Confianza y ciberseguridad

La Superintendencia de Bancos e Instituciones Financieras (SBIF) realizó ayer su 4ª Conferencia de "Desarrollo, Estabilidad y Sustentabilidad de la Banca".

En la oportunidad se pusieron en discusión temas como los nuevos acuerdos de capital y liquidez de Basilea III; los mecanismos de resolución bancaria y el uso de pruebas de tensión en el manejo de riesgos; los desafíos de los nuevos desarrollos tecnológicos; la supervisión bancaria, la inclusión financiera; la banca consciente del medioambiente y la ciberseguridad.

Se trata de temas de gran relevancia y que dependen todos de un concepto fundamental para la industria financiera: la confianza. La confianza de las personas en las instituciones financieras es la piedra fundamental sobre la que se construye el sistema. No podemos hablar de sustentabilidad ni menos de estabilidad sin antes referirnos a la confianza.

La confianza se construye en base a la experiencia y al acceso que las personas tienen a los servicios financieros.

Es de la esencia del sistema financiero que las personas tengan un acceso seguro, confiable y permanente a su dinero. Por eso son tan peligrosos los riesgos operacionales y los de ciberseguridad, porque cuando estos se materializan, impactan ahí donde más duele, en la confianza del público. Así, actualmente el principal valor en riesgo de la industria financiera es su reputación.

Existen riesgos que siempre son importantes, como los financieros y crediticios, pero los riesgos operacionales y de ciberseguridad han tomado una preponderancia que debe ser atendida.

Tratándose de una materia altamente compleja, hemos emprendido como Superintendencia una ardua tarea de aprendizaje para orientar el trabajo de identificación y prevención de estos riesgos.

Las estrategias de defensa de ciberseguridad deben tener un componente preventivo muy fuerte, pero el éxito de las instituciones a largo plazo descansa en el trabajo de inteligencia que hagan: la organización debe conocer a su enemigo, entender cómo trabaja, qué es lo que lo motiva, si la búsqueda de dinero o la información.

El tamaño del desafío requiere una nueva cultura de riesgo y ambientes de control.

Debemos comprender que el problema no es que el delincuente entre en la institución, sino que la institución no sea capaz de darse cuenta cuando ocurre. En simple, las instituciones tienen que ser capaces de detectar a los ladrones cuando pasan por la puerta, pero cuando van entrando, no cuando van saliendo.

Es importante considerar que el tamaño y complejidad de estos desafíos implica incurrir en grandes costos. Para instituciones de menor tamaño esto puede significar onerosas barreras para la prestación de servicios con niveles adecuados de seguridad.

Esto hace necesaria la tercerización de servicios de redes, servidores, desarrollo de software, entre otros.

Ya que funciones de esta criticidad se entregan a terceros, se vuelve fundamental que la institución cuente con un gobierno corporativo que sea capaz de hacer las preguntas correctas.

Se puede delegar la función, pero nunca la responsabilidad. Sólo la alta administración puede asignar a estos riesgos la gravedad que tienen.

Esto es lo que se conoce como el "tone from the top" y es lo que esperamos de una industria más madura y robusta.