Instituciones Financieras

En una entidad financiera la exposición se ha desplazado del balance a la operativa diaria: al proceso que atiende al cliente, al proveedor que sostiene ese proceso y al acta que aprobó seguir haciéndolo así. Cada uno de esos tres puntos tiene su propio reclamante, y rara vez comparten calendario.

Por dónde entra el siniestro

Resiliencia operativa, riesgo de terceros y responsabilidad del consejo

Lo que decide el expediente

La reclamación del cliente, el expediente del supervisor y la acción contra el consejo comparten límite

Rara vez comparten interlocutor y casi nunca llegan a la vez, y sin embargo se apoyan sobre la misma capacidad contratada: el orden de llegada acaba fijando cuánto queda para el tercero. Contratar esa capacidad por capas, con una cobertura reservada al consejero por encima de la general, es lo que mantiene límite disponible cuando el programa lleva ya dos expedientes abiertos.

Side A, Side B y Side C dentro de un mismo programa
El Side B reembolsa a la entidad lo que adelanta por sus directivos y el Side C la cubre a ella misma, de modo que ambos consumen el límite que también protege a la persona. Un Side A en exceso, reservado al consejero, mantiene disponible una capacidad propia para su defensa por encima de la que comparten sociedad y directivos.
Resiliencia operativa y proveedor tecnológico crítico
El Reglamento (UE) 2022/2554, conocido como DORA, obliga a registrar, contratar y vigilar a los proveedores de servicios TIC esenciales, y la incidencia de uno de ellos abre expediente sobre la entidad. La defensa ante el supervisor la asume la garantía regulatoria de la póliza de ciber; la pérdida por la parada solo se indemniza cuando la extensión a proveedores está escrita.
La reclamación por la idoneidad del producto colocado
Cuando la queja se dirige a la idoneidad de lo que se recomendó, y a si el perfil del cliente admitía ese producto, el asunto entra en la responsabilidad civil profesional de la entidad. El servicio de atención al cliente resuelve el primer tramo y deja constancia del criterio aplicado, y esa constancia es la que después ordena la defensa ante el supervisor y ante el juzgado. Documentar el test de idoneidad en el momento de la venta es lo que sostiene ambas posiciones.
Ingeniería social e infidelidad de empleados, dos coberturas distintas
En el fraude por ingeniería social se engaña a un empleado para que autorice un pago con credenciales legítimas y sin intrusión técnica; la garantía suele vivir por sublímite dentro de la póliza de ciber y casi siempre exige acreditar un procedimiento de doble verificación. En la infidelidad es el propio empleado quien actúa en su beneficio, y ese supuesto corresponde a la póliza de fidelidad o al bono global bancario. Cada una excluye lo que cubre la otra, de modo que ambas redacciones se leen juntas antes de la renovación.

Qué se contrata aquí

Las coberturas que sostienen a una empresa de este sector

Cada una se diseña sobre la exposición real de la compañía. Ninguna se contrata igual en dos empresas del mismo sector.

Preguntas frecuentes

Lo que nos preguntan en instituciones financieras

Ya tenemos una póliza de consejeros y directivos. ¿Por qué contratar además un Side A separado?

Porque el D&O ordinario reparte un mismo límite entre tres destinos: la defensa del directivo, el reembolso a la sociedad que le indemniza y la cobertura de la propia entidad. Un procedimiento largo puede consumir esa capacidad, y el Side A en exceso reserva límite para la defensa del consejero en el supuesto en que la sociedad no pueda indemnizarle.

¿Cubre la póliza de ciber una sanción del supervisor?

La garantía de defensa y sanciones regulatorias asume la dirección jurídica del expediente. La respuesta al incidente la ordena el panel de la póliza y la pérdida por la parada corresponde a la garantía de interrupción de red: son tres sublímites distintos y se miran juntos, porque ahí se concentra el gasto. La sanción en sí se cubre en la medida en que sea legalmente asegurable en la jurisdicción aplicable, de modo que la redacción concreta del contrato se lee antes de darla por incluida.

¿Qué se comprueba cuando el servicio depende de un proveedor tecnológico?

El reglamento DORA obliga a mantener el registro de información de todos los acuerdos con proveedores de servicios TIC, a identificar cuáles sostienen funciones esenciales y a conservar en cada contrato derechos de acceso, auditoría y salida ordenada. Ante el cliente y ante el supervisor responde la entidad, de modo que la conversación con el asegurador empieza por ese registro: quién entra en él, con qué clasificación y con qué tiempo de recuperación comprometido por escrito.

Conocimiento