Tu equipo solo puede terminar un cierre si accede a registros fiables. Una caída del proveedor, un permiso incorrecto o una exportación fallida pueden convertirse en un problema financiero, no solo informático. Por eso la herramienta contable forma parte de la conversación sobre riesgo operativo.
DORA aborda la resiliencia operativa digital, no si un resultado contable es correcto. Conta Finance ofrece controles que puedes examinar al evaluar al proveedor. Lo útil es pedir evidencia y definir responsabilidades, no tratar un logo de certificación como el final de la revisión.
Qué cubre DORA y qué no cubre
DORA se aplica desde el 17 de enero de 2025. Sus áreas principales incluyen riesgo TIC, incidentes, pruebas de resiliencia y riesgo de proveedores TIC. Las entidades financieras deben evaluar el alcance aplicable a su actividad y a sus relaciones con proveedores.
No presupongas que todas las empresas con cripto tienen las mismas obligaciones. Legal y riesgos determinan la aplicación y la importancia del servicio. Este artículo propone preguntas para evaluar al proveedor; no determina un estatus regulatorio de tu empresa ni de Conta.
Empieza por la función que cubre el proveedor
Describe dónde encaja Conta en vuestro proceso. ¿Lo utiliza el equipo para revisión diaria, cierre mensual o investigación? ¿Qué cuentas y salidas dependen de él? ¿Qué tareas contables continuarían durante una interrupción? Las respuestas concretan la evaluación para vuestra empresa.
Después, asigna un responsable interno. El proveedor explica su servicio, pero vuestro equipo decide cómo afecta una interrupción al cierre, quién la gestiona y cuándo acepta una alternativa. Una hoja compartida no debería convertirse en respaldo sin decidir cómo se controla su exactitud y acceso.
Controles que puedes examinar en Conta Finance
Conta ofrece base de datos y despliegue aislados por cliente. Las conexiones a exchanges utilizan credenciales cifradas de solo lectura. La aplicación no custodia fondos ni autoriza retiradas. Los permisos por organización y equipo delimitan quién consulta, revisa, modifica o administra los registros.
El acceso admite Google, Microsoft y un código de un solo uso por email, con TOTP como segundo factor. Estos controles ayudan a evaluar el modelo de acceso. Por sí solos no acreditan que todo vuestro marco de riesgo operativo cumpla DORA.
Cinco peticiones de evidencia para evaluar al proveedor
Utiliza esta lista como guía de evaluación, no como afirmación de que cada punto ya forma parte del contrato estándar. La profundidad depende de la función y de vuestro análisis de riesgo. Pide una respuesta escrita cuando afecte a vuestro plan de continuidad.
- Alcance: ¿qué sistemas, ubicaciones y servicios cubre la evidencia de seguridad?
- Recuperación: ¿qué pruebas de copia y restauración respaldan los objetivos de recuperación?
- Incidentes: ¿quién avisa a tu equipo, por qué canal y bajo qué condiciones acordadas?
- Dependencias: ¿qué subcontratistas sostienen el servicio y cómo se comunican los cambios?
- Salida: ¿qué registros se exportan, en qué formato y con qué contexto de soporte?
ISO 27001 y SOC 2 Tipo II son evidencia, no una etiqueta DORA
La página de seguridad de Conta recoge ISO 27001 y un informe SOC 2 Tipo II. Solicita los documentos y su alcance. Revisa la entidad, el servicio, la vigencia o periodo examinado y las salvedades relevantes. No deduzcas esos detalles de los distintivos públicos.
Una certificación de seguridad y un informe de aseguramiento responden a preguntas concretas sobre controles. No sustituyen la evaluación del servicio, las condiciones contractuales ni las responsabilidades del personal propio. Evita añadir «certificado DORA» al expediente de compra sin una base válida.
Prueba un escenario financiero, no solo una cifra de disponibilidad
Un ejercicio útil es una interrupción durante el cierre. Define qué exportación aprobada utilizaría el equipo, cómo identificaría su fecha de corte y cómo revisaría la actividad posterior. Determina quién puede autorizar un procedimiento excepcional.
Prueba también la salida de una persona del equipo. Revisa su acceso a organizaciones y sus conexiones externas de IA. Documenta la retirada de permisos y comprueba que el resto puede terminar el cierre. Son ejercicios recomendados, no pruebas de clientes que afirmemos haber realizado.
Distingue dos tipos de evidencia
La trazabilidad contable explica un importe. La evidencia de resiliencia explica cómo se protege, recupera y gobierna el servicio. El expediente del proveedor necesita la segunda; vuestro cierre necesita la primera.
Preguntas frecuentes
¿Conta Finance garantiza el cumplimiento de DORA?
No. Conta aporta controles que pueden apoyar la evaluación del proveedor. Tu entidad debe analizar sus obligaciones, marco de riesgo, contratos y procedimientos de continuidad.
¿El aislamiento implica que una caída nunca nos afectará?
No. El aislamiento reduce determinados riesgos de mezcla de datos. No demuestra independencia de todas las dependencias, caídas o incidentes. Revisa la arquitectura y la evidencia de recuperación.
¿Las exportaciones sustituyen un plan de salida?
No. Prueba formatos, integridad y contexto para el siguiente proceso. Un plan de salida también necesita responsables, plazos y acceso acordado a la información.
Información consultada el 13 de octubre de 2026. Es orientación operativa, no asesoramiento legal. Conta Finance no garantiza el cumplimiento de DORA. Valida aplicación y requisitos contractuales con un profesional cualificado.