La resiliencia operativa FCA SYSC 15A es el conjunto de normas con el que una entidad de dinero electrónico o de pago del Reino Unido demuestra que mantiene sus servicios de negocio importantes dentro de la tolerancia al impacto ante una interrupción grave pero plausible. El periodo transitorio terminó el 31 de marzo de 2025, y la FCA espera ya un marco en funcionamiento. Reunimos sus servicios importantes, tolerancias, mapeo y pruebas en una autoevaluación que su consejo puede aprobar con confianza.
SYSC 15A se aplica directamente a las entidades de dinero electrónico, a las entidades de pago y a los proveedores registrados de información sobre cuentas. Quedan fuera las empresas de los regímenes temporales (TP, TA PI, TA RAISP y TA EMI).
Las normas entraron en vigor el 31 de marzo de 2022, con plazo hasta el 31 de marzo de 2025 para completar el mapeo y las pruebas. Hoy es un requisito de supervisión ordinario.
Para una EDE que aún solicita la autorización, el regulador quiere ver cómo gestionará las interrupciones desde el primer día. Nuestro equipo de licencias EDE en el Reino Unido lleva la solicitud y el diálogo con el regulador, y nosotros cubrimos la parte de TI y operaciones.
La empresa identifica sus servicios de negocio importantes y fija para cada uno una tolerancia al impacto, el límite de interrupción que acepta. Después documenta las personas, procesos, tecnología, instalaciones e información de los que depende cada servicio.
En una empresa de pago, los candidatos típicos son ejecutar pagos, emitir y reembolsar dinero electrónico y el acceso de los clientes a sus cuentas. Para fijar la tolerancia, la orientación de la FCA (SYSC 15A.2.7G) señala factores como el número de clientes afectados, la naturaleza del impacto y la pérdida de funcionalidad o de acceso.
SYSC 15A.4.1R exige documentar todo lo necesario para prestar cada servicio: el banco de salvaguarda, el procesador, la nube, el proveedor de KYC y el personal clave. Construimos el mapa a partir de sus contratos y diagramas reales, marcamos los puntos únicos de fallo y mostramos dónde una tolerancia es hoy inalcanzable.
La empresa mantiene un plan de pruebas y usa escenarios para comprobar que cada servicio importante se mantiene dentro de la tolerancia ante una interrupción grave pero plausible. Tras cada prueba o interrupción real extrae lecciones y corrige las debilidades.
La orientación de la FCA (SYSC 15A.5.6G) enumera escenarios a considerar: corrupción, borrado o manipulación de datos críticos; pérdida de instalaciones o de personas clave; fallo de proveedores terceros; perturbación de otros participantes del mercado; y pérdida de la tecnología de la que depende el servicio.
Según SYSC 15A.5.7R, las pruebas se repiten tras un cambio material del negocio, de los servicios o de las tolerancias, tras las mejoras derivadas de una prueba anterior y, en todo caso, con regularidad. Redactamos los escenarios a partir de su mapeo, hacemos ejercicios de simulación con su equipo y registramos los resultados para la autoevaluación.
La empresa mantiene una autoevaluación escrita de su cumplimiento de SYSC 15A, conserva cada versión al menos seis años y la entrega a la FCA cuando la pide. El órgano de gobierno la aprueba y la revisa con regularidad.
La autoevaluación reúne servicios importantes, tolerancias, mapeo, pruebas, lecciones aprendidas y plan de mejora, junto con la estrategia de comunicación ante una interrupción (SYSC 15A.8).
Aparte de SYSC 15A, cada proveedor de servicios de pago envía a la FCA, al menos una vez al año, una evaluación actualizada de sus riesgos operativos y de seguridad y de la idoneidad de sus controles, conforme al reglamento 98 de las Payment Services Regulations 2017. Construimos ambas sobre una misma base para que sean coherentes.
La FCA publicó la PS26/2 el 18 de marzo de 2026, y sus normas entran en vigor el 18 de marzo de 2027. Las EDE y entidades de pago autorizadas notificarán a la FCA sus acuerdos materiales con terceros y presentarán cada año un registro de ellos.
Las normas de notificación de incidentes operativos alcanzan a los proveedores de servicios de pago. El mapeo de SYSC 15A se convierte en la base del registro de acuerdos materiales, así que conviene preparar ambos a la vez.
| Requisito | Qué significa | Fuente |
|---|---|---|
| SYSC 15A se aplica a EDE, entidades de pago y RAISP (SYSC 15A.1.1R(3)); excluidas las empresas TP y TA (15A.1.3R) | Una empresa de pago autorizada en el Reino Unido debe cumplir el capítulo | FCA Handbook, SYSC 15A.1 |
| Normas en vigor desde el 31 de marzo de 2022; plazo hasta el 31 de marzo de 2025 para operar dentro de la tolerancia | La transición terminó y la FCA espera un marco en funcionamiento | FCA, Operational resilience |
| Identificar los servicios de negocio importantes (15A.2.1R) y fijar una tolerancia al impacto para cada uno (15A.2.5R) | La empresa decide qué servicios cuentan y lo justifica en la autoevaluación | FCA Handbook, SYSC 15A.2 |
| Plan de pruebas y pruebas de escenarios (15A.5.1R, 15A.5.3R), repetidas tras cambios y con regularidad (15A.5.7R) | Las pruebas se repiten según un plan y tras cada cambio material | FCA Handbook, SYSC 15A.5 |
| Autoevaluación escrita, cada versión conservada 6 años, entregada a la FCA a petición (15A.6.1R, 15A.6.2R) | El documento principal que pedirá el supervisor | FCA Handbook, SYSC 15A.6 |
Sí. SYSC 15A.1.1R(3) nombra a las entidades de dinero electrónico, a las de pago y a los proveedores registrados de información sobre cuentas; quedan fuera los regímenes temporales de SYSC 15A.1.3R. Para una empresa de pago autorizada el capítulo es obligatorio, y la FCA espera que la transición hasta el 31 de marzo de 2025 se usara para el mapeo y las pruebas.
Es el límite de interrupción que la empresa fija para cada servicio de negocio importante. Según SYSC 15A.2.9R, debe poder mantenerse dentro de él ante una interrupción grave pero plausible. La orientación de la FCA sugiere ponderar el número de clientes afectados, la naturaleza del impacto y la pérdida de funcionalidad o de acceso. La justificación va en la autoevaluación.
Según SYSC 15A.5.7R, se repiten tras un cambio material del negocio, de los servicios importantes o de las tolerancias, tras las mejoras derivadas de una prueba anterior y, en todo caso, con regularidad. La empresa fija el calendario en su plan de pruebas. Le ayudamos a construir un plan que pruebe cada servicio importante con escenarios acordes con sus dependencias reales.
El precio depende del número de servicios de negocio importantes, del número de proveedores en el mapeo, del estado de sus documentos y de cuántas pruebas haya que realizar. Tras una consulta de pago de 30 minutos fijamos el alcance y un precio cerrado en una carta de alcance. Las preguntas posteriores sobre esos mismos documentos quedan incluidas.
Publicada el 18 de marzo de 2026, entra en vigor el 18 de marzo de 2027. Los proveedores de servicios de pago quedan sujetos a las nuevas normas de notificación de incidentes operativos, y las EDE y entidades de pago autorizadas notificarán sus acuerdos materiales con terceros con un registro anual. El mapa de dependencias de SYSC 15A es un buen punto de partida.
Basta una línea. Un socio la lee y responde por escrito en 24 horas.
O escriba a hello@innovacg.com
