El estudio de ICEA y Babel revela que el 92% de las entidades ha incrementado el esfuerzo en cumplimiento regulatorio, impulsado por la presión supervisora y la complejidad tecnológica.
Durante años, el cumplimiento normativo ha sido, en gran medida, un ejercicio documental. Las organizaciones adaptaban procedimientos, preparaban evidencias y respondían a auditorías cuando era necesario. Hoy ese modelo empieza a quedarse atrás. La consolidación de un marco regulatorio cada vez más exigente, con normas como DORA, el Reglamento Europeo de Inteligencia Artificial (AI Act), NIS2 o la evolución de Solvencia II está cambiando las reglas del juego y obligando a las organizaciones a demostrar, de forma continua, que cumplen con un entorno regulatorio cada vez más exigente.
Así se desprende del estudio elaborado por ICEA, con la colaboración de Babel. El informe concluye que el 92% de las entidades ha incrementado durante el último año el esfuerzo dedicado al cumplimiento regulatorio. Entre las principales causas. El 65% señala una mayor presión supervisora y el 55% apunta a la creciente complejidad tecnológica como factores que están elevando la carga de trabajo.
Juan Cornago, director de Ciberseguridad de Babel
El cambio más importante no está en la cantidad de regulación, sino en la forma en que las organizaciones tendrán que gestionarla a partir de ahora. “Hasta hace relativamente poco, el objetivo era demostrar el cumplimiento cuando llegaba una auditoría o un requerimiento. Ese planteamiento está cambiando. Las organizaciones necesitan disponer de evidencias actualizadas, trazables y fácilmente reutilizables porque el cumplimiento deja de ser un ejercicio puntual para convertirse en una capacidad permanente”.
La transformación no afecta únicamente a los departamentos de cumplimiento o de asesoría jurídica
Las distintas regulaciones comparten, en muchos casos, procesos, controles, datos y evidencias. Gestionarlas de forma aislada multiplica el esfuerzo operativo, genera duplicidades y dificulta la capacidad de respuesta. Para Babel, el objetivo debería ser pasar de gestionar normas a gestionar un sistema común de controles y evidencias. Una organización madura debería preguntarse ¿Qué capacidades, riesgos, controles y evidencias necesito gestionar y qué obligaciones regulatorias cubre cada una?
El estudio refleja que el sector ya ha comenzado esa transformación
Ocho de cada diez aseguradoras afirman disponer de una visión integrada del impacto que las principales regulaciones tienen sobre sus procesos y más de la mitad trabaja con modelos comunes para gestionar conjuntamente riesgos, controles y obligaciones regulatorias. Sin embargo, la automatización sigue siendo desigual y todavía son minoría las entidades capaces de reutilizar evidencias entre distintas normativas, auditorías y funciones de control. Para Babel, es precisamente ahí donde comienzan a marcarse las diferencias entre las organizaciones que siguen gestionando el cumplimiento de forma reactiva y aquellas que lo están convirtiendo en una capacidad estructural del negocio.
“El objetivo no debería ser construir un modelo de cumplimiento diferente para cada regulación. Las organizaciones más avanzadas serán aquellas capaces de trabajar sobre un marco común de riesgos, controles y evidencias, reutilizándolo frente a distintas obligaciones regulatorias, permitiendo reducir esfuerzo, mejorar la trazabilidad y responder con mucha más rapidez a nuevos requerimientos”, explica Cornago.
La inteligencia artificial también empieza a formar parte de ese proceso
Dos vertientes:
- Objeto de regulación.
- Tecnología que permita automatizar y mejorar el cumplimiento.
El 77% de las entidades aseguradoras ya trabaja en iniciativas relacionadas con la adaptación al Reglamento Europeo de Inteligencia Artificial (AI Act) y el 95% mantiene programas de formación en automatización, inteligencia artificial y cumplimiento normativo digital. Para Babel, estos datos muestran que la regulación ya no puede abordarse únicamente desde un área jurídica o de cumplimiento, sino que exige una colaboración cada vez más estrecha entre negocio, tecnología, operaciones y gobierno del dato.
La automatización deja de entenderse únicamente como una herramienta para ganar eficiencia. También se convierte en un mecanismo para reducir errores, reforzar la trazabilidad y liberar recursos que hoy siguen dedicándose a tareas manuales con escaso valor añadido.
“Durante mucho tiempo la conversación giró alrededor de cómo cumplir una regulación concreta. Ahora la pregunta empieza a ser otra: cómo construir organizaciones capaces de responder de forma simultánea a múltiples exigencias regulatorias sin que cada nueva norma suponga empezar de cero. La ventaja no estará simplemente en automatizar tareas, sino en construir una capacidad de adaptación regulatoria. Las organizaciones que sepan identificar rápidamente el impacto de una nueva obligación, asociarla a controles existentes y generar evidencias de forma automatizada podrán responder antes, con menor coste y con mayor seguridad”, concluye el ejecutivo.
El futuro del cumplimiento no consiste en gestionar cada regulación por separado, sino en construir una capacidad permanente para identificar obligaciones, asociarlas a riesgos y controles, generar evidencias y demostrar el cumplimiento de forma continua. Existe una nueva evolución que consiste en trabajar del cumplimiento normativo al cumplimiento demostrable y del cumplimiento demostrable a la resiliencia regulatoria.