Responder al cuestionario de seguridad de un banco o socio de pagos

Del formulario de dos páginas a la hoja de cientos de filas, las familias se repiten.

• Gobierno. Quién responde de la seguridad, si las políticas están aprobadas, si se evalúan los riesgos.
• Accesos. Si la MFA es obligatoria, cómo se conceden y retiran permisos, quién es administrador.
• Datos. Dónde están los datos de los clientes, si están cifrados, cómo se eliminan.
• Incidentes. Si hay un procedimiento de respuesta, quién avisa al socio y en qué plazo.
• Proveedores. Qué servicios en la nube y qué proveedores tratan los datos y cómo los controla.
• Continuidad. Si hay copias de seguridad y si se ha probado la restauración.

Cuestionario de seguridad de socio: formatos habituales

Algunos bancos envían su propio formulario. Las empresas de nube y SaaS reciben a menudo el CAIQ de la Cloud Security Alliance, cuya versión 4.1 se publicó el 27 de enero de 2026. La mayoría de los formularios coincide con ISO/IEC 27001 y el NIST CSF 2.0, así que una base de respuestas verificada sirve para varios.

ISO indica que cada empresa decide si se certifica, y que el certificado lo emite un organismo de evaluación de la conformidad acreditado. Según las normas de la AICPA, un informe SOC es un examen que realiza una firma de CPA. Sin ninguno de los dos, son sus controles reales los que sostienen el cuestionario.

El coste de un sí demasiado optimista

Las respuestas pueden convertirse en declaraciones contractuales que el banco comprueba. DORA lo recoge para las entidades financieras de la UE: cuando su servicio respalda una función crítica o importante, el contrato otorga al banco derechos de acceso, inspección y auditoría (art. 30(3)(e)), y el banco fija la frecuencia de las auditorías según el riesgo (art. 28(6)). Un sí sin respaldo se convierte en un incumplimiento contractual el día de la primera auditoría.

El Reglamento (UE) 2022/2554 (DORA) exige a la entidad financiera, antes de celebrar un contrato de servicios de TIC, evaluar los riesgos del acuerdo y aplicar la diligencia debida al proveedor (art. 28(4)). Solo puede contratar con proveedores que cumplan normas adecuadas de seguridad de la información (art. 28(5)). Cada contrato de este tipo se inscribe en el registro de información de la entidad, que el supervisor puede solicitar completo (art. 28(3)).

Qué pasa del cuestionario al contrato

El artículo 30(2) enumera las cláusulas obligatorias: protección de datos, asistencia del proveedor ante un incidente de TIC, lugares donde se tratan los datos. Sus respuestas son la base de esas cláusulas.

Empresas fuera de la UE

DORA se dirige a las entidades financieras de la UE y llega al proveedor a través del contrato. Una empresa de Canadá, los Emiratos o el Reino Unido que sirve a un banco de la UE recibe las mismas preguntas. La licencia de la propia fintech la lleva nuestra práctica de cumplimiento.

1. Clasificación. Agrupamos las preguntas por familia y marcamos dónde el banco espera un anexo.
2. Carta de alcance (scope letter). Fija qué sistemas revisamos, qué documentos preparamos, los plazos y un precio cerrado. Antes de la firma no se revisa nada.
3. Contraste con los hechos. Revisamos accesos, MFA, copias, correo y nube con quienes los administran. Una persona verifica cada hallazgo.
4. Respuestas y evidencias. Formulario en el formato del banco; cada sí con un documento o captura, cada «en parte» y cada no con un plan.
5. Cierre de brechas. Corregimos lo rápido, solos o con su proveedor de TI, y actualizamos la respuesta tras revisar.

Las respuestas y los materiales le pertenecen. Si el cuestionario acompaña un expediente KYC, coordina nuestra práctica bancaria.