Con Basilea III, el ciberriesgo y el riesgo operacional quedan obligados a hablar el mismo idioma

Un phishing que termina en fraude. Un ransomware que para una sucursal. Una multa por una fuga de datos.

Para el CISO son tickets. Para Basilea III, pueden ser capital.

🗣️ Dos mundos que casi no se hablaban

Durante años, un incidente cyber en un banco vivía en dos lugares. El CISO lo contaba en tickets, horas de respuesta y sistemas afectados. Riesgo operacional lo contaba, si llegaba, como una línea más en la base de pérdidas.

Basilea III los obliga a hablar el mismo idioma.

🏦 Qué cambió

El marco final de Basilea III reemplaza los modelos internos de riesgo operacional por un enfoque estandarizado. La cuenta tiene dos piezas: el tamaño del negocio y un multiplicador por pérdidas internas, que se alimenta del historial de pérdidas del propio banco de los últimos diez años.

El detalle que importa: el umbral de pérdida es de EUR 20.000. En la Unión Europea el esquema rige desde enero de 2025, y en Latinoamérica la adopción avanza país por país.

En un banco donde el supervisor aplica el multiplicador, cada incidente cyber que supere ese umbral termina, vía su historial de pérdidas, en el capital que el banco tiene que inmovilizar. Todo suma.

Una aclaración para ser precisos: Basilea deja que cada supervisor neutralice el multiplicador, y la Unión Europea lo hizo (lo fijó en 1). Aun así, el banco tiene que seguir registrando sus pérdidas operacionales, y los más grandes, publicarlas. Incluso donde hoy no mueven el capital, alimentan la base con la que se lo va a discutir mañana.

📐 Lo que necesita un área de riesgo

Si las pérdidas cyber entran al capital, "riesgo alto" o "riesgo medio" ya no sirve. Hace falta:

• La misma moneda que el resto del riesgo operacional: cada escenario como una