Nearshoring en Portugal y DORA: primero el contrato

Nearshoring · 4 min

Para bancos, aseguradoras y otras entidades financieras de la UE, un equipo en Portugal implica cláusulas DORA. Descubra cómo clasificar funciones, fijar ubicaciones y preparar la salida.

Nearshoring en Portugal y DORA: primero el contrato

TL;DR

Un equipo de nearshoring que presta servicios TIC a una entidad financiera de la UE puede quedar sujeto a las normas del DORA relativas a proveedores terceros, en función del modelo contractual y de las actividades desarrolladas.
Clasificar primero si el servicio soporta funciones críticas o importantes determina el nivel de exigencia contractual.
Las ubicaciones de prestación y de tratamiento de datos, así como la subcontratación, deben quedar explícitas en el contrato.
Niveles de servicio medibles, derechos de auditoría y devolución de datos hacen que la relación sea supervisable.
La estrategia de salida debe diseñarse al inicio, no al final del contrato.

Elegir Portugal es también elegir un contrato supervisado

Para un banco, una aseguradora o una entidad de pago de otro Estado miembro, evaluar un equipo de nearshoring en Portugal implica algo más que talento, coste y proximidad. Desde el 17 de enero de 2025, el Reglamento (UE) 2022/2554, conocido como DORA, se aplica a las entidades financieras de la UE y enmarca la forma en que contratan a terceros servicios de tecnologías de la información y la comunicación (TIC). Dependiendo del modelo contractual y de las actividades efectivamente prestadas, un equipo externo que desarrolla, opera o da soporte a sistemas de una entidad financiera puede encuadrarse en una relación con un proveedor tercero de servicios TIC a efectos del DORA. Por ello, conviene distinguir la contratación de servicios TIC de la mera puesta a disposición de recursos humanos, evaluando el encuadre concreto de cada relación. En ese escenario, el contrato deja de ser solo un instrumento comercial y pasa a formar parte de la gestión de riesgos. La pregunta útil para quien decide es cómo diseñar el acuerdo y el equipo para que el cumplimiento normativo no tenga que reconstruirse después del arranque.

La clasificación de la función define el nivel de exigencia

El artículo 30 del DORA establece un conjunto de disposiciones contractuales mínimas aplicables a los acuerdos de utilización de servicios TIC incluidos en el reglamento, y prevé requisitos adicionales cuando esos servicios soportan funciones críticas o importantes. Un equipo que mantiene herramientas internas de bajo impacto y otro que opera la plataforma de pagos no se sitúan en el mismo nivel. Esta clasificación corresponde a la entidad financiera y debe anteceder a la negociación, porque condiciona las cláusulas, la información que debe registrarse y el esfuerzo de supervisión. Es una buena práctica articularla con el modelo operativo del nearshoring, de modo que el reparto de responsabilidades refleje el riesgo de cada servicio.

Ubicación y subcontratación deben constar por escrito

El contrato debe identificar claramente las funciones y los servicios TIC prestados, indicar si se permite la subcontratación de servicios que soportan funciones críticas o importantes, o de partes significativas de dichos servicios, y establecer las condiciones aplicables conforme al marco regulatorio. Debe identificar además las regiones o los países donde se prestan los servicios y donde se tratan y almacenan los datos, y prever la comunicación previa de cambios en esas ubicaciones. En el nearshoring, esto obliga a mapear mucho más que la dirección de la oficina: trabajo remoto, otros centros de entrega del proveedor, profesionales independientes y herramientas de colaboración alojadas en otros territorios. El hecho de que Portugal pertenezca a la Unión Europea puede simplificar el análisis de las obligaciones de protección de datos, pero no exime de estas cláusulas ni de la verificación de las herramientas utilizadas por el equipo.

Niveles de servicio y auditoría hacen la relación verificable

Para los servicios TIC que soporten funciones críticas o importantes, el reglamento exige descripciones de los niveles de servicio con metas cuantitativas y cualitativas precisas, obligaciones de comunicar los desarrollos con impacto material y derechos de acceso, inspección y auditoría a favor de la entidad financiera, de terceros designados por ella y de las autoridades competentes, en los términos aplicables. En la práctica, las métricas de un equipo de nearshoring deben medir resultados y disponibilidad, y no solo horas facturadas. Los registros de acceso, la evidencia de controles y los informes periódicos facilitan la supervisión, en una línea de razonamiento cercana a la que defendemos en evidencia antes de la escala.

La salida se prepara desde el primer día

Los contratos comprendidos en el artículo 30 deben prever mecanismos que aseguren el acceso, la recuperación y la devolución de los datos personales y no personales, en un formato fácilmente accesible, en caso de insolvencia, resolución o interrupción de las operaciones del proveedor de servicios TIC, o de terminación del acuerdo contractual. Cuando los servicios TIC soportan funciones críticas o importantes, se añaden requisitos específicos relativos a las estrategias de salida, incluidos períodos de transición adecuados que permitan reducir el riesgo de interrupción de los servicios. Además, las entidades financieras deben mantener y actualizar un registro de información sobre los acuerdos contractuales relativos a la utilización de servicios TIC prestados por terceros, y ponerlo a disposición de las autoridades competentes en los términos reglamentarios aplicables. Para un equipo externo, la reversibilidad exige, entre otros aspectos, conocimiento documentado: runbooks, documentación de arquitectura, gestión adecuada de los accesos y mecanismos que aseguren la transferencia de conocimiento y la continuidad operativa. Quien evalúe un modelo de outsourcing de informática puede tratar estos elementos como criterios de selección del proveedor.

Cumplimiento diseñado, no añadido

El DORA no impide el nearshoring en Portugal, pero condiciona la forma de contratarlo y operarlo. La exigencia varía según el tipo de entidad, la criticidad de las funciones, el principio de proporcionalidad y la interpretación de la autoridad de supervisión competente, por lo que las cláusulas deben revisarse con los equipos jurídico y de cumplimiento. Clasificar funciones, explicitar ubicaciones, medir el servicio y preparar la salida desde el principio puede ayudar a reducir el riesgo de ajustes tardíos y costosos.