Cumplimiento de DORA y MiCA: por qué la aptitud mental del personal es un riesgo operativo
En resumen: Normas de la UE como DORA y MiCA exigen controles operativos sólidos, gestión de incidentes, gobernanza y continuidad de negocio. No obligan a implantar programas de salud mental para el personal, pero la fatiga y el estrés sostenido pueden contribuir a los errores humanos que esos controles pretenden evitar. Por ello, los responsables de riesgos deberían considerar la carga cognitiva y la recuperación como parte de la resiliencia operativa.
Las entidades financieras y los proveedores de servicios de criptoactivos (CASP, por sus siglas en inglés, Crypto-Asset Service Providers) que operan en la Unión Europea están sujetos a amplios requisitos operativos y de gobernanza. El Reglamento de Resiliencia Operativa Digital (DORA, por sus siglas en inglés, Digital Operational Resilience Act) y el Reglamento sobre los Mercados de Criptoactivos (MiCA, por sus siglas en inglés, Markets in Crypto-Assets Regulation) van más allá de las auditorías financieras convencionales al establecer expectativas sobre el riesgo tecnológico, la respuesta a incidentes, la gobernanza, la integridad del mercado y la continuidad.
Los equipos directivos que se preparan para una revisión regulatoria invierten mucho en ciberseguridad, sistemas de respaldo y supervisión automatizada. Sin embargo, la resiliencia operativa también depende de las personas que interpretan las alertas, toman decisiones y escalan los incidentes.
Cuando los equipos de cumplimiento y operaciones trabajan bajo una presión sostenida y sin resolver, la fatiga puede reducir la atención y ralentizar la toma de decisiones. Un especialista cansado puede interpretar mal una alerta de seguimiento relacionada con la prevención del blanqueo de capitales, el conocimiento del cliente o MiCA, mientras que un operador de tecnologías de la información y la comunicación (TIC) sobrecargado puede incumplir un hito de notificación de DORA. El estrés no constituye por sí mismo una infracción normativa, pero puede contribuir a fallos de control con graves consecuencias operativas y de supervisión.
El marco regulatorio: los puestos de alta presión como vulnerabilidades operativas
Una carga de trabajo elevada y una recuperación insuficiente pueden debilitar dos ámbitos críticos: la gestión de incidentes de TIC y las operaciones con criptoactivos.
1. DORA: resiliencia operativa digital
DORA exige que las entidades financieras incluidas en su ámbito mantengan mecanismos de gestión de riesgos de TIC, detecten y clasifiquen incidentes, notifiquen los incidentes graves relacionados con las TIC y pongan a prueba sus planes de continuidad de negocio y recuperación. Los plazos de notificación inicial pueden ser breves: en general, debe notificarse en las cuatro horas siguientes a la clasificación de un incidente como grave y, a más tardar, 24 horas después de su detección.
Si los equipos de cumplimiento y operaciones de TIC están agotados, su nivel de alerta y su velocidad de decisión pueden deteriorarse, lo que aumenta el riesgo de retrasos en la clasificación, el escalado o la notificación. Las infracciones pueden exponer a las organizaciones a medidas supervisoras y sanciones conforme a los marcos nacionales aplicables; los organismos reguladores sancionan el fallo de control, no la fatiga del personal en sí.
2. MiCA: mercados de criptoactivos
MiCA exige que los CASP pertinentes mantengan una gobernanza sólida, personal con las competencias adecuadas, controles internos, mecanismos de TIC resilientes y políticas de continuidad de negocio. También establece normas para prevenir y detectar el abuso de mercado en el ámbito de los criptoactivos.
Dado que los mercados de criptoactivos funcionan de forma continua y pueden ser muy volátiles, los CASP y las personas que organizan o ejecutan profesionalmente operaciones con criptoactivos pueden afrontar una intensa presión temporal. La fatiga puede elevar el riesgo de errores de ejecución, patrones sospechosos no detectados o retrasos en el escalado. La obligación jurídica concreta depende de la función de la organización y de la actividad de que se trate.
Cómo el estrés en negociación y cumplimiento puede contribuir a fallos de control
1. Fatiga por alertas en las operaciones de cumplimiento
Los equipos de cumplimiento pueden revisar grandes volúmenes de alertas de transacciones, controles de conocimiento del cliente (KYC, por sus siglas en inglés, Know Your Customer) y notificaciones de riesgo. La exposición repetida a un gran número de alertas puede provocar fatiga por alertas y dificultar la distinción entre señales importantes y ruido rutinario. Bajo presión para reducir el trabajo acumulado, una persona podría aprobar una transacción de alto riesgo o pasar por alto un patrón que debería investigarse.
Las obligaciones de KYC y de prevención del blanqueo de capitales (AML, por sus siglas en inglés, Anti-Money Laundering) proceden principalmente de la legislación contra el blanqueo de capitales, no solo de MiCA. Sin embargo, en la práctica las organizaciones reguladas suelen gestionar en paralelo los controles de AML/KYC, MiCA y otros sistemas de seguimiento, por lo que la carga de trabajo puede acumularse entre distintos marcos.
2. Errores de ejecución bajo alta presión
Durante periodos de volatilidad del mercado, los operadores y especialistas en riesgos procesan rápidamente grandes cantidades de información. La fatiga sostenida puede perjudicar la atención, el juicio y la regulación emocional, y aumentar así la probabilidad de errores de ejecución evitables o retrasos en el escalado. En los CASP, estos errores humanos pueden debilitar los controles internos, la vigilancia del abuso de mercado o los mecanismos de continuidad.
3. Dependencia de personas clave y rotación de personal
Los equipos de cumplimiento, negociación y TIC suelen depender de personas con conocimientos institucionales especializados. Si un responsable de cumplimiento o un operador sénior agotado abandona la organización durante una auditoría o un incidente, reemplazar esos conocimientos puede llevar meses. El resto del personal asume el trabajo, lo que puede incrementar aún más la presión y la vulnerabilidad operativa.
Integrar la aptitud mental en la estrategia de riesgo operativo
Para las organizaciones reguladas, es un error considerar el bienestar de la plantilla únicamente como un beneficio relacionado con el estilo de vida. DORA y MiCA no exigen a los empleadores que ofrezcan programas de salud mental, pero los responsables de riesgos pueden considerar razonablemente que la sobrecarga cognitiva y la fatiga son posibles factores que contribuyen al error humano.
En lugar de depender exclusivamente de programas generales y reactivos de asesoramiento, las organizaciones pueden ofrecer apoyo confidencial adaptado a las funciones de cumplimiento, negociación y TIC en equipos europeos dispersos. El éxito debe evaluarse combinando la participación, los indicadores de error humano, las ausencias, el riesgo de agotamiento y la rotación, no solo el número de inscripciones.
Medidas prácticas para responsables de Riesgos y Recursos Humanos
- Identifica los factores de estrés al evaluar las dependencias operativas. Ten en cuenta a responsables de cumplimiento, personal de negociación y gestores de incidentes de TIC al determinar dependencias humanas críticas y riesgos de carga de trabajo.
- Ofrece apoyo de salud mental con pocas barreras. Facilita al personal un acceso rápido a profesionales cualificados sin complicados procesos corporativos de admisión.
- Proporciona apoyo multilingüe en las distintas ubicaciones europeas. Recibir asistencia en el idioma preferido de cada persona puede hacer que el apoyo sea más accesible y fácil de utilizar.
- Realiza evaluaciones de riesgos psicosociales. Trabaja con un socio de confianza especializado en salud mental para identificar riesgos y convertir los resultados en medidas prácticas. En Siffi estamos a punto de lanzar una herramienta de evaluación de riesgos psicosociales diseñada para ayudar a las organizaciones a cumplir sus responsabilidades y ofrecer un apoyo significativo. Próximamente habrá más información.
Preguntas frecuentes
¿Los organismos reguladores de DORA o MiCA auditan específicamente el estrés del personal?
No. Estos reglamentos no exigen pruebas psicológicas ni obligan a implantar un programa de salud mental para el personal. Los organismos reguladores evalúan si las empresas cumplen las obligaciones aplicables de gobernanza, TIC, notificación y control. El error humano relacionado con la fatiga puede contribuir a un fallo de control, pero cualquier medida supervisora se refiere a la infracción o al control inadecuado, no al estrés en sí.
¿Por qué los puestos de cumplimiento y negociación pueden ser vulnerables al riesgo operativo relacionado con el agotamiento?
Estas funciones combinan grandes volúmenes de información, ventanas de decisión breves y consecuencias graves si se pasan por alto señales. Un breve descuido puede causar pérdidas económicas, retrasos en el escalado o el incumplimiento de un control interno.
¿Cómo puede el apoyo proactivo a la salud mental ayudar a reducir el error humano?
Un apoyo adecuado puede ayudar al personal a gestionar la carga cognitiva, establecer hábitos de recuperación y responder a una presión sostenida. Complementa —pero no sustituye— una dotación de personal adecuada, procedimientos claros, formación, automatización y una supervisión eficaz.
