I. Introducción: contexto y objetivos de la revisión
La Autoridad Bancaria Europea (EBA) ha publicado recientemente, para consulta pública, el borrador de las Directrices revisadas sobre Gobierno Interno bajo la Directiva 2013/36/UE (CRD). La consulta pública permanecerá abierta hasta el 7 de noviembre de 2025.
El texto se concibe para sustituir y actualizar las Directrices vigentes (EBA/GL/2021/05), de 31 de diciembre de 2021, que han constituido el estándar supervisor de referencia sobre la estructura y el funcionamiento del gobierno interno de las entidades de crédito y determinadas empresas de servicios de inversión en la Unión Europea.
La revisión proyectada responde a la necesidad de alinear la gobernanza con un entorno normativo y tecnológico que ha cambiado de manera sustantiva. En el plano legislativo, la Directiva (UE) 2024/1619 ha reforzado las obligaciones del órgano de administración, ha precisado el régimen aplicable a las sucursales de terceros países y ha consolidado la integración de los riesgos ambientales, sociales y de gobernanza (ESG) en la gestión estratégica. En paralelo, el Reglamento (UE) 2022/2554 (DORA) ha elevado el listón de la resiliencia operativa digital y el Reglamento (UE) 2024/1689 (AI Act) ha introducido expectativas regulatorias en torno al uso seguro y no discriminatorio de sistemas de inteligencia artificial. Asimismo, la EBA incorpora lecciones de supervisión y resultados de ejercicios de benchmarking sobre diversidad e igualdad retributiva.
El objetivo declarado por la EBA es doble. Por una parte, armonizar con mayor precisión las prácticas de gobierno interno en todo el ámbito de la Unión, reduciendo asimetrías entre jurisdicciones y reforzando la comparabilidad de las estructuras de control. Por otra, fortalecer la capacidad de los órganos de administración para dirigir y supervisar, desde una perspectiva integral, los riesgos que afectan a la estabilidad individual de las entidades y a la solidez del sistema financiero en su conjunto.
II. El principio de proporcionalidad: una aplicación más precisa y exigente
El Título I del borrador desarrolla el principio de proporcionalidad previsto en el artículo 74(2) CRD con un detalle que no existía en versiones precedentes. La proporcionalidad deja de ser una cláusula abierta para convertirse en un análisis estructurado que pondera variables objetivas a la hora de dimensionar el marco de gobierno interno.
Entre los factores que deben considerarse se incluyen el tamaño del balance y su distribución geográfica, la complejidad del modelo de negocio, la naturaleza de los clientes y productos, la utilización de modelos internos para requerimientos de capital, la dependencia de proveedores externos para funciones críticas —en especial de tecnologías de la información— y el grado de externalización. Para las sucursales de terceros países, la CRD introduce la clasificación en clases 1 y 2, que orienta la intensidad de las exigencias en función del riesgo sistémico que dichas sucursales pueden proyectar.
Este desarrollo pretende evitar que la invocación de la proporcionalidad conduzca a marcos de gobernanza subóptimos. La EBA exige que la evaluación sea documentada y verificable, de modo que la autoridad competente pueda cuestionar diseños organizativos que, bajo una apariencia de sencillez, comprometan la eficacia de los controles, la independencia funcional de las líneas de defensa o la adecuada gestión de riesgos no tradicionales, como los ESG o los tecnológicos.
III. El órgano de administración: fortalecimiento del papel rector y supervisor
El Título II refuerza el papel del órgano de administración como instancia última de decisión y supervisión. La EBA explicita que corresponde a dicho órgano definir la estrategia, aprobar el apetito de riesgo y asegurar que la organización, los procesos y las funciones de control son adecuados para implementarlos. Esta responsabilidad no es genérica: se acompaña de obligaciones concretas y de mecanismos de rendición de cuentas individual y colectiva.
En materia ESG, el órgano de administración deberá aprobar planes con objetivos cuantificables a corto, medio y largo plazo —siendo este último un horizonte de al menos diez años—. La planificación debe integrar riesgos de transición (derivados de cambios regulatorios y de mercado hacia economías bajas en carbono), riesgos físicos (impacto de fenómenos climáticos), y riesgos sociales y de gobernanza (incluidos los asociados a la cadena de suministro y a prácticas laborales). El enfoque deja de ser declarativo para ser operativo y medible.
Asimismo, la EBA introduce la obligación de establecer políticas y planes específicos para monitorizar y mitigar la concentración de exposiciones frente a contrapartes centrales (CCPs). La finalidad es reducir vulnerabilidades sistémicas que pueden amplificarse cuando una entidad acumula riesgo significativo frente a una única infraestructura de mercado.
Otra novedad relevante es la exigencia de elaborar mapas de funciones y declaraciones individuales que precisen las responsabilidades de cada miembro del órgano. La claridad en la asignación de tareas facilita el escrutinio supervisor y la atribución de responsabilidades en caso de deficiencias, y promueve una dinámica de consejo más eficaz.
En cuanto a conflictos de interés, se refuerzan los requisitos de identificación, prevención, gestión y documentación. Las operaciones con miembros del órgano o con partes vinculadas deberán sujetarse a procedimientos preestablecidos, quedar debidamente registradas y, cuando proceda, ser comunicadas a la autoridad competente. Se subraya, además, la necesidad de que el presidente del órgano sea, como regla general, no ejecutivo, y la incompatibilidad entre la presidencia y la función de director ejecutivo.
IV. Funciones de control interno y el modelo de tres líneas de defensa
El Título V mantiene el modelo de tres líneas de defensa, pero lo dota de mayor densidad técnica. La primera línea —unidades de negocio y funciones operativas— asume la gestión directa de los riesgos derivados de su actividad, lo que incluye riesgos operativos, reputacionales y de cumplimiento. La segunda línea —gestión de riesgos y cumplimiento— debe ejercer una función de reto efectivo, con independencia funcional y jerárquica, y con capacidad para exigir ajustes inmediatos cuando identifique deficiencias. La tercera línea —auditoría interna— evalúa, con plena independencia, la eficacia de las dos primeras y reporta directamente al órgano en su función supervisora.
La EBA enfatiza la integración de riesgos no financieros dentro de este esquema. Los riesgos ESG y los riesgos asociados al uso de inteligencia artificial se incorporan expresamente en el perímetro de la segunda línea, que deberá desarrollar metodologías, métricas y umbrales de tolerancia, y someterlos a un ciclo de validación y revisión periódica. En paralelo, la gestión del riesgo de terceros —incluida la externalización y el uso de proveedores TIC críticos— debe abordarse con un enfoque de ciclo de vida, desde la diligencia debida inicial hasta la terminación de la relación contractual.
El acceso directo de los responsables de las funciones de control al órgano en su función supervisora se configura como salvaguarda esencial. Ello garantiza que las señales tempranas de deterioro del perfil de riesgo o de incumplimiento normativo se eleven sin filtros innecesarios ni interferencias operativas.
V. Sucursales de terceros países: equiparación a estándares de la UE
Las directrices revisadas dedican una atención específica a las sucursales de entidades de terceros países. En línea con el artículo 48 g) CRD, la EBA establece que tales sucursales deben contar, al menos, con dos personas responsables de la dirección efectiva del negocio en la UE, que sean de reconocida honorabilidad y posean conocimientos y experiencia suficientes, con dedicación de tiempo adecuada. Además, deberán disponer de funciones de control internas independientes de las operativas, con autoridad y recursos para desempeñar sus cometidos.
El texto rechaza modelos de presencia meramente formal: las sucursales no pueden operar como estructuras vacías que canalicen actividad hacia el mercado europeo sin la debida sustancia local. Se exige, asimismo, capacidad para gestionar los riesgos derivados de operaciones back-to-back o intragrupo, y para supervisar de forma efectiva a los proveedores de servicios críticos conforme a estándares equiparables a los de entidades establecidas en la UE.
VI. Cultura de riesgos, conducta empresarial y gestión de conflictos de interés
El Título IV profundiza en la dimensión cultural del gobierno interno, asumiendo que la calidad de la toma de decisiones depende, en buena medida, de la existencia de valores corporativos claros y compartidos. Las entidades deben promover una cultura que favorezca la identificación y el reporte temprano de riesgos, la adhesión a estándares éticos y el cumplimiento normativo en sentido amplio, incluyendo la prevención del blanqueo de capitales y de la financiación del terrorismo.
La EBA impulsa la diversidad y la inclusión como elementos que enriquecen el debate en el seno de los órganos de administración. En paralelo, impone la adopción de códigos de conducta y políticas exhaustivas para gestionar conflictos de interés a nivel institucional y personal, con especial atención a las operaciones con partes vinculadas, cuya aprobación, documentación y, en su caso, reporte a la autoridad competente deben quedar claramente regulados.
Por último, se refuerzan los mecanismos internos de denuncia (whistleblowing), que han de permitir que los incumplimientos o malas prácticas se comuniquen de forma confidencial y sin represalias. Estos mecanismos deben articularse con las obligaciones de información a las autoridades cuando la gravedad de los hechos lo exija.
VII. Integración con otros marcos regulatorios y sinergias normativas
Las Directrices de gobierno interno deben aplicarse de forma coordinada con otros instrumentos normativos y guías supervisoras. Destacan, por su relevancia directa, las Directrices conjuntas EBA-ESMA sobre idoneidad de miembros del órgano y titulares de funciones clave, las Directrices de la EBA sobre gestión de riesgos ESG, las Directrices de políticas retributivas, las Directrices sobre externalización y el marco de resiliencia operativa digital de DORA. La reciente aprobación del AI Act exige, además, que la gobernanza de la inteligencia artificial se integre en los procesos de gestión de riesgos y en los mecanismos de control interno.
Esta lectura conjunta evita duplicidades y, sobre todo, asegura que el consejo ejerza un control transversal sobre riesgos financieros y no financieros. La coherencia entre apetito de riesgo, métricas operativas, políticas de remuneración, gestión de terceros y continuidad de negocio se convierte en un requisito material de cumplimiento.
VIII. Implicaciones prácticas
La adaptación a las nuevas Directrices exigirá a las entidades un plan estructurado que combine rediseño documental, refuerzo organizativo y capacitación. En primer término, conviene acometer una revisión integral de estatutos, reglamentos del consejo y políticas marco (gobierno interno, gestión de riesgos, cumplimiento, auditoría, conflictos de interés, ESG, IA, externalización y continuidad de negocio), introduciendo la asignación explícita de responsabilidades y los circuitos de información al órgano en su función supervisora.
En segundo lugar, resultará imprescindible fortalecer la independencia y el estatus de las funciones de control, dotándolas de recursos humanos y tecnológicos acordes con la naturaleza y complejidad de la entidad. Ello implica clarificar la interacción entre líneas de defensa, establecer planes de auditoría basados en riesgo que cubran ESG, IA y terceros, y definir indicadores de alerta temprana con umbrales de tolerancia.
En tercer lugar, debe implantarse un programa de formación continua para miembros del órgano y titulares de funciones clave, orientado a competencias en ESG, resiliencia operativa digital y gobernanza de IA. La calidad del debate en el consejo depende, en gran medida, de la capacidad de sus miembros para comprender y cuestionar en profundidad la información que reciben.
Por último, la entidad ha de evolucionar sus marcos de reporte: los informes al consejo deben ser oportunos, completos y comprensibles, agregando la información financiera y no financiera relevante para una visión holística del perfil de riesgo y del grado de cumplimiento de los planes aprobados.
IX. Conclusiones: hacia una gobernanza estratégica, inclusiva y tecnológica
El borrador de Directrices publicado por la EBA en agosto de 2025 marca un punto de inflexión en la concepción del gobierno interno. La gobernanza deja de ser un conjunto de formalidades organizativas para convertirse en una palanca estratégica que condiciona la sostenibilidad, la resiliencia y la legitimidad de las entidades. El foco en ESG, la atención a la concentración en infraestructuras críticas, la integración de la IA en el perímetro de control y la equiparación de sucursales de terceros países a estándares europeos son manifestaciones concretas de esta evolución.
Las entidades que adopten una aproximación proactiva —que combine ambición técnica y rigor en la ejecución— no solo mitigarán riesgos de sanción o de intervención supervisora, sino que verán reforzada su capacidad para anticipar tendencias, gestionar crisis y generar confianza entre inversores, clientes y autoridades. Este es, en última instancia, el núcleo del mensaje de la EBA: la gobernanza eficaz es un activo estratégico, no un coste de cumplimiento.