El family office de 72 horas

1. INTRODUCCIÓN

Un family office es más vulnerable cuando un problema operativo ordinario se convierte en un problema de decisión. Un portal bancario falla mientras vence un archivo de nómina. El principal está de viaje cuando un pago requiere aprobación. Un incidente cibernético deja indisponible el repositorio de documentos. El personal no puede llegar a la oficina. Un custodio restringe un canal de acceso mientras los mercados se mueven. Cada evento puede ser gestionable por sí solo. El evento combinado puede exponer a una familia a obligaciones incumplidas, trabajo inseguro, instrucciones no controladas y pérdidas evitables.

Este documento desarrolla un plan operativo de crisis de 72 horas para un family office. El periodo se divide en seis ventanas de control: las dos primeras horas, de la hora dos a la seis, de la hora seis a la doce, de la hora doce a la veinticuatro, el día dos y el día tres. Cada ventana tiene un propósito definido. La primera ventana protege a las personas, las cuentas y la evidencia. La segunda establece el mando y una base de hechos fiable. La tercera asegura la liquidez y la continuidad de los servicios críticos. La cuarta valida rutas alternativas. El día dos estabiliza el modelo operativo. El día tres prepara una transición controlada a un plan de recuperación más prolongado.

El marco comienza con los servicios, no con los activos. Una cartera puede seguir siendo económicamente sólida mientras la oficina pierde acceso a instrucciones de pago, registros de custodia, autoridades delegadas, documentos de identidad o canales de comunicación. La resiliencia operativa pregunta, por tanto, qué resultados deben continuar, cuánto tiempo puede tolerarse la interrupción, qué personas y sistemas sustentan cada resultado y qué modo degradado seguro puede operar mientras la ruta principal no está disponible [1-11].

El plan abarca cinco dominios de control vinculados. La autoridad delegada determina quién puede decidir y quién puede ejecutar cuando el aprobador habitual no está disponible. El acceso a la liquidez vincula las fuentes de efectivo con las obligaciones y las vías de pago. La seguridad del personal proporciona un proceso verificado de bienestar y localización. La continuidad de datos protege los registros críticos y establece rutas de recuperación limpias. La custodia alternativa separa la titularidad de los activos, la salvaguarda, el acceso, la negociación y la liquidación, de modo que un fallo en una capa no se diagnostique erróneamente como una pérdida del propio activo [3-9,12-19].

El análisis es investigación general. No determina los requisitos legales, fiscales, regulatorios, de inversión, cibernéticos, laborales, de seguros o de seguridad de ninguna familia. Cada escenario, umbral y valor es hipotético y simplificado. Los documentos rectores, las condiciones del proveedor, las orientaciones oficiales y el asesoramiento profesional específico para cada caso siguen siendo determinantes.

2. LA DOCTRINA OPERATIVA DE 72 HORAS

2.1 Preservar la vida, la autoridad, el acceso y la evidencia

La doctrina operativa tiene cuatro prioridades en orden. Primero, confirmar la seguridad de los miembros de la familia, el personal y los contratistas esenciales. Segundo, evitar acciones no autorizadas o irreversibles. Tercero, preservar el acceso a la liquidez esencial, la información de custodia y la comunicación. Cuarto, registrar los hechos, las decisiones y la evidencia necesarios para la recuperación. Un plan que comienza con visiones de la cartera antes de que estos controles sean estables corre el riesgo de tomar decisiones con consecuencias financieras sobre una base operativa poco fiable.

El marco de continuidad de negocio de NCEMA hace hincapié en las funciones esenciales, la gestión de incidentes, los roles en crisis, la planificación de la recuperación y los ejercicios. Las normas del CBUAE exigen que las instituciones reguladas identifiquen las operaciones críticas, los roles, los objetivos de recuperación, los planes de comunicación y los escenarios de interrupción. Los marcos de resiliencia de Basilea y la FCA se centran de forma similar en los servicios importantes, las tolerancias al impacto, las dependencias, las pruebas y el aprendizaje [1-10]. Un family office puede adaptar esas disciplinas de forma proporcionada sin presentarse como un banco regulado.

La oficina debería publicar una tarjeta de activación de una página. En ella se indican el desencadenante, el nivel de crisis, el responsable de mando, el suplente, el responsable de seguridad del personal, el responsable de tesorería, el responsable de tecnología, el contacto jurídico y de cumplimiento, los canales de comunicación aprobados y la hora de la próxima actualización. También indica lo que está temporalmente prohibido: nuevos beneficiarios, nuevas instrucciones de custodia, cambios en los mandatos bancarios, pagos fuera de la cola aprobada, uso de mensajería personal no verificada y destrucción o alteración de registros.

2.2 El plan opera por ventanas

Las primeras 72 horas son lo bastante cortas como para exigir disciplina y lo bastante largas como para exponer dependencias débiles. Las ventanas operativas deben medirse desde la activación, no desde el momento en que ocurrió por primera vez un evento. Por lo tanto, el registro de activación contiene dos marcas temporales: la hora más temprana conocida del evento y la hora de activación formal.

2.3 Una única fuente de verdad operativa

El equipo de crisis debe mantener un único informe de situación controlado. En él se registran los hechos conocidos, las preguntas abiertas, los supuestos utilizados para decisiones temporales, el estado de los servicios, las obligaciones pendientes, el bienestar del personal, los incidentes de proveedores, las acciones de seguridad y la próxima revisión. Cada entrada identifica su fuente y su hora. Los rumores, las informaciones de los medios y los mensajes no verificados pueden registrarse como señales, pero no se convierten en hechos operativos hasta que se corroboran.

3. DISPARADORES DE ACTIVACIÓN Y NIVELES DE CRISIS

3.1 La activación es una decisión de control

Un plan de crisis debe activarse antes de que el family office muestre un fallo evidente. Los disparadores útiles se definen en torno a la interrupción del servicio y el deterioro del control. Entre los ejemplos se incluyen la pérdida de acceso a una plataforma de pagos o de custodia; la indisponibilidad tanto del titular principal como de un suplente autorizado; un incidente cibernético que afecte a los sistemas de identidad, correo electrónico o documentos; la imposibilidad de contactar con una parte sustancial del personal; el cierre o la inaccesibilidad de un lugar de trabajo principal; un aviso de un proveedor que afecte a la disponibilidad de transacciones, liquidación o datos; y una amenaza creíble para las personas o las instalaciones.

El registro de desencadenantes debe distinguir entre observación, escalado y activación. Una observación se registra y se monitoriza. Un escalado asigna un responsable y un plazo de revisión. La activación pone en marcha la estructura de gobernanza de crisis y sus controles temporales. Esta distinción evita que toda incidencia de servicio se convierta en una crisis plena, a la vez que permite una contención temprana.

3.2 Una escala de cuatro niveles

La siguiente escala es ilustrativa. Cada oficina debe fijar umbrales que reflejen su estructura, jurisdicciones, contratos con proveedores y obligaciones.

La oficina debería definir indicadores objetivos cuando sea posible: número de firmantes no disponibles; valor de los pagos exigibles dentro de un plazo determinado; porcentaje del personal confirmado a salvo; antigüedad de la última copia de seguridad verificada; número de cuentas privilegiadas comprometidas; número de proveedores críticos no disponibles; y tiempo restante antes de un plazo contractual o legal.

3.3 La desactivación requiere evidencia

El líder de crisis no debería desactivar solo porque una plataforma parezca funcionar. La desactivación debería requerir seguridad de las personas confirmada, acceso estable, saldos y transacciones conciliados, registro de eventos restaurado, acceso privilegiado revisado, excepciones de pago resueltas, confirmación del proveedor cuando corresponda y responsables de remediación designados. Se puede mantener un nivel de crisis inferior mientras continúa la recuperación a largo plazo.

4. AUTORIDAD DELEGADA Y SUCESIÓN

4.1 La autoridad debe ser tanto legal como operativa

Un cargo no crea automáticamente la facultad de obligar a una sociedad, fideicomiso, fundación, sociedad de personas o cuenta. El cargo debe vincular la autoridad con la persona jurídica pertinente, el documento constitutivo, la resolución, el mandato bancario, el contrato de gestión de inversiones, el poder de representación y la instrucción del proveedor. Una matriz de crisis resume esas fuentes; no las sustituye.

La matriz debe separar la autoridad de decisión de la autoridad de ejecución. Una persona puede aprobar un pago mientras otra lo introduce. Un custodio puede reconocer un conjunto específico de firmantes que difiere de la delegación interna de la sociedad. Un fiduciario o consejo de fundación puede tener obligaciones que no pueden transferirse mediante una instrucción familiar informal. El asesor jurídico debe validar la arquitectura legal antes de un evento.

4.2 Sucesión por función

La sucesión de autoridad debe definirse para cada función crítica en lugar de como una única transferencia amplia de control. Tesorería, nóminas, custodia, decisiones de inversión, contención cibernética, seguridad del personal, declaraciones externas, notificaciones legales y notificaciones regulatorias pueden requerir distintos suplentes y evidencia.

4.3 El doble control sigue activo

La velocidad de la crisis no justifica abandonar la segregación de funciones. Las normas de riesgo operacional del CBUAE identifican como controles básicos las autoridades claras, la segregación, el doble control, las salvaguardias sobre activos y registros, y la conciliación de transacciones [3,4]. Un family office debe mantener una comprobación por una segunda persona para la creación de beneficiarios, la liberación de pagos, la transferencia de custodia, el restablecimiento de accesos privilegiados y los extractos externos. Cuando un mandato de emergencia permita actuar a una sola persona, la acción debe estar limitada, registrada y sujeta a una revisión retrospectiva rápida.

4.4 Indisponibilidad del principal

El protocolo de indisponibilidad del principal debe definir la evidencia de los intentos de contacto, el tiempo transcurrido antes de la sucesión, qué decisiones pueden seguir adelante, qué decisiones deben esperar y cuándo interviene un asesor legal o un órgano fiduciario. Debe evitar la especulación médica y preservar la confidencialidad. El protocolo también necesita una vía para restablecer la autoridad ordinaria cuando el principal regrese.

5. SERVICIOS IMPORTANTES Y TOLERANCIAS DE IMPACTO

5.1 Comenzar por los resultados

Un registro de activos describe lo que posee la familia. Un registro de servicios describe lo que la oficina debe seguir haciendo. Los servicios importantes pueden incluir confirmar la seguridad de las personas, mantener el acceso al efectivo, pagar al personal y a los proveedores críticos, salvaguardar los activos, atender requerimientos de colateral o llamadas de capital, recibir información bancaria y de custodios, gestionar incidentes cibernéticos, preservar los plazos legales y comunicarse con la familia.

Las directrices de la FCA distinguen entre tolerancia de impacto y tiempo de recuperación. Una tolerancia de impacto define la interrupción máxima tolerable de un servicio; un objetivo de tiempo de recuperación define el tiempo objetivo para restaurar el sistema de soporte. La recuperación puede tener que producirse mucho antes de que se alcance la tolerancia, porque los atrasos y las conciliaciones persisten después de que el sistema vuelva [8-10].

5.2 Límites temporales y no temporales

Todo servicio importante debe tener un límite temporal y al menos un límite no temporal. Para la nómina, la medida temporal puede ser la hora de liberación segura más tardía, mientras que las medidas no temporales incluyen el número de empleados sin pagar y el valor máximo no resuelto. Para la información de custodia, la medida temporal puede ser la antigüedad del último archivo de posiciones verificado, mientras que las medidas no temporales incluyen el porcentaje de activos conciliados y el número de acciones corporativas no resueltas.

Estos valores son ilustrativos. La oficina debería calibrarlos según las obligaciones, las zonas horarias, la dotación de personal y las capacidades de los proveedores, y después obtener la aprobación del órgano de gobierno correspondiente.

5.3 Mapeo de dependencias

Cada servicio debería mapear personas, instalaciones, tecnología, datos, proveedores, entidades jurídicas y canales financieros. El mapa debería identificar dependencias comunes. Dos bancos pueden depender de la misma red móvil. Dos custodios pueden utilizar el mismo dispositivo de autenticación o dominio de correo electrónico. Una copia de seguridad en la nube dentro del mismo inquilino de identidad puede fallar junto con el entorno principal. El plan debería probar la independencia en lugar de basarse en el número de logotipos de la lista de proveedores.

6. MANDO Y COMUNICACIONES DE CRISIS

6.1 La célula de mando

La célula de mando debe ser lo bastante pequeña para decidir y lo bastante amplia para ver el sistema. Los roles principales son responsable de crisis, adjunto, responsable del registro de operaciones, responsable de seguridad del personal, responsable de tesorería, responsable de tecnología y ciberseguridad, responsable de inversiones y custodia, y asesor jurídico o de cumplimiento. Los proveedores especializados se incorporan únicamente para su línea de trabajo. El responsable del registro mantiene el registro de acciones, el registro de decisiones y la hora de próxima actualización.

Una reunión bien estructurada puede durar quince minutos. Plantea: qué ha cambiado; qué personas no están a salvo o sin confirmar; qué servicio está más próximo a su límite de tolerancia; qué decisión se requiere; qué evidencia la respalda; quién es responsable de la acción; y cuándo se comprobará. El resultado es un informe de situación versionado, no una transcripción informal de chat.

6.2 Jerarquía de comunicación

La oficina debe aprobar de antemano una jerarquía de comunicación. El correo corporativo principal y las herramientas de colaboración son cómodos durante las operaciones normales. Los canales cifrados secundarios, los números de teléfono verificados y una lista de contactos sin conexión son necesarios cuando los sistemas de identidad o de red pueden estar comprometidos. Las instrucciones relativas a fondos o credenciales nunca deben depender de un canal o número introducido recientemente sin verificación independiente.

El registro de contactos debe incluir a familiares con capacidad de decisión, personal, fideicomisarios o directivos de la fundación, bancos, custodios, brókers, administradores, responsables de respuesta tecnológica, aseguradoras cibernéticas, asesoría jurídica, asesores fiscales, proveedores de seguridad, proveedores críticos y contactos de emergencia. Cada registro requiere un responsable, la fecha de última verificación y un método de verificación fuera de banda.

6.3 Declaraciones externas

La comunicación externa debe ser factual, limitada y aprobada. El comunicado provisional puede confirmar que la oficina está gestionando un incidente operativo, protegiendo a las partes interesadas y colaborando con los proveedores pertinentes. Debe evitar atribuir causas, nombrar a las partes afectadas, estimar pérdidas o anunciar la restauración antes de que haya pruebas disponibles. Puede ser necesario contar con asesoramiento jurídico, de privacidad, laboral y regulatorio antes de la notificación.

7. SEGURIDAD Y BIENESTAR DEL PERSONAL

7.1 Recuento verificado del personal

La seguridad del personal comienza con un recuento controlado, no con mensajes generales difundidos masivamente. Todo empleado y contratista esencial recibe uno de cinco estados: a salvo y trabajando; a salvo y no disponible; requiere asistencia; sin confirmar, con un responsable de contacto asignado; o de viaje, con un estado de itinerario aparte. El registro debe evitar detalles médicos innecesarios y restringir el acceso a quienes coordinan la respuesta.

La guía de NCEMA considera los recursos humanos, el entorno laboral, el transporte, la información, la tecnología, los recursos financieros y los proveedores como dependencias de continuidad del negocio. Su guía también hace hincapié en el liderazgo, el trabajo remoto, la distribución del personal y los procedimientos flexibles durante una interrupción [1,2,32-34]. Estos principios respaldan un plan de personal que aborda la seguridad física antes que la productividad.

7.2 Coordinadores locales y trabajo seguro

La oficina debe designar coordinadores locales para cada ubicación relevante. Su función es confirmar el bienestar, transmitir instrucciones verificadas y escalar las necesidades de asistencia. No interpretan inteligencia de seguridad ni dirigen al personal hacia condiciones inciertas. Las decisiones sobre viajes, evacuación, refugio y acceso a la oficina deben basarse en el asesoramiento oficial vigente y en apoyo de seguridad cualificado.

El trabajo remoto debe activarse de forma deliberada. El personal necesita un dispositivo limpio, un método de identidad aprobado, comunicaciones seguras, acceso limitado a su función e instrucciones para manejar datos familiares confidenciales fuera del lugar de trabajo habitual. Una crisis puede justificar un acceso más restringido en lugar de un acceso más amplio.

7.3 Nómina, gastos y apoyo práctico

El plan de crisis debe identificar el corte de nómina, la ruta bancaria, el operador de respaldo aprobado y el proceso de excepciones. Puede que se necesiten gastos de emergencia para transporte, alojamiento, comunicaciones, atención sanitaria o equipos de sustitución. El plan debe definir límites, requisitos de justificación y una vía de reembolso que pueda operar incluso cuando la plataforma principal de gastos no esté disponible.

7.4 Separación de la familia y el personal

El bienestar de la familia y el de los empleados están vinculados, pero son líneas de trabajo diferentes. La familia puede tener servicios privados de seguridad, médicos, educativos y de viaje que no deben exponerse al resto de la oficina. El responsable de seguridad del personal solo debe recibir la información necesaria para coordinar el trabajo y el bienestar. El representante de la familia conserva el control de la información privada de la familia.

8. ACCESO A LIQUIDEZ Y LA ESCALERA DE 72 HORAS

8.1 La liquidez es acceso más autoridad

Un saldo de efectivo no es liquidez operativa cuando la oficina no puede autenticarlo, aprobarlo, transferirlo ni conciliarlo. Por lo tanto, el registro de liquidez debe registrar el titular legal, el banco, la divisa, la fuente del saldo, la fecha valor, el importe disponible, el gravamen o la restricción, el canal de pago, la hora de corte, el conjunto de firmantes, el método de autenticación, el límite diario, los controles de beneficiarios y el contacto de escalado.

La escalera de 72 horas comienza con las obligaciones. La oficina enumera las nóminas, la atención sanitaria, la seguridad, el alojamiento, los suministros, los seguros, el servicio de la deuda, el colateral, los impuestos, los plazos legales y los proveedores críticos desde el punto de vista contractual. A cada obligación se le asigna la última hora segura de pago, el importe, la divisa, el pagador legal, los datos aprobados del beneficiario y la consecuencia del retraso.

8.2 Cuatro niveles de liquidez

La oficina debe distinguir la liquidez comprometida de la liquidez potencial. Un descubierto no probado, una venta de activos prevista, un reembolso no liquidado o una aportación familiar informal no son lo mismo que un saldo confirmado o una facilidad comprometida. Las fuentes potenciales pueden figurar en el plan de recuperación con requisitos previos y derechos de decisión.

8.3 Diversidad de divisas y canales de pago

Múltiples divisas y cuentas pueden mejorar la flexibilidad al tiempo que aumentan la complejidad del control. La escala debe identificar qué obligaciones requieren AED, GBP, USD u otra divisa, qué cuenta puede pagarlas legalmente, los pasos de conversión previstos, los horarios límite por zona horaria y el riesgo de liquidación. Una cuenta de respaldo debe contar con mandatos vigentes, beneficiarios verificados y un uso controlado habitual antes de una crisis. Los acuerdos inactivos o no probados generan una falsa sensación de seguridad.

8.4 Paquete diario de tesorería

Durante la activación, tesorería elabora un paquete en cada ciclo de mando: saldos iniciales procedentes de fuentes verificadas; liquidez disponible confirmada; obligaciones con vencimiento en 6, 24 y 72 horas; pagos liberados; pagos pendientes de aprobación; transacciones rechazadas o inciertas; incidentes de proveedores; y los próximos horarios límite. Una segunda persona concilia el paquete con la evidencia del banco o del custodio.

9. SEGURIDAD DE PAGOS Y CONCILIACIÓN

9.1 Congele los cambios antes de mover dinero

La ingeniería social explota la urgencia, la autoridad y el cambio de canal. El plan de crisis debe congelar los nuevos beneficiarios, los cambios en las instrucciones de liquidación, los cambios de firmantes y los cambios en los límites de pago, salvo que el responsable de la crisis y un verificador independiente aprueben una excepción documentada. La verificación mediante devolución de llamada utiliza un número validado previamente, no la información de contacto facilitada en la solicitud.

9.2 Disciplina de la cola de pagos

Cada pago recibe un identificador, pagador legal, beneficiario, finalidad, factura u obligación de origen, importe, divisa, plazo, estado de aprobación, operador de entrada, aprobador de liberación, evidencia de devolución de llamada y estado de conciliación. La cola separa los elementos preparados, aprobados, liberados, confirmados, rechazados y revertidos. Las capturas de pantalla pueden respaldar la evidencia, pero no sustituyen los extractos bancarios ni los registros formales de transacciones.

9.3 Rutas manuales y alternativas

Un paquete de pagos sin conexión puede contener contactos bancarios verificados, mandatos, identificadores de cuenta, beneficiarios aprobados y formatos de instrucción de muestra. Su uso depende de la aceptación del proveedor y de la autoridad vigente. La oficina debe probar el proceso con el proveedor durante las operaciones normales y almacenar el paquete de forma segura con acceso controlado y fechas de versión.

9.4 La conciliación cierra el ciclo de control

El acceso restablecido puede revelar instrucciones duplicadas, retrasadas o parcialmente ejecutadas. Tesorería debe conciliar cada pago del período de crisis con el registro bancario, el libro contable, la obligación y el registro de aprobaciones. Los elementos no conciliados se escalan antes de reanudar el procesamiento normal.

10. CUSTODIA ALTERNATIVA Y ACCESO A ACTIVOS

10.1 Separar las capas

La continuidad de la custodia tiene al menos seis capas: titularidad legal; titularidad de la cuenta y segregación; salvaguarda; acceso a la información; facultades de negociación; y liquidación de efectivo o valores. La interrupción del portal puede afectar a la información y a las instrucciones, mientras que la titularidad legal y la salvaguarda permanecen inalteradas. Una interrupción de la liquidación puede retrasar el efectivo sin modificar la decisión de inversión. La oficina debería diagnosticar la capa afectada antes de actuar.

Las normas de custodia de IOSCO y la regulación de valores hacen hincapié en la segregación, los libros y registros, la conciliación y los custodios cualificados como mecanismos de protección del inversor [18,19,25-27]. El family office debería obtener asesoramiento legal y regulatorio para su propia estructura, especialmente cuando los activos se mantienen a través de fondos, entidades nominee, trusts, fundaciones, vehículos de propósito especial o estructuras de activos digitales.

10.2 El registro de continuidad de la custodia

10.3 La diversificación requiere una independencia probada

Usar más de un custodio puede reducir algunas concentraciones y crear otras. La oficina debe evaluar la entidad jurídica, la geografía, la cadena de subcustodia, el banco de liquidación, la autenticación, la infraestructura de mercado, el administrador, el proveedor de datos, las telecomunicaciones y el operador interno. Dos cuentas que dependen del teléfono de un solo empleado y de un único dominio de correo electrónico no proporcionan acceso independiente.

El conjunto mínimo de datos debe reconstruir las posiciones del día anterior, el efectivo, las operaciones pendientes, el colateral, las acciones corporativas, los compromisos de mercados privados, los contactos y las autorizaciones de cuentas sin el portal principal. Debe estar cifrado, controlado y actualizarse según un calendario definido. La transferencia de activos sigue siendo una opción de recuperación gobernada que requiere revisión jurídica, autorización, un destino verificado y una conciliación completa.

11. CONTINUIDAD DE DATOS, CIBERSEGURIDAD E IDENTIDAD

11.1 Activos de información críticos

La oficina debe identificar la información necesaria para operar durante 72 horas: registros de contactos; documentos rectores y mandatos; relaciones de cuentas bancarias y de custodia; colas de pagos y obligaciones; posiciones actuales; compromisos de mercados privados; contactos de seguros y seguridad; documentos de identidad y de viaje cuando se conserven lícitamente; contratos de proveedores; planes de incidentes; e instrucciones limpias para la recuperación de sistemas.

Las fuentes del NIST, la CISA, el CBUAE y la DFSA hacen hincapié en la preparación, la respuesta a incidentes, la recuperación, las copias de seguridad probadas, los controles de identidad, las comunicaciones y las dependencias de terceros [5,11,20-24,28-31]. Una family office debe aplicar esas prácticas de forma proporcionada y obtener asesoramiento especializado en respuesta a incidentes cuando se sospeche una intrusión.

11.2 Contener el riesgo de identidad

Si el correo electrónico, la identidad o una cuenta privilegiada pueden estar comprometidos, el responsable de tecnología debe preservar las pruebas y seguir el plan de incidentes aprobado. Las acciones posibles incluyen aislar los dispositivos afectados, deshabilitar o monitorizar cuentas, revocar sesiones, proteger los factores de autenticación, restringir los roles privilegiados y establecer una vía administrativa limpia. El personal de respuesta cualificado debe dirigir las acciones técnicas para no dañar las pruebas ni las opciones de recuperación.

El plan de crisis debe identificar las cuentas de acceso de emergencia (break-glass), su almacenamiento, el uso permitido, la supervisión independiente y la revisión posterior al uso. Una cuenta de acceso de emergencia (break-glass) no debe depender de la misma cadena de identidad comprometida que la cuenta principal.

11.3 Copias de seguridad y recuperación

Los datos críticos requieren una recuperación probada, no meramente una etiqueta de copia de seguridad. CISA recomienda copias de seguridad cifradas y sin conexión, y pruebas periódicas de restauración para los datos críticos. La guía de contingencia de NIST abarca equipos alternativos, procesos manuales, ubicaciones alternativas y prioridades de recuperación [20-23]. La oficina debe documentar los objetivos de punto de recuperación y de tiempo de recuperación, la inmutabilidad de las copias de seguridad, el cifrado, la separación de administradores, los resultados de las pruebas y el entorno limpio utilizado para la restauración.

11.4 Minimización de datos durante la crisis

Los equipos de crisis suelen compartir información en exceso para poder actuar con rapidez. La célula de mando debe limitar cada participante a los datos necesarios para la acción, utilizar canales seguros aprobados, evitar enlaces públicos y mantener un registro de distribución para los paquetes sensibles. Las obligaciones de privacidad y confidencialidad continúan durante la interrupción.

12. RIESGO DE TERCEROS Y DE CONCENTRACIÓN

12.1 El modelo operativo ampliado

Un family office puede depender de bancos, custodios, brókers, administradores de fondos, fiduciarios, proveedores de servicios societarios, contables, proveedores de nóminas, plataformas en la nube, tecnología gestionada, seguridad, apoyo para viajes y asesores externos. La oficina sigue siendo responsable de sus decisiones incluso cuando una actividad importante se externaliza.

El registro de proveedores debe recoger el servicio, la entidad jurídica, la jurisdicción, el responsable del contrato, el nivel de servicio, el canal de incidentes, los contactos de escalado, los datos tratados, los subcontratistas cuando se hayan divulgado, la asistencia para la salida, el proveedor alternativo, la última prueba y la evidencia de aseguramiento. La guía del FSB y de Basilea sobre terceros hace hincapié en la criticidad, el mapeo de dependencias, la concentración, los acuerdos contractuales, la monitorización y la planificación de la salida [6,7].

12.2 Triaje de proveedores

Durante las primeras seis horas, los proveedores se clasifican en cuatro grupos: no afectados y verificados; afectados con una solución alternativa conocida; afectados sin una solución alternativa probada; y estado desconocido. La célula de mando centra la atención en los proveedores que prestan apoyo a los servicios más próximos a su tolerancia al impacto.

El estado del proveedor debe proceder de avisos formales de servicio, contactos conocidos o evidencia técnica verificada. Una publicación en redes sociales puede motivar una comprobación; no debe impulsar automáticamente un pago, una transferencia ni un cambio de acceso.

12.3 Salida y sustitución

Un proveedor alternativo requiere más que un nombre. La family office debe entender el tiempo de incorporación, la portabilidad de datos, la autoridad legal, la configuración de cuentas, los activos compatibles, las rutas de pago, las restricciones de privacidad, las comisiones y la conciliación. Algunas sustituciones pueden producirse en horas, como un canal de comunicación secundario. Otras pueden tardar semanas o meses, como cambiar de custodio o administrador. El plan de 72 horas debe identificar el modo degradado realista para cada horizonte.

13. CUMPLIMIENTO, SANCIONES Y CONTROL DEL FRAUDE

13.1 Los controles siguen formando parte de la continuidad

Una crisis puede cambiar contrapartes, rutas, jurisdicciones y propósitos de las transacciones. Los bancos y otras instituciones siguen aplicando controles de diligencia debida del cliente, sanciones, fraude y monitorización de transacciones. La family office debe conservar la evidencia sobre titularidad real, origen del patrimonio, origen de los fondos y propósito de la transacción para que la actividad urgente pueda explicarse con precisión [14-17,29,30].

13.2 Excepción no significa exención

El responsable de la crisis podrá aprobar una excepción operativa dentro de la autoridad de la family office. La excepción no prevalece sobre la ley, los requisitos de los proveedores, los deberes fiduciarios ni los mandatos de cuenta. Toda excepción debe identificar la regla que se modifica, el motivo, el alcance, el límite de valor, la caducidad, el aprobador, la verificación independiente y la remediación.

13.3 Indicadores de fraude bajo presión

Los indicadores de escalado incluyen un nuevo beneficiario; datos bancarios modificados; una instrucción para eludir el canal habitual; una solicitud de confidencialidad; urgencia inusual; un dispositivo o número nuevos; negativa a devolver la llamada; datos incoherentes en la factura o el contrato; presión procedente de la cuenta supuesta de una persona sénior; o una jurisdicción inesperada. La respuesta consiste en verificar mediante canales conocidos y obtener una aprobación documentada, no en debatir informalmente en el mismo hilo potencialmente comprometido.

13.4 Notificaciones

Las notificaciones legales, regulatorias, de privacidad, de seguros, laborales y contractuales dependen de los hechos y de la jurisdicción. El plan debe mantener un registro de decisiones con el asesor responsable, el desencadenante, el plazo, el destinatario, el contenido aprobado y la evidencia de presentación. Debe evitar promesas genéricas sobre los plazos de notificación.

14. GOBERNANZA FAMILIAR Y CONFIDENCIALIDAD

14.1 El perímetro de decisión familiar

La family office debe identificar qué órgano familiar o persona autorizada recibe los informes de crisis y qué decisiones requieren la aprobación de la familia. Las decisiones de inversión, liquidez, comunicación pública, apoyo al personal y transferencia estructural pueden corresponder a distintos canales de gobernanza. El plan debe respetar los documentos de gobernanza y evitar exponer información privada de la familia más allá de lo necesario.

14.2 Informe de crisis para la familia

El informe debe ser breve: estado actual de seguridad de las personas; servicios críticos fuera de tolerancia o cerca de ella; acceso confirmado a efectivo y custodia; decisiones requeridas; acciones prohibidas; próxima actualización; y hechos no resueltos. El detalle técnico corresponde a los registros de las líneas de trabajo. El órgano familiar debe poder decidir sin leer cada mensaje operativo.

14.3 Anillos de confidencialidad

La información puede organizarse en tres anillos. El anillo uno abarca información sensible sobre la familia, la identidad, la salud y la seguridad. El anillo dos abarca información financiera, de transacciones y de proveedores utilizada por la célula de mando. El anillo tres abarca instrucciones operativas necesarias para el personal. Cada anillo tiene destinatarios designados, canal seguro, reglas de retención y de compartición posterior.

14.4 Registros y privilegio legal

El asesoramiento jurídico y los materiales de respuesta a incidentes pueden requerir un manejo cuidadoso. El asesor jurídico debería asesorar sobre el privilegio legal, la conservación, el acceso regulatorio y la transferencia transfronteriza de datos. La oficina no debería atribuir privilegio legal a registros operativos ordinarios sin fundamento jurídico, ni debería eliminar registros en respuesta a un incidente.

15. LAS SEIS VENTANAS DE CONTROL

15.1 Horas cero a dos: proteger y contener

El responsable de crisis activa el plan, abre el registro de decisiones y confirma a los suplentes. El responsable de seguridad del personal inicia la llamada nominal. Tecnología protege las identidades y las pruebas críticas. Tesorería congela los cambios de beneficiarios y de mandatos. El responsable de inversiones y custodia preserva la última posición verificada y los archivos de efectivo. La célula de mando identifica el siguiente plazo límite ineludible y publica la primera actualización verificada.

15.2 Horas dos a seis: establecer la base fáctica

El equipo clasifica los servicios importantes, el estado de los proveedores y el bienestar del personal. Tesorería produce las primeras obligaciones y la escalera de liquidez. Tecnología identifica los sistemas afectados y los canales de comunicación no comprometidos. Legal y cumplimiento identifican las cuestiones inmediatas de notificación o conservación de pruebas. La familia recibe una sesión informativa concisa y aprueba cualquier autoridad temporal que exijan los documentos rectores.

15.3 Horas seis a doce: asegurar las obligaciones

La oficina confirma el acceso al efectivo, los canales de pago, la nómina, la atención sanitaria, la seguridad y los proveedores críticos. Concilia las posiciones de custodia y las transacciones pendientes utilizando la mejor fuente verificada disponible. Los escalamientos con proveedores están activos. Los canales alternativos se prueban con acciones de bajo riesgo cuando proceda. Los cambios estructurales de alto riesgo siguen sujetos a revisión jurídica e independiente.

15.4 Horas doce a veinticuatro: probar el modo degradado

La célula de mando prueba si los servicios importantes pueden operar dentro de los límites de tolerancia durante el día siguiente. Valida la lista de contactos fuera de línea, el acceso de administrador no comprometido, la comunicación alternativa, el proceso de instrucciones de pago y el conjunto mínimo de datos de custodia. Confirma la cobertura del personal en las distintas zonas horarias y asigna periodos de descanso para que la fatiga no se convierta en un fallo de control.

15.5 Horas veinticuatro a cuarenta y ocho: estabilizar

El segundo día se centra en la conciliación. Tesorería concilia saldos y pagos. Tecnología revisa accesos, registros y pruebas de recuperación. Las operaciones de custodia concilian posiciones, efectivo, transacciones pendientes y operaciones societarias. Los planes de personal abordan el trabajo remoto prolongado o las sedes alternativas. Los proveedores facilitan información escrita sobre el incidente y la recuperación cuando esté disponible.

15.6 Horas cuarenta y ocho a setenta y dos: transición

El tercer día determina si la oficina puede volver a las operaciones normales, permanecer en un modo degradado controlado o entrar en un programa de recuperación más prolongado. El órgano de gobierno recibe el panel de control, las decisiones, las exposiciones no resueltas, los efectos financieros, la situación legal y de cumplimiento, las acciones de los proveedores y las prioridades de remediación. Las autoridades temporales expiran o se renuevan mediante el proceso correcto.

16. RUTAS HIPOTÉTICAS DE FAMILY OFFICE

16.1 Ruta A: el principal no disponible durante una interrupción de pagos

Supongamos que el principal está de viaje y no puede ser contactado durante ocho horas. Un servicio de autenticación bancaria no está disponible de forma intermitente y la nómina vence en doce horas. Los documentos de gobierno y el mandato bancario reconocen a un suplente para la nómina y los pagos operativos esenciales hasta un límite declarado. El operador financiero prepara el archivo de nómina aprobado, el suplente lo aprueba mediante el proceso alternativo verificado y un segundo responsable concilia la confirmación bancaria. No se introduce ningún nuevo beneficiario ni límite de pago.

La lección se refiere al diseño de autoridades. Una instrucción informal amplia para mantener la oficina en funcionamiento sería más débil que un mandato específico por función, un conjunto de beneficiarios aprobado, un límite de valor y una conciliación independiente.

16.2 Ruta B: el ransomware afecta al correo electrónico y al acceso a documentos

Supongamos que la oficina detecta cifrado sospechoso y pérdida de acceso al correo corporativo. Tecnología aísla los dispositivos afectados, preserva las pruebas y activa a especialistas cualificados en respuesta a incidentes. La célula de mando pasa al canal de comunicación secundario preaprobado. Tesorería congela los cambios y verifica las instrucciones urgentes mediante el registro de contactos sin conexión. El almacén de recuperación limpio proporciona documentos de gobierno, mandatos, calendarios de cuentas y posiciones del día anterior.

La oficina no supone que todas las copias de seguridad estén limpias ni que todas las cuentas hayan sido comprometidas. Los respondedores determinan el alcance, restauran desde fuentes probadas y documentan las decisiones. Las acciones de pago y custodia se reanudan solo mediante identidades verificadas y datos conciliados.

16.3 Ruta C: el acceso del personal y de los proveedores falla a la vez

Supongamos que una interrupción grave del transporte impide que el personal llegue a la oficina principal mientras el portal de un custodio no está disponible. Los coordinadores locales confirman la seguridad del personal y la capacidad de trabajo remoto. El responsable de custodia obtiene el estado de un proveedor a través de un contacto conocido y utiliza el último archivo de posiciones verificado para identificar liquidaciones pendientes y acciones corporativas. Tesorería cubre las obligaciones esenciales mediante cuentas no afectadas. Las decisiones de inversión se limitan a la autoridad y a la calidad de los datos disponibles.

El escenario prueba dependencias comunes. Una oficina alternativa sin credenciales de acceso, dispositivos limpios o datos actuales no crea continuidad. Un segundo custodio sin autenticación independiente u operadores capacitados puede no crear un acceso efectivo.

16.4 Ruta D: una instrucción fraudulenta entra en la cola de crisis

Supongamos que un correo electrónico que parece provenir de un miembro de la familia solicita una transferencia urgente a una nueva cuenta por motivos de seguridad. La solicitud utiliza un nuevo número de móvil y pide al personal que mantenga la transferencia confidencial. La congelación de pagos bloquea la creación de beneficiarios. El responsable de tesorería utiliza el registro de contactos validado y confirma que la instrucción es falsa. El incidente se preserva y se escala a las líneas de trabajo de ciberseguridad y legal.

Esta vía demuestra por qué la urgencia debe reforzar la verificación. El family office protege a la familia manteniendo controles que no dependen de la autoridad invocada dentro de la solicitud.

17. UNA PRUEBA DE ESTRÉS HIPOTÉTICA DE 72 HORAS

17.1 Datos del modelo

Considere un family office simplificado que atiende a cuatro ramas familiares, doce empleados, tres bancos, dos custodios, seis fondos de mercados privados y entidades operativas en dos jurisdicciones. El family office tiene obligaciones de nómina y con proveedores críticos por el equivalente a USD 420,000 en un plazo de 72 horas. El efectivo verificado del mismo día es de USD 1.8 million equivalentes en dos instituciones. Una tercera cuenta contiene USD 3.0 million, pero su mandato de firma no se ha probado en nueve meses. Todos los valores son hipotéticos.

En la activación, el principal no está disponible, seis empleados trabajan en remoto, se sospecha que el correo corporativo está comprometido, el portal de un custodio no está disponible y un aviso de llamada de capital está pendiente de verificación. El family office dispone de un mandato de tesorería suplente, un registro de contactos sin conexión, un repositorio de recuperación limpio y un canal de comunicación secundario.

17.2 Resultados del servicio

17.3 Decisiones

La oficina utiliza la USD 1.8 million verificada en lugar de suponer el acceso a la cuenta USD 3.0 million no probada. Mantiene pendiente el pago de la llamada de capital hasta que se complete la verificación de autoridad y beneficiario. Evita transferir activos en custodia solo porque el portal no esté disponible. Renueva el mandato del suplente para el periodo de crisis definido mediante el proceso de gobierno apropiado y asigna un revisor distinto para cada pago de crisis.

17.4 Interpretación

La prueba tiene éxito porque la oficina preserva los resultados dentro de tolerancias definidas y mantiene controladas las acciones irreversibles. También revela debilidades: una cuenta de efectivo no probada, dependencia de un único dominio de identidad de correo electrónico, datos incompletos de activos privados y cobertura insuficiente de suplentes para las aprobaciones de inversión. Esos hallazgos se convierten en partidas de remediación financiadas.

18. IMPLEMENTACIÓN Y PRUEBAS

18.1 Elaborar el plan mínimo viable

El primer ciclo de implementación debe identificar los servicios importantes, aprobar los roles de crisis, validar las autorizaciones delegadas, establecer el registro de contactos, construir la escalera de liquidez de 72 horas, definir el conjunto mínimo de datos de custodia, crear el proceso de seguridad del personal, proteger un repositorio de recuperación limpio y redactar la tarjeta de activación. Cada partida tiene un responsable y una fecha de evidencia.

18.2 Realizar ejercicios por capas

La oficina puede realizar cuatro tipos de ejercicio. Una prueba de notificación confirma contactos y canales. Un ejercicio de mesa prueba las decisiones frente a un escenario. Una prueba de recuperación técnica demuestra que los sistemas y los datos se pueden restaurar. Una prueba operativa en vivo ejecuta un proceso alternativo de bajo riesgo, como acceder a un canal de respaldo o enviar un pago controlado por la ruta secundaria.

Las pruebas deben incluir la indisponibilidad de un principal, el fallo del banco principal, la pérdida del portal del custodio principal, el compromiso del correo electrónico, la denegación de acceso a las instalaciones principales, la ausencia simultánea de personal y una instrucción fraudulenta. Las pruebas deben evitar crear riesgos de producción no controlados.

18.3 Métricas

Las métricas útiles incluyen el tiempo hasta la activación; el porcentaje de personas confirmadas a salvo; el tiempo hasta el primer informe de situación verificado; el porcentaje de obligaciones a 72 horas cubiertas por liquidez confirmada; el porcentaje de proveedores críticos con contactos de escalado verificados; la antigüedad de la última copia de seguridad probada; el porcentaje del valor en custodia reconstruido; el número de pagos de crisis con evidencia completa de doble control; y el tiempo para conciliar cada transacción de crisis.

18.4 Aprender y financiar

Cada ejercicio o evento debe producir un informe breve: qué ocurrió; qué servicio se acercó a la tolerancia o la superó; qué dependencia falló; qué solución alternativa funcionó; qué evidencia faltó; qué autoridad temporal se utilizó; qué efecto financiero se produjo; y qué remediación se financiará. El órgano de gobierno debe aprobar la prioridad, el responsable y la fecha límite.

19. LIMITACIONES Y CONCLUSIÓN

Este documento proporciona un marco operativo en lugar de un manual de emergencia universal. Los family offices difieren en estructura jurídica, jurisdicción, dotación de personal, actividad regulada, composición de activos, gobierno familiar, tecnología, exposición de seguridad y acuerdos con proveedores. El plan de crisis debe estar alineado con los documentos de gobierno vigentes, mandatos, contratos, leyes y directrices oficiales que se apliquen a la oficina.

El marco también evita predecir la causa o la duración de una crisis. Un plan de 72 horas se diseña en torno a la pérdida de servicio, acceso, autoridad o información fiable. Puede respaldar respuestas a eventos cibernéticos, interrupciones de proveedores, perturbaciones físicas, indisponibilidad del principal, intentos de fraude y eventos compuestos, sin afirmar que la misma respuesta técnica se aplique a cada uno.

La conclusión central es operativa. Un family office resiliente puede identificar sus servicios importantes, definir cuánto tiempo pueden verse interrumpidos, preservar la seguridad del personal, la sucesión y el doble control, adecuar la liquidez a las obligaciones, reconstruir los hechos de custodia y pagos, recuperar datos críticos mediante una ruta limpia y pasar de la autoridad temporal a una recuperación gobernada. Esas capacidades se construyen y se prueban antes del evento.

Las primeras 72 horas deben dejar a la oficina con hechos más fiables, una autoridad más estricta, dinero conciliado, personas más seguras y una decisión de recuperación clara. La velocidad proviene de la preparación, los mandatos acotados y las alternativas verificadas.

APÉNDICE A. TARJETA DE ACTIVACIÓN

Acciones inmediatas: proteger a las personas; abrir el registro de decisiones; pasar a canales verificados; congelar los cambios de alto riesgo; preservar las pruebas; confirmar el próximo plazo improrrogable; y emitir una actualización fáctica.

APÉNDICE B. MATRIZ DE FACULTADES DELEGADAS

La matriz completada debe ser validada por la asesoría jurídica, los órganos de gobierno y los proveedores pertinentes. Es un índice de autoridad; los documentos subyacentes siguen siendo los que rigen.

APÉNDICE C. CUADRO DE MANDO DE CONTINUIDAD

Los umbrales son ilustrativos y deben aprobarse para el riesgo y las obligaciones reales de la oficina.

APÉNDICE D. REGISTRO DE LIQUIDEZ Y PAGOS

Para cada registro de obligación: identificador; pagador legal; beneficiario; finalidad; documento fuente; importe; moneda; última hora segura de pago; consecuencia del retraso; cuenta principal; cuenta alternativa; hora de corte bancaria; conjunto de firmantes; operador de entrada; aprobador; método de confirmación por llamada; estado del beneficiario; estado de liberación; confirmación bancaria; asiento contable; y revisor de conciliación.

Para cada registro de fuente de liquidez: titular legal; institución; cuenta; moneda; momento de verificación del saldo; importe disponible; restricción o gravamen; canal de pago; límite diario; autenticación; firmante principal; suplente; contacto alternativo; última prueba satisfactoria; y fuente de evidencia.

El registro debe evitar incorporar contraseñas, secretos de autenticación o datos de identidad innecesarios.

APÉNDICE E. REGISTRO DE SEGURIDAD DEL PERSONAL Y COMUNICACIONES

Los mensajes de comunicación deben indicar el identificador del incidente, la instrucción verificada, la acción requerida, el plazo, el formato de respuesta, el canal aprobado y la hora de la próxima actualización. El personal debe disponer de un método sencillo para informar si está a salvo, no disponible o necesita asistencia. Los detalles sensibles deben recopilarse mediante el proceso restringido de bienestar.

APÉNDICE F. PAQUETE DE RECUPERACIÓN DE DATOS, CIBERSEGURIDAD Y CUSTODIA

El paquete de recuperación limpio debe contener los documentos de gobierno vigentes, matrices de autoridad, calendarios de bancos y custodia, contactos verificados, archivos de efectivo y posiciones del día anterior, colas de pagos y obligaciones, calendarios de compromisos de mercados privados, contratos de proveedores críticos, procedimientos de incidentes, instrucciones de recuperación de datos y contactos de seguros.

Los controles deben incluir cifrado, acceso con privilegios mínimos, separación de administradores, capacidad de recuperación sin conexión o aislada de otro modo, copias de seguridad inmutables o protegidas cuando proceda, fechas de versión, pruebas de restauración, registros de distribución y un proceso para revocar el acceso después del evento.

El paquete debe excluir contraseñas activas, claves privadas y secretos de autenticación, salvo que una arquitectura de gestión de secretos aprobada por especialistas los rija explícitamente.

APÉNDICE G. PREGUNTAS PARA LOS ÓRGANOS DE GOBIERNO Y LOS PROVEEDORES

Preguntas para el órgano de gobierno familiar

1. ¿Qué servicios deben continuar en un plazo de dos, seis, doce, veinticuatro y setenta y dos horas?
2. ¿Qué decisiones pueden tomar los delegados y cuáles requieren al principal o a un órgano fiduciario?
3. ¿Qué límites y prohibiciones temporales se aplican durante la activación?
4. ¿Qué información puede compartirse con el personal, los proveedores y los asesores?
5. ¿Qué riesgos residuales justifican permanecer en modo crisis después de la hora setenta y dos?

Preguntas para bancos y custodios

1. ¿Qué vías alternativas de instrucción y autenticación se aceptan formalmente?
2. ¿Qué mandatos, horarios de corte, límites y controles de devolución de llamada se aplican?
3. ¿Cómo se escalan los incidentes de servicio y las sospechas de fraude?
4. ¿Qué datos de posiciones, efectivo, liquidación y operaciones societarias se pueden proporcionar fuera del portal?
5. ¿Qué dependencias de subcustodia, banco de liquidación o tecnología son materiales para la continuidad?

Preguntas para proveedores de tecnología y ciberseguridad

1. ¿Cómo se aíslan y recuperan las identidades privilegiadas?
2. ¿Qué copias de seguridad están fuera de línea, son inmutables o están fuera del dominio de identidad principal?
3. ¿Cuándo se probó por última vez la restauración y qué evidencia existe?
4. ¿Qué registros y evidencia deben conservarse durante la contención?
5. ¿Qué rutas limpias de comunicación y administración pueden operar durante un compromiso?

Preguntas para asesores legales, de cumplimiento, de seguridad y de seguros

1. ¿Qué autoridades y documentos rectores controlan cada decisión de crisis?
2. ¿Qué notificaciones, obligaciones de conservación y plazos contractuales pueden aplicarse?
3. ¿Qué decisiones sobre viajes, lugar de trabajo y seguridad del personal requieren asesoramiento especializado?
4. ¿Qué condiciones de póliza, exclusiones, requisitos de consentimiento o notificación son relevantes?
5. ¿Cómo deben expirar las facultades temporales y restablecerse la gobernanza ordinaria?

REFERENCIAS

[1] Autoridad Nacional de Gestión de Emergencias, Crisis y Desastres. *Gestión de la continuidad del negocio.* https://www.ncema.gov.ae/content/documents/BCM%20English%20NCEMA_29_8_2013.pdf

[2] Autoridad Nacional de Gestión de Emergencias, Crisis y Desastres. *Programa de gestión de la continuidad del negocio.* https://www.ncema.gov.ae/en/e-participation/blog/business-continuity-management-program.aspx

[3] Reglamento del Banco Central de UAE. *Estándares de riesgo operacional.* https://rulebook.centralbank.ae/en/rulebook/operational-risk-standards

[4] Reglamento del Banco Central de UAE. *Riesgo operacional y resiliencia operacional.* https://rulebook.centralbank.ae/en/entiresection/6015

[5] Reglamento del Banco Central de UAE. *Continuidad del negocio para acuerdos de computación en la nube.* https://rulebook.centralbank.ae/en/rulebook/business-continuity

[6] Comité de Supervisión Bancaria de Basilea. *Principios para la resiliencia operacional.* 31 de marzo de 2021. https://www.bis.org/bcbs/publ/d516.htm

[7] Consejo de Estabilidad Financiera. *Mejora de la gestión y supervisión del riesgo de terceros: un conjunto de herramientas.* 4 de diciembre de 2023. https://www.fsb.org/2023/12/fsb-publishes-toolkit-for-enhancing-third-party-risk-management-and-oversight/

[8] Autoridad de Conducta Financiera. *Resiliencia operacional.* Actualizado el 14 de julio de 2026. https://www.fca.org.uk/firms/operational-resilience

[9] Autoridad de Conducta Financiera. *Resiliencia operacional: perspectivas y observaciones un año después.* 27 de marzo de 2026. https://www.fca.org.uk/publications/good-and-poor-practice/operational-resilience-insights-observations-one-year

[10] Autoridad de Conducta Financiera. *Desarrollo de la resiliencia operacional, PS21/3.* https://www.fca.org.uk/publications/policy-statements/ps21-3-building-operational-resilience

[11] Autoridad de Servicios Financieros de Dubái. *Módulo General, continuidad del negocio y gestión del riesgo cibernético.* https://dfsa-prod.60413.aws.thomsonreuters.com/rulebook/general-module-gen-ver7207-26

[12] Banco Central de UAE. *Pagos y liquidaciones.* https://www.centralbank.ae/en/our-operations/payments-and-settlements/

[13] Banco Central de UAE. *Sistema de transferencia de fondos de UAE.* https://centralbank.ae/en/our-operations/payments-and-settlements/uae-fund-transfer-system-uaefts/

[14] Grupo de Acción Financiera. *Las Recomendaciones del GAFI.* https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html

[15] Grupo de Acción Financiera. *Orientación sobre la titularidad real y la transparencia de las estructuras jurídicas.* Marzo de 2024. https://www.fatf-gafi.org/content/dam/fatf-gafi/recommendations/Guidance-Beneficial-Ownership-Transparency-Legal-Arrangements.pdf

[16] Grupo de Acción Financiera Internacional (GAFI). *Orientaciones sobre personas expuestas políticamente.* https://www.fatf-gafi.org/content/dam/fatf-gafi/guidance/Guidance-PEP-Rec12-22.pdf

[17] Reglamento del Banco Central de UAE. *Buenas prácticas para el riesgo tecnológico y la seguridad de la información.* https://rulebook.centralbank.ae/en/rulebook/annex-ii-guidance-best-practices-technology-risk-and-information-security

[18] Organización Internacional de Comisiones de Valores (IOSCO). *Normas para la custodia de los activos de las instituciones de inversión colectiva.* https://www.iosco.org/library/pubdocs/pdf/ioscopd512.pdf

[19] Comisión de Bolsa y Valores de Estados Unidos. *Cómo protegemos a los inversores minoristas: custodia de los activos de los clientes.* https://www.sec.gov/newsroom/speeches-statements/speech-driscoll-042919

[20] Instituto Nacional de Estándares y Tecnología (NIST). *Marco de Ciberseguridad 2.0.* 26 de febrero de 2024. https://www.nist.gov/cyberframework

[21] Instituto Nacional de Estándares y Tecnología (NIST). *Recomendaciones y consideraciones de respuesta a incidentes para la gestión de riesgos de ciberseguridad, SP 800-61 Revisión 3.* Abril de 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final

[22] Instituto Nacional de Estándares y Tecnología (NIST). *Guía de planificación de contingencias para sistemas de información federales, SP 800-34 Revisión 1.* https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final

[23] Instituto Nacional de Estándares y Tecnología (NIST). *Guía para la recuperación de eventos de ciberseguridad, SP 800-184.* https://www.nist.gov/publications/guide-cybersecurity-event-recovery

[24] Agencia de Ciberseguridad y Seguridad de las Infraestructuras. *Guía StopRansomware.* https://www.cisa.gov/stopransomware/ransomware-guide

[25] Comité de Pagos e Infraestructuras del Mercado e IOSCO. *Principios para las infraestructuras del mercado financiero.* https://www.bis.org/cpmi/publ/d101a.pdf

[26] Comité de Pagos e Infraestructuras del Mercado e IOSCO. *Orientaciones sobre ciberresiliencia para las infraestructuras del mercado financiero.* https://www.bis.org/cpmi/publ/d146.htm

[27] Comisión de Bolsa y Valores de Estados Unidos. *Custodia de fondos o valores de los clientes por parte de los asesores de inversión.* https://www.sec.gov/files/rules/final/ia-2176.htm

[28] Autoridad de Servicios Financieros de Dubái. *Supervisión del riesgo cibernético.* https://www.dfsa.ae/what-we-do/supervision/cyber-risk-supervision/summary

[29] Banco Central de UAE. *Directrices para las instituciones financieras que adoptan tecnologías habilitadoras.* https://rulebook.centralbank.ae/en/rulebook/guidelines-financial-institutions-adopting-enabling-technologies

[30] Banco Central de UAE. *Gestión de riesgos y continuidad del negocio.* https://www.centralbank.ae/en/our-operations/risk-management/

[31] Agencia de Ciberseguridad y Seguridad de las Infraestructuras. *Objetivos de rendimiento de ciberseguridad intersectoriales.* https://www.cisa.gov/cross-sector-cybersecurity-performance-goals

[32] Autoridad Nacional de Gestión de Emergencias, Crisis y Desastres. *Norma Nacional para el Sistema de Gestión de Seguridad y Salud en el Trabajo.* https://www.ncema.gov.ae/en/e-participation/blog/national-standard-for-occupational-safety-and-health-management-system.aspx

[33] Autoridad Nacional de Gestión de Emergencias, Crisis y Desastres. *Directrices de preparación para la continuidad del negocio para organizaciones de UAE.* https://www.ncema.gov.ae/en/media-center/news/14/3/2020/business-continuity-readiness-guidelines-launched-for-uae-organisations-in-event-of-covid-19-outbreak.aspx

[34] Autoridad Nacional de Gestión de Emergencias, Crisis y Desastres. *Norma Nacional para la Gestión de la Continuidad del Negocio, NCEMA 7000:2021.* https://www.ncema.gov.ae/en/about-ministry/events/7/2023/certified-lead-implementer-for-business-continuity-management-ncema-70002021-course.aspx

[35] Banco de Pagos Internacionales. *Principios de alto nivel para la continuidad del negocio.* agosto de 2006. https://www.bis.org/publ/joint17.htm

[36] Banco de Pagos Internacionales. *ORR20: Resiliencia operativa.* https://www.bis.org/basel_consolidated_guidelines/chapter/ORR/20.htm

[37] Banco de Pagos Internacionales. *ORR30: Riesgos de terceros.* https://www.bis.org/basel_consolidated_guidelines/chapter/ORR/30.htm

[38] Banco de Pagos Internacionales. *LQY10: Gestión y supervisión del riesgo de liquidez.* https://www.bis.org/basel_consolidated_guidelines/chapter/LQY/10.htm

[39] Autoridad de Conducta Financiera. *Interrupción de CrowdStrike: lecciones para la resiliencia operativa.* 31 de octubre de 2024. https://www.fca.org.uk/firms/operational-resilience/crowdstrike-outage-lessons-operational-resilience

[40] Centro Nacional de Ciberseguridad del Reino Unido. *Guía para la gestión de incidentes.* https://www.ncsc.gov.uk/collection/incident-management

SOBRE EL AUTOR

Chennakeshav Adya es un investigador independiente y profesional de finanzas corporativas con más de veinte años de experiencia internacional en estrategia empresarial, transformación, banca de inversión, operaciones de family office, riesgos, tecnología y transacciones transfronterizas. Su investigación se centra en sistemas prácticos de decisión para capital privado, resiliencia operativa, finanzas corporativas y tecnología emergente. Las opiniones expresadas en este artículo son propias y no constituyen asesoramiento en materia de inversión, legal, fiscal, cibernético, de seguridad o regulatorio.