Regulación aplicable, de la circular al plazo interno

La norma dice qué debe lograrse y en cuánto tiempo; la política interna dice cómo lo cumple el banco; el procedimiento dice quién hace qué. Si la política pone un plazo mayor que el de la norma, la política está mal, aunque el equipo la cumpla al pie de la letra.

Cada jurisdicción tiene sus propias reglas. En la Unión Europea, por ejemplo, el reglamento DORA (Reglamento UE 2022/2554) exige a las entidades financieras un programa de pruebas de resiliencia que incluya, entre otras, evaluaciones y escaneos de vulnerabilidades (artículo 25). Los laboratorios de esta sala usan un regulador y unas circulares inventados, para no mezclar el ejercicio con texto legal real. Lo que se practica es el método: leer una obligación, decidir si toca tu trabajo y compararla con lo que el banco dice que hace.

Abre obligaciones.csv. La columna aplica ya resume el criterio del glosario: si es «si», la obligación exige algo que se hace con la gestión de vulnerabilidades (inventario, priorización, plazos de corrección, pruebas o informes); si es «no», la cumple otro equipo.

Cuenta cuántas obligaciones de la tabla aplican. Es la lista que el analista recibe como compromiso.

Entre las obligaciones que sí aplican hay una con el plazo más corto: es la que menos margen deja y la que debe vigilar la cola de avisos. Cuidado con una obligación con un plazo aún más corto que no aplica a este trabajo: es de otro equipo y no se cuenta aquí.

Compara politica-interna.csv con la tabla de obligaciones. Cada fila de política corresponde a una obligación del mismo tema y de los mismos sistemas. Una de ellas pone un plazo mayor que el máximo de la norma: aunque el equipo la cumpla, el banco incumpliría la circular.

Cuando la política es más permisiva que la norma, no se modifica la norma ni se espera a la próxima auditoría: se corrige la política al plazo de la norma o a uno más estricto, se deja constancia del cambio con su fecha y se avisa a los equipos que trabajan con el plazo anterior. Mientras tanto, la cola se gestiona con el plazo de la norma.