las entidades financieras deben garantizar la evaluación controlada de los cambios en su producción, comprobación, aprobación e implementación.
• Gestión de la continuidad e incidentes de seguridad: Se especifican las expectativas en relación con la gestión de la continuidad del negocio y la gestión de los incidentes de seguridad. Las aseguradoras y reaseguradoras deben garantizar que cuentan con planes y procedimientos de respuesta, recuperación y comunicación efectivos.
• Externalización de sistemas y servicios ICT: Se establece la necesidad de garantizar la adecuada gestión de los servicios externalizados, debiendo establecerse contractualmente los acuerdos de nivel de servicio, requisitos de control, derechos de acceso y auditoría, así como concretar la ubicación de los datos.

La implementación de estos requerimientos es un proceso de mejora continua que se simplifica con un modelo de referencia claro y ordenado, la identificación de los gaps con respecto a ese modelo y la elaboración de un plan de mitigación en sucesivas iteraciones.

3. Modelo de referencia. Un punto de partida ordenado

Contrariamente a lo que sucede en otros ámbitos, la gestión de riesgos tecnológicos dispone de muchos marcos de referencia y literatura asociada que permitan optimizar dicha gestión en nuestra compañía. De hecho, existen tal cantidad de marcos, regulaciones y buenas prácticas que puede ser complicado sintetizar un plan de acción. Sin embargo, todos ellos pueden analizarse desde tres ejes: estrategia, gobierno y organización, mitigación del riesgo, medición y monitorización.

3.1. Estrategia, gobierno y organización

La estrategia de riesgos tecnológicos parte de una especificación de alto nivel del apetito a dichos riesgos dentro de la organización. Adicionalmente, debe estar alineada con la estrategia de negocio y la estrategia de sistemas a las que condiciona. Por ello, desde el punto de vista de gobierno, es la alta dirección, tanto a nivel ejecutivo como del propio Consejo de Administración, quien tiene la responsabilidad de definirla y de dotar a la organización de los recursos necesarios para ejecutarla. Los responsables de seguridad y sus contrapartidas en las segundas líneas de defensa reciben el encargo y los medios para materializar ese apetito en medidas mitigantes concretas, crear un marco normativo interno adecuado y medir su efectividad para identificar y corregir desviaciones.

3.2. Protección, detección y respuesta

Los responsables de seguridad se encargan de la mitigación del riesgo tecnológico, de manera que éste cumpla con el apetito al riesgo de la organización. Para ello, realizan cinco tareas fundamentales:

• Identificar: Definir qué sistemas y entornos necesitan protección, su nivel de relevancia y las amenazas a las que están expuestos.
• Proteger: Definir e implementar medidas de seguridad que reduzcan la probabilidad de ocurrencia de un evento o contengan su impacto. Se consigue mediante la implantación de controles que reducen la probabilidad de ocurrencia de un evento (ej: firewalls) o su impacto (ej: copias de seguridad).
• Detectar: Definir e implementar las actividades y controles para alertar ante la ocurrencia de un evento de ciberseguridad. Esta tarea es fundamental para minimizar los impactos. Muchos eventos comienzan meses antes de la materialización del impacto de manera inadvertida.
• Responder: Ejecutar acciones durante un incidente que reduzcan su impacto global. Una respuesta coordinada y efectiva puede ser tan o más importante que la implantación de controles. La carencia de canales de comunicación o roles y prioridades claras en una situación de emergencia puede multiplicar el efecto de un incidente.
• Recuperar: Proceso para el restablecimiento de la situación anterior al incidente. Implica tanto la recuperación de los sistemas afectados como el análisis forense de las causas raíz y la implementación de nuevas medidas que optimicen la estrategia de defensa.

3.3  Medición y Reporting

Establecer un esquema de mejora continua requiere la medición y reporte del riesgo, punto en el que los actuarios pueden tener un papel fundamental por su conocimiento metodológico, de negocio y su independencia con la primera línea de defensa. Para ello, deben apoyarse en tres pilares:

• Trazabilidad de los procesos y la arquitectura tecnológica de soporte: La probabilidad de ocurrencia de un evento depende de las amenazas a las que está expuesta la tecnología y a los controles técnicos implantados. Los impactos, sin embargo, dependen de los procesos afectados por un incidente. La correcta vinculación entre ambos permite una medición adecuada.
• Inteligencia, indicadores de madurez e información histórica: Al contrario que con otros riesgos, es poco fiable realizar una estimación del riesgo basada en la historia de incidentes de la organización. Estos eventos son muy poco frecuentes, tienen un impacto muy elevado, se producen por causas que varían en periodos de tiempo muy cortos y tras ellos se producen cambios significativos en la estrategia de defensa. Por ello, la inteligencia proporcionada desde la primera línea con las amenazas más relevantes activas y la evaluación del grado de madurez de los controles implantados son los inputs más significativos. La información histórica es, en este caso, útil como backtest de la medición.
• Metodología de medición: Se debe dispone de una metodología de valoración de riesgos que permita priorizar la criticidad de estos mediante criterios de impacto y probabilidad, teniendo en cuenta los riesgos inherentes a partir de las amenazas identificadas y considerando la madurez de los controles para obtener el riesgo residual. A pesar de que históricamente han primado las aproximaciones cualitativas, la traducción a importes económicos mediante metodologías cuantitativas de riesgo operacional está siendo una tendencia importante en el mercado, dado que permite expresar de manera más comprensible el riesgo a la alta dirección, simplificando la toma de decisiones.

4. Conclusión: El papel de los actuarios ante uno de los riesgos más disruptivos

La gestión de los riesgos tecnológicos se está convirtiendo en uno de los retos más relevantes para asegurar la solvencia y la continuidad de una compañía. Su mitigación requiere un proceso de mejora continua ágil que permita adaptarse a situaciones y amenazas casi en tiempo real. La involucración de la alta dirección es fundamental para definir una estrategia adecuada. De hecho, es un requerimiento de la regulación vigente.  Para que esa involucración sea efectiva deben disponer de información comprensible y bien estructurada que vincule las medidas de mitigación con su conocimiento del negocio. El papel de los departamentos de riesgo para medir y transmitir ese riesgo entre los diferentes intervinientes es crítico para asegurar una gestión correcta del mismo.