1 Introducción

Las prioridades supervisoras para el período 2026-2028 reflejan la estrategia a medio plazo de la Supervisión Bancaria del BCE para los tres próximos años. El Consejo de Supervisión del BCE establece estas prioridades sobre la base de una evaluación exhaustiva de los principales riesgos y vulnerabilidades de las entidades supervisadas. Se revisan anualmente para reflejar los cambios en el panorama de riesgos y los resultados de diversos ejercicios de supervisión, en particular el proceso de revisión y evaluación supervisora (PRES)^[1]. Estas prioridades también se revisan para evaluar los progresos realizados por las entidades de crédito en relación con las prioridades y los requisitos regulatorios de años anteriores. Este tipo de revisión anual favorece una estrategia basada en el riesgo y prospectiva que fomenta una asignación eficiente de los recursos de supervisión, hace que las actuaciones supervisoras sean más transparentes y predecibles para las entidades de crédito, al tiempo que asegura la flexibilidad suficiente para ajustar las prioridades en caso necesario.

El sistema bancario europeo tiene un perfil de riesgo y unos fundamentos sólidos, que le permiten afrontar el entorno geopolítico y macrofinanciero actual, caracterizado por un alto grado de incertidumbre, y apoyar eficazmente la economía europea. Durante el último año, el sector ha seguido comunicando posiciones de capital y de liquidez fuertes y bajos niveles de préstamos dudosos, con niveles de rentabilidad que han mostrado hasta ahora capacidad de resistencia frente a la bajada de los tipos de interés. La solidez de estos fundamentos, consecuencia, en parte, de la mejora de los marcos prudencial y de supervisión desde la crisis financiera mundial, ha permitido al sector superar las dificultades económicas derivadas de la escalada de las tensiones y conflictos comerciales internacionales, así como los períodos posteriores de elevada volatilidad en los mercados financieros. Además, en los últimos años, la capacidad de resistencia del sector bancario se ha beneficiado de medidas públicas destinadas a apoyar la economía real y a mitigar el impacto de perturbaciones adversas. La resiliencia general del sector bancario ante un escenario adverso inducido por las tensiones geopolíticas también se muestra en la prueba de resistencia a escala de la UE de este año.

Con todo, las entidades deben estar preparadas para gestionar los retos futuros. Las incertidumbres globales han aumentado hasta niveles excepcionales, creando un entorno de mayor fragilidad, en el que los riesgos que antes se consideran remotos son cada vez más probables. Las tensiones geopolíticas y los cambios en las políticas comerciales, las crisis relacionadas con el clima y la naturaleza, la evolución demográfica y las perturbaciones tecnológicas están exacerbando las vulnerabilidades estructurales, lo que hace que la posibilidad de que se produzcan eventos extremos de baja probabilidad (riesgos de cola) sea más alta que nunca. La incertidumbre es elevada. Esta combinación de factores aumenta el riesgo de que se produzcan perturbaciones repentinas y graves con consecuencias de gran alcance para las economías, los mercados financieros y las entidades de crédito. Se hace eco del llamamiento a las entidades de los últimos años de mantenerse alerta y evitar la complacencia.

Teniendo en cuenta estas difíciles perspectivas, las prioridades supervisoras para 2026-2028 reflejan la necesidad de que las entidades mantengan su capacidad de resistencia frente a los riesgos geopolíticos y las incertidumbres macrofinancieras (Prioridad 1), y aseguren al mismo tiempo resiliencia operativa y capacidades de TIC sólidas (Prioridad 2).

Figura 1

Prioridades supervisoras para el período 2026-2028 centradas en las vulnerabilidades identificadas en las entidades

Cada prioridad supervisora se refiere a un conjunto concreto de vulnerabilidades del sector bancario para el que se han establecido objetivos estratégicos específicos y programas de trabajo específicos. En la figura 1 se muestran cinco objetivos para abordar las principales vulnerabilidades de las entidades y se describe una estrategia a medio y a largo plazo centrada en las estrategias, en particular, las relacionadas con la inteligencia artificial (IA), la gobernanza y la gestión de riesgos de las entidades. Estas dos prioridades reflejan el compromiso de la Supervisión Bancaria del BCE de promover un sector bancario europeo sólido, resiliente y sostenible, con capacidad para afrontar un panorama de riesgos cada vez más complejo.

La finalidad de las prioridades supervisoras es subsanar las vulnerabilidades más relevantes y generales de las entidades y contribuir al trabajo más amplio de la Supervisión Bancaria del BCE. En paralelo, la Supervisión Bancaria del BCE continúa llevando a cabo actividades de supervisión ordinaria para abordar otras áreas de riesgo relevantes a fin de seguir apoyando la capacidad de resistencia del sector bancario europeo frente a los riesgos específicos de las entidades. El seguimiento de las prioridades anteriores también seguirá siendo un objetivo clave, junto con el diálogo supervisor permanente con las entidades.

Las prioridades supervisoras promueven la eficacia y la coherencia en la actividad de planificación de los equipos conjuntos de supervisión (ECS) y facilitan la asignación eficiente de los recursos, en línea con los niveles predefinidos de tolerancia al riesgo ^[2]. Asimismo, ayudan a los supervisores nacionales a establecer sus propias prioridades para la supervisión de las entidades menos significativas aplicando el principio de proporcionalidad. La comunicación transparente de estas prioridades es fundamental para aclarar las expectativas a las entidades de crédito, reforzar el impacto de esta supervisión en el aumento de la capacidad de resistencia del sector bancario europeo y asegurar la igualdad de condiciones.

En los apartados siguientes se ofrece una visión general de la evaluación de riesgos de 2025 junto con una descripción detallada de las prioridades supervisoras y de los programas de trabajo para el período 2026-2028.

2 Evaluación de riesgos y prioridades supervisoras para el período 2026-2028

2.1 Entorno macroeconómico y operativo de las entidades supervisadas

Durante el pasado año, el entorno macroeconómico se ha caracterizado por una intensificación de las tensiones del comercio mundial y un mayor alcance de los riesgos geopolíticos, lo que se ha traducido en cambios en las políticas comerciales y en un aumento de la incertidumbre general. El anuncio de los nuevos aranceles de importación estadounidenses a principios de abril de 2025 generó ventas masivas en los mercados de bonos que intensificaron los temores de recesión a escala mundial. La incertidumbre sobre las políticas económicas, especialmente en el ámbito del comercio internacional, aumentó hasta niveles sin precedentes, lo que se tradujo en una notable volatilidad en los mercados financieros^[3]. Los anuncios posteriores —primero de una pausa temporal en las subidas arancelarias y, más adelante, de un acuerdo comercial que evitaron una guerra comercial entre Estados Unidos y la UE— provocaron una escalada de los mercados de renta variable. Aunque las pérdidas iniciales se revirtieron, los mercados de renta variable siguen siendo volátiles y vulnerables a nuevas correcciones de precios, debido a las elevadas valoraciones y una alta concentración del riesgo^[4].

Pese a las fluctuaciones de la actividad económica, siguen dándose unas condiciones favorables para que el crecimiento del PIB real de la zona del euro se refuerce durante el horizonte temporal considerado, y se prevé que la inflación se estabilice en torno al objetivo del 2 % a medio plazo^[5]. Se prevé que una actividad económica más intensa de lo esperado en el primer trimestre de 2025, atribuible en parte al adelanto de las exportaciones en previsión de la subida de los aranceles, dé paso a un crecimiento más débil en el segundo semestre del año. No obstante, se estima que el crecimiento del PIB real de la zona del euro aumentará a medio plazo, respaldado por la mejora de la renta real disponible, la reducción de la incertidumbre, el fortalecimiento de la demanda externa y el estímulo fiscal relacionado con la defensa y las infraestructuras. Los indicadores de opinión también sugieren una expansión moderada tanto en las manufacturas como en los servicios, lo que señala un dinamismo subyacente positivo en la economía. Se prevé que la inflación general se mantenga en torno al objetivo del 2 % a medio plazo, mientras que la inflación subyacente disminuiría como consecuencia de la relajación de las presiones sobre los costes laborales y de la apreciación del euro.

Aunque la incertidumbre se moderó ligeramente en el segundo semestre del año, sigue siendo elevada en comparación con los niveles históricos, lo que supone riesgos para las perspectivas económicas^[6]. Los riesgos para el crecimiento económico se han equilibrado más debido a que los acuerdos comerciales han reducido la incertidumbre^[7]. No obstante, una nueva intensificación de las tensiones comerciales a escala mundial podría afectar al crecimiento de las exportaciones y frenar la inversión y el consumo. Las tensiones geopolíticas actuales siguen siendo una importante fuente de riesgo para las perspectivas macroeconómicas. Un posible deterioro del clima de los mercados financieros podría traducirse en un endurecimiento de las condiciones de financiación, una mayor aversión al riesgo y un debilitamiento del crecimiento. Además, la combinación de un crecimiento más débil de lo esperado, mayores necesidades de gasto en defensa y retos estructurales —como la baja productividad, el envejecimiento de la población, el cambio climático y la digitalización— podría socavar la sostenibilidad de la deuda soberana, especialmente en los países muy endeudados^[8].

Hasta ahora, los mercados financieros y el sector bancario europeo han demostrado una fuerte resiliencia frente a las perturbaciones externas, a veces con la ayuda de un conjunto de medidas de apoyo público, incluidas las políticas fiscal y monetaria. La abundancia de liquidez en el sistema financiero desempeñó un papel fundamental en la contención del número de posiciones que se revirtieron durante las ventas masivas en los mercados de bonos de abril. Aunque las turbulencias relacionadas con los aranceles y el consiguiente repunte de la volatilidad macroeconómica fueron significativos, resultaron ser de corta duración. Los mercados de renta variable repuntaron con rapidez tras el anuncio de la pausa temporal en las subidas de aranceles, y los precios de los activos bancarios europeos se vieron respaldados por sus sólidos fundamentos. A raíz de las perturbaciones derivadas de las políticas comerciales, la probabilidad de nuevas tensiones geopolíticas y macrofinancieras sigue siendo elevada, aumentando el riesgo de una corrección brusca de los precios en los mercados, lo que podría tener consecuencias adversas para la estabilidad financiera de la zona del euro y de la economía mundial. Este riesgo podría verse agravado a su vez por la creciente interconexión entre entidades financieras bancarias y no bancarias^[9].

Además, las elevadas necesidades de gasto público, junto con el limitado margen de maniobra fiscal disponible, podrían generar preocupación sobre la sostenibilidad de la deuda soberana en algunos países, que daría lugar a un aumento de los costes de financiación y de los efectos de contagio a las entidades de crédito y a las empresas^[10]. Más adelante, esto también podría limitar el margen de actuación disponible para amortiguar las perturbaciones para la economía real.

2.2 Prioridad 1: Reforzar la capacidad de resistencia de las entidades frente a los riesgos geopolíticos y las incertidumbres macrofinancieras

El actual entorno macrofinanciero y geopolítico confirma la necesidad de una fuerte capacidad de resistencia financiera del sector bancario europeo y justifica una intensificación de la atención supervisora en determinados ámbitos. En particular, las entidades deben asegurar una asunción de riesgos prudente y unos criterios de concesión de crédito sólidos para evitar la acumulación de nuevos préstamos dudosos. Además, los supervisores prestarán especial atención a la forma en que las entidades aplican los nuevos métodos estándar más sensibles al riesgo, diseñados para contribuir al cálculo de los requisitos de capital de conformidad con el paquete bancario RRC III/DRC VI. Estos nuevos marcos de requisitos de capital armonizan mejor los requisitos de capital con los riesgos reales de las entidades y se espera que su impacto en los cálculos de los activos ponderados por riesgo aumente con el tiempo con la introducción gradual del nuevo suelo al importe total de la exposición en riesgo (output floor). Por último, la creciente frecuencia de las catástrofes relacionadas con el clima y el lento avance hacia los objetivos de cero emisiones netas en el marco del Acuerdo de París requieren que las entidades refuercen en mayor medida su gestión de los riesgos relacionados con el clima y la naturaleza.

Los riesgos geopolíticos, en cuanto factor clave de la incertidumbre macroeconómica, siguen estando en el foco de las prioridades supervisoras del BCE. En este contexto, la prueba de resistencia temática de 2026 evaluará escenarios de riesgo geopolítico específicos de cada entidad y la posibilidad de que tengan un impacto significativo en la solvencia de los bancos^[11]. También ayudará a determinar la forma en que los escenarios de riesgo geopolítico considerados por las entidades podrían afectar a sus condiciones de financiación y de liquidez. Dada su naturaleza transversal, los riesgos geopolíticos se tendrán en cuenta tanto en las actividades de supervisión prioritarias como en las ordinarias. Como parte de sus actividades ordinarias, los supervisores evaluarán la capacidad de las entidades para resistir perturbaciones geopolíticas y revisarán las declaraciones de adecuación del capital interno y de la liquidez interna de las entidades, sus procesos de planificación de la liquidez y la financiación, los planes de recuperación y los marcos de pruebas de resistencia internas.

2.2.1 Vulnerabilidad prioritaria: Asegurar una asunción de riesgos prudente y unos criterios de concesión de crédito sólidos

Objetivo estratégico: Para fomentar una asunción de riesgos prudente, las entidades supervisadas deben adoptar y mantener unos criterios sólidos para la concesión de crédito y para la fijación de precios en función del riesgo, y ajustarse a los cambios en el entorno macrofinanciero y a sus circunstancias específicas.

La calidad de los activos de las entidades supervisadas se ha mantenido, en general, estable durante el pasado año, respaldada por la resiliencia de los hogares y de las empresas ante la subida de los tipos de interés. Si bien los volúmenes de préstamos dudosos aumentaron ligeramente el año pasado, principalmente en los segmentos de consumo y de pequeñas y medianas empresas, las ratios de préstamos dudosos de la mayoría de las entidades supervisadas mejoraron. Las perspectivas económicas de la zona del euro siguen siendo favorables en términos generales, y se espera que la bajada de los tipos de interés y unos niveles de deuda más saneados reduzcan las presiones sobre el servicio de la deuda. También se espera que los mercados inmobiliarios residenciales mantengan su resiliencia, beneficiándose de las condiciones favorables en los mercados de trabajo, y hay señales de estabilización en el segmento de inmuebles comerciales, aunque el sector de los inmuebles destinados a oficinas de alto riesgo (subprime) sigue siendo débil en un contexto de baja demanda persistente^[12]. Al mismo tiempo, siguen existiendo importantes riesgos a la baja derivados, en particular, de las tensiones comerciales entre Estados Unidos y la UE y del mayor alcance de los riesgos geopolíticos, que podrían afectar a sectores con elevados volúmenes de exportación a Estados Unidos, como el automovilístico, el químico o el farmacéutico y traducirse en un descenso de la calidad de los activos. En respuesta a estas incertidumbres globales, algunas entidades comenzaron a aumentar sus provisiones, pero el coste agregado del riesgo y los niveles de provisiones se mantuvieron, en general, estables. Dada la posibilidad de que las condiciones macroeconómicas se deterioren debido a la escalada de las tensiones geopolíticas y del comercio mundial, es fundamental asegurar que las entidades de crédito apliquen criterios de concesión de crédito sólidos a los nuevos préstamos^[13].

Las evaluaciones supervisoras muestran que, pese a los avances realizados, algunas entidades siguen mostrando deficiencias en sus marcos de aplicación de la Norma Internacional de Información Financiera 9 (NIIF 9) y de gestión del riesgo de crédito para sus carteras más vulnerables. Las inspecciones in situ y a distancia revelaron mejoras en la captura de la evolución de los riesgos^[14], como los relacionados con el clima y la naturaleza, pero sigue habiendo problemas persistentes como overlays arbitrarios y una captura inadecuada de los riesgos^[15]. Los supervisores identificaron debilidades en los marcos de provisiones y de aplicación de la NIIF 9 en el PRES de 2025 y seguirán realizando un seguimiento de las deficiencias restantes como parte de su trabajo de supervisión ordinaria. Además, continuaron realizando un estrecho seguimiento de la gestión de los deudores más vulnerables por parte de las entidades. Una revisión específica de la cartera de pequeñas y medianas empresas reveló deficiencias importantes en las áreas de gobernanza (incluido el uso por las entidades de datos obsoletos para realizar evaluaciones), los sistemas de alerta temprana (que a menudo dependen únicamente de las calificaciones) y la preparación para hacer frente a las dificultades financieras de los prestatarios. Las inspecciones in situ del riesgo de crédito en la cartera de pequeñas y medianas empresas, y en otras carteras vulnerables, como el sector inmobiliario comercial, siguieron mostrando problemas relacionados con las provisiones, los procesos de gestión del riesgo de crédito (incluida la valoración de las garantías), la gobernanza y la calidad de los datos.

De cara al futuro, los supervisores darán prioridad a la asunción de riesgos prudente y a que las entidades cuenten con unos criterios de concesión de crédito sólidos para evitar que se produzcan futuros préstamos dudosos. Se llevará a cabo una revisión temática, basada en el ejercicio de 2019^[16], para evaluar la forma en que las entidades mitigan las posibles pérdidas a través de sus marcos de concesión de crédito. A continuación, se presentarán iniciativas específicas, que incluirán medidas correctoras e inspecciones in situ sobre el riesgo de crédito centradas en los criterios de concesión. En las entidades en las que la revisión temática identifique problemas relacionados con la fijación de precios de los préstamos o la gestión de costes, se llevarán a cabo revisiones adicionales para evaluar si las prácticas de concesión de crédito son acordes con los objetivos de rentabilidad sostenible.

2.2.1.1 Principales actividades incluidas en el programa de trabajo para estas prioridades supervisoras

• Revisión temática de los criterios de concesión de crédito, centrada en los nuevos préstamos para evaluar la forma en que las entidades se proponen mitigar las posibles pérdidas crediticias futuras
• Revisión específica de la fijación de los precios de los préstamos, como seguimiento de la revisión temática, para evaluar las prácticas y los criterios de fijación del precio de los préstamos de las entidades de crédito
• Inspecciones in situ sobre el riesgo de crédito, que incluyan los marcos de originación y concesión de préstamos de las entidades

2.2.2 Vulnerabilidad prioritaria: Asegurar una capitalización adecuada y una aplicación coherente del RRC III

Objetivo estratégico: Para mantener una capitalización adecuada, las entidades supervisadas deben aplicar el nuevo método estándar para calcular sus requisitos mínimos de capital con arreglo al RRC III, de manera coherente y precisa.

El marco final de Basilea III, elaborado en respuesta a la crisis financiera mundial, tiene por objeto que las entidades de crédito estén mejor equipadas para absorber las perturbaciones económicas y mantener al mismo tiempo su capacidad para financiar la actividad económica y respaldar el crecimiento. En la UE, este marco se implantó a través del paquete RRC III/DRC VI, que entró en vigor el 1 de enero de 2025. Este paquete legislativo refuerza los requisitos europeos de gobernanza y supervisión bancaria e introduce cambios fundamentales en el cálculo de los activos ponderados por riesgo de las entidades en todas las categorías de riesgos prudenciales.

Por tanto, es fundamental que las entidades apliquen el nuevo método estándar de manera coherente y precisa para asegurar que los requisitos de capital estén más alineados con sus riesgos reales. Aunque las revisiones supervisoras pertinentes llevadas a cabo en el pasado han tenido algunas limitaciones, los análisis específicos realizados por los ECS y las inspecciones in situ sobre la aplicación del método estándar por parte de las entidades indicaron deficiencias importantes derivadas de errores en las clasificaciones de exposiciones, las asignaciones de ponderaciones de riesgo y las valoraciones de garantías o de controles deficientes por parte de sus funciones de control de riesgos.

Se requerirá un control supervisor más estricto en el futuro para tener en cuenta el papel cada vez más importante del método estándar en la determinación de la solvencia de las entidades, también mediante el cálculo del nuevo suelo al importe total de la exposición en riesgo (output floor). En lo que respecta al riesgo de crédito, los supervisores evaluarán la aplicación del método estándar por parte de las entidades tras los cambios relevantes introducidos por el RRC III. Los supervisores combinarán inspecciones in situ con revisiones específicas para evaluar la adecuación de los marcos de capital de las entidades. La corrección de las deficiencias asociadas se controlará mediante el seguimiento ordinario del ECS. En lo que respecta al riesgo operacional, el RRC III introduce un nuevo enfoque no basado en modelos aplicable a todas las entidades, que sustituye al anterior. Como en relación con el riesgo de crédito, los supervisores llevarán a cabo una revisión inicial para identificar posibles valores atípicos, sobre la base de los activos ponderados por riesgo de crédito comunicados por las entidades y de otras evaluaciones cualitativas, y posteriormente realizarán una revisión específica de las entidades con mayor riesgo de errores de cálculo. En cuanto al riesgo de mercado, dado el aplazamiento de la primera fecha de aplicación de la revisión fundamental de la cartera de negociación, las revisiones supervisoras específicas pertinentes solo se llevarán a cabo a solicitud de los ECS, en función del resultado de su diálogo continuado con las entidades en este ámbito.

2.2.2.1 Principales actividades incluidas en el programa de trabajo para estas prioridades supervisoras

• Riesgo de crédito: revisiones específicas e inspecciones in situ centradas en el cálculo de los activos ponderados por riesgo con arreglo al método estándar
• Riesgo operacional: revisiones específicas del cálculo del componente de indicador de actividad para ayudar al cálculo de los requisitos de capital correspondientes

2.2.3 Vulnerabilidad prioritaria: Asegurar la gestión prudente de los riesgos relacionados con el clima y la naturaleza

Objetivo estratégico: Las entidades deben evaluar y gestionar eficazmente los riesgos a corto, medio y largo plazo derivados de la crisis climática y de la naturaleza, y subsanar las deficiencias persistentes en sus marcos de gestión de riesgos correspondientes.

Con unas temperaturas mundiales que superan en 1,5 °C la media preindustrial y dado que Europa es el continente con el calentamiento más rápido del planeta^[17], los graves fenómenos relacionados con el clima y la naturaleza son cada vez más frecuentes y costosos. Acontecimientos como las recientes inundaciones e incendios forestales en toda Europa demuestran el creciente coste humano y económico derivado de las crisis del clima y la naturaleza^[18]. Al mismo tiempo, la elevada y creciente brecha en la protección de los seguros, que solo cubre alrededor del 25 % de las pérdidas por riesgos asociados a fenómenos naturales, representa riesgos adicionales para el crecimiento del PIB y potencialmente para la exposición de los balances de las entidades^[19]. Por otra parte, el retraso en el progreso de las economías mundiales hacia los objetivos de cero emisiones netas en el marco del Acuerdo de París está incrementando el riesgo de transición^[20]. Un escenario de transición desordenada «run-on-brown»^[21], junto con una recesión, podría dar lugar a pérdidas significativas por riesgo de crédito y de mercado para los bancos europeos^[22].

Las entidades significativas han avanzado considerablemente y están en buenas condiciones para cumplir los requisitos prudenciales de planificación de la transición. Las entidades de crédito europeas han avanzado significativamente en el tratamiento de los riesgos derivados de la crisis del clima y la naturaleza. Mientras que en 2019 menos de una cuarta parte de las entidades de la zona del euro habían considerado estos riesgos, ahora cuentan con un número cada vez mayor de prácticas avanzadas para identificar, vigilar y, lo que es más importante, gestionar los riesgos relacionados con el clima y la naturaleza. En 2022, casi el 80 % de las entidades o bien no disponía de prácticas para la gestión de riesgos o estas eran básicas. Sobre la base de su modesto nivel de preparación en aquel momento, tras la revisión temática sobre los riesgos relacionados con el clima y medioambientales de 2022 y la prueba de resistencia sobre riesgo climático de 2022, la Supervisión Bancaria del BCE animó a las entidades de crédito a acelerar sus avances y fijó plazos intermedios claros para 2023 y plazos finales para el final de 2024 para alinear sus prácticas con las expectativas supervisoras teniendo en cuenta sus especificidades. Como nota positiva, el número de entidades que carecen de elementos básicos ha disminuido considerablemente en los últimos años^[23]. Además, los avances logrados por las entidades en la gestión de los riesgos relacionados con el clima y la naturaleza les permiten reforzar sus capacidades internas para gestionar eficazmente otros riesgos, como los geopolíticos. El análisis de los riesgos de concentración y en las cadenas de suministro —por ejemplo, entender la presencia geográfica, las dependencias y las vulnerabilidades de los clientes— y la planificación de escenarios y el marco de pruebas de resistencia —por ejemplo, diseñar y poner a prueba escenarios verosímiles, pero inciertos— son solo algunas áreas que se han beneficiado en los últimos años de la mejora de la gestión por parte de las entidades de los riesgos relacionados con el clima y la naturaleza y que pueden aplicarse para vigilar y evaluar el impacto de otros factores de riesgo transversales, como los riesgos geopolíticos.

No obstante, sigue siendo fundamental continuar los esfuerzos. La evolución del panorama de riesgos ya indica que los riesgos relacionados con el clima y la naturaleza muestran una tendencia al alza^[24] y que, a diferencia de los factores de riesgo cíclicos, el riesgo climático constituye una perturbación permanente en una sola dirección, con graves efectos a largo plazo sobre los precios de la vivienda y el valor de otros activos^[25]. Esta tendencia también se refleja en los avances más recientes en el ámbito de las evaluaciones de significatividad de las entidades, que ponen de manifiesto que el 90 % de las entidades examinadas consideran tener una exposición significativa a los riesgos relacionados con el clima y la naturaleza, frente a alrededor del 50 % en 2021. Además, la modelización y cuantificación de estos riesgos están todavía en una fase inicial y son objeto de importantes infravaloraciones, por ejemplo, en los modelos de riesgo físico^[26]. La Supervisión Bancaria del BCE también observa dificultades persistentes, entre ellas, los riesgos físicos relacionados con el clima y la naturaleza, y la acumulación de debilidades específicas en determinadas entidades de crédito, en particular en lo que se refiere a la exhaustividad de sus prácticas. Por tanto, los supervisores realizarán un seguimiento de estas deficiencias como parte de sus actividades de supervisión ordinarias.

De cara al futuro, los supervisores seguirán realizando un seguimiento de los avances realizados y de la corrección de las deficiencias por parte de las entidades, al tiempo que centrarán los ejercicios de supervisión específicos en los requisitos prudenciales de planificación de la transición y en las dificultades persistentes de las entidades para cumplir las expectativas supervisoras y los requisitos regulatorios en materia de gestión de los riesgos relacionados con el clima y la naturaleza. En consonancia con la DRC VI, se solicitará a las entidades que elaboren planes de transición prudencial que serán revisados por los supervisores de conformidad con las Directrices de la ABE sobre la gestión de los riesgos ambientales, sociales y de gobernanza (ASG). La Supervisión Bancaria del BCE adoptará un enfoque gradual y específico, que se centrará en los nuevos elementos de estas directrices, en primer lugar a través de un diálogo informal con las entidades que irá seguido de una revisión temática. Los supervisores también seguirán haciendo un seguimiento del cumplimiento por las entidades de las obligaciones de comunicación de información del Pilar 3 en materia ambiental, social y de gobernanza, y llevarán a cabo una revisión específica de su divulgación de información sobre los riesgos físicos. La Supervisión Bancaria del BCE realizará nuevos análisis de la capacidad de las entidades para hacer frente a las dificultades persistentes, incluidas las relativas al riesgo físico. Además, las inspecciones in situ se centrarán también en la gestión de los riesgos relacionados con el clima y la naturaleza por parte de las entidades, ya sea de forma individual, haciendo especial hincapié en dichos riesgos, o en el marco de inspecciones in situ específicas sobre riesgos, como las relativas al riesgo de crédito. Por último, la Supervisión Bancaria del BCE pretende actualizar a su debido tiempo su compendio de buenas prácticas referidas a los riesgos relacionados con el clima y la naturaleza.

Principales actividades incluidas en el programa de trabajo para estas prioridades supervisoras

• Vigilancia y seguimiento específicos de las medidas correctoras de las entidades para subsanar de las deficiencias pendientes identificadas en la revisión temática y en la prueba de resistencia sobre riesgo climático de 2022
• Revisión temática de la planificación de la transición de las entidades en consonancia con el paquete DRC VI
• Evaluación horizontal del cumplimiento por las entidades de las obligaciones de comunicación de información del Pilar 3 en materia ambiental, social y de gobernanza
• Análisis exhaustivo de la capacidad de las entidades para hacer frente a las dificultades persistentes, entre ellas, los riesgos físicos
• Inspecciones in situ sobre la gestión de los riesgos relacionados con el clima y la naturaleza, ya sea de forma individual o en el marco de revisiones programadas de otras áreas de riesgo

2.3 Prioridad 2: Reforzar la resiliencia operativa de las entidades y fomentar unas capacidades de TIC sólidas

Para mitigar los riesgos emergentes y evitar disrupciones en operaciones y servicios esenciales es fundamental contar con unos marcos de gestión del riesgo operacional adecuados y resilientes y unas capacidades de TIC sólidas. Con la entrada en vigor del Reglamento sobre la resiliencia operativa digital (Digital Operational Resilience Act, DORA) a principios de 2025, las entidades de crédito deben asegurar que aplican con rapidez y coherencia los requisitos pertinentes, en particular los aplicables a la gestión del riesgo relacionado con las TIC derivado de terceros y de la respuesta a incidentes. Asimismo, sigue siendo esencial subsanar las deficiencias importantes identificadas en anteriores revisiones supervisoras de la ciberseguridad, la gestión del riesgo derivado de terceros y la agregación de datos sobre riesgos y presentación de informes de riesgos (RDARR). Además, en el marco de una estrategia a medio y largo plazo y de la creciente digitalización de las operaciones bancarias, la Supervisión Bancaria del BCE intensificará gradualmente sus esfuerzos para mantener contactos con las entidades sobre el modo en que utilizan las nuevas tecnologías, y en particular la IA, para aprovechar los posibles beneficios, teniendo en cuenta al mismo tiempo los riesgos asociados. Esto contribuirá al desarrollo de un futuro enfoque supervisor.

2.3.1 Vulnerabilidad prioritaria: Implementar marcos de gestión del riesgo operacional adecuados y resilientes

Objetivo estratégico: Para fortalecer su capacidad de prevención, resistencia y recuperación ante disrupciones en operaciones y servicios esenciales, las entidades deben elaborar y mantener marcos de gestión del riesgo operacional adecuados y resilientes. Deben proseguir sus esfuerzos para subsanar con rapidez y eficacia las deficiencias detectadas anteriormente en el ámbito de la ciberseguridad y de la gestión del riesgo derivado de terceros y cumplir plenamente el Reglamento DORA.

La rápida evolución del panorama de ciberamenazas, intensificada por los riesgos geopolíticos, sigue poniendo a prueba la ciberseguridad de las entidades de crédito y su capacidad de gestión del riesgo derivado de terceros. En los últimos años las notificaciones de ciberincidentes importantes se han duplicado^[27], los ataques ransomware son cada vez más sofisticados y las actividades patrocinadas por Estados plantean amenazas persistentes, incluidas amenazas híbridas como la manipulación de la información, lo que justifica una vigilancia constante^[28]. Aunque las entidades han demostrado su capacidad de resistencia frente a estos ataques —así como a otros incidentes de carácter operativo— y han podido evitar disrupciones graves, sucesos recientes, como los cortes de electricidad ocurridos en Europa, subrayan la importancia de que las entidades elaboren medidas de mitigación y adopten planes de contingencia eficaces para los riesgos a los que están expuestas sus infraestructuras críticas, que incluyan todos los sistemas de información esenciales y múltiples escenarios verosímiles ^[29]. Los avances en el desarrollo de aplicaciones de IA también pueden poner significativamente a prueba la ciberseguridad de las entidades de crédito, ya que cualquier infravaloración de los riesgos de seguridad correspondientes antes de su implementación podría introducir vulnerabilidades graves en sus sistemas de TIC^[30]. Además, la información periódica con fines de supervisión evidencia que las entidades de crédito dependen en gran medida de unos pocos proveedores terceros de servicios, muchos de los cuales tienen su sede fuera de la UE ^[31], lo que aumenta la complejidad de los acuerdos de externalización de las entidades y las expone a una mayor vulnerabilidad, en particular debido a las tensiones geopolíticas.

Los resultados agregados del PRES de 2025 y la información obtenida de las actividades de supervisión confirman la necesidad de reforzar las prácticas de gestión del riesgo de TIC de las entidades de crédito. El riesgo operacional y el riesgo de TIC siguen recibiendo las peores puntuaciones medias en el PRES. Las revisiones supervisoras han puesto de manifiesto debilidades recurrentes en las estrategias de ciberseguridad, deficiencias en la gestión de ciberincidentes y carencias en los marcos de gestión del riesgo derivado de terceros^[32]. La Supervisión Bancaria del BCE ha finalizado recientemente su Guía sobre la externalización de servicios en la nube a proveedores de servicios en la nube para dar respuesta al creciente uso de soluciones basadas en la nube por parte de las entidades de crédito. La guía describe las expectativas supervisoras en relación con la aplicación de los requisitos establecidos en el Reglamento DORA y ofrece ejemplos de buenas prácticas para una gestión eficaz del riesgo de externalización de servicios en la nube, al tiempo que tiene por objeto garantizar la igualdad de condiciones entre todas las entidades supervisadas.

En el futuro, la Supervisión Bancaria del BCE fomentará una aplicación sólida y coherente de los requisitos establecidos en el Reglamento DORA. El cumplimiento del Reglamento DORA se evaluará en una amplia variedad de actividades. Tras anteriores revisiones supervisoras de la seguridad de TI/ciberresiliencia y de la gestión del riesgo de externalización de TI, ahora se realizará un seguimiento específico de entidades con deficiencias importantes en estas áreas para acelerar su subsanación efectiva y oportuna. Para ello, se llevarán a cabo dos campañas de inspección in situ centradas en la ciberseguridad y en la gestión del riesgo derivado de terceros dirigidas a las entidades más vulnerables identificadas por los ECS. Como parte del nuevo mandato de supervisión en virtud del Reglamento DORA, también se realizarán pruebas de penetración basadas en amenazas para mejorar las estrategias de ciberresiliencia de las entidades. Sobre la base de la guía publicada sobre la externalización de servicios en la nube, los supervisores también llevarán a cabo un análisis exhaustivo para evaluar el grado de preparación de determinadas entidades de crédito frente a posibles disrupciones del servicio causadas por un importante proveedor de servicios en la nube. Por último, dado que la principal causa de interrupción no planificada en las entidades radica a menudo en los cambios en los sistemas de TIC, la Supervisión Bancaria del BCE realizará una revisión específica de la gestión de esos cambios para identificar carencias en los marcos básicos de control y mejorar las capacidades de las entidades para gestionarlos.

La supervisión de proveedores terceros esenciales con arreglo al marco de supervisión establecido por el Reglamento DORA se pondrá en marcha en enero de 2026. La Supervisión Bancaria del BCE apoya firmemente este nuevo marco de supervisión, que contribuirá a reforzar la resiliencia operativa digital en el conjunto del sector financiero de la UE. La supervisión de proveedores terceros esenciales por parte de las entidades tiene por objeto complementar, pero no sustituir, una gestión adecuada del riesgo derivado de terceros.

2.3.1.1 Principales actividades incluidas en el programa de trabajo para estas prioridades supervisoras

• Seguimiento específico de las estrategias de medidas correctoras de las entidades de crédito que comunican deficiencias importantes en la seguridad de TIC/ciberresiliencia y en la externalización de TIC
• Dos campañas de inspección in situ sobre gestión de la ciberseguridad y gestión del riesgo derivado de terceros, en línea con los nuevos requisitos del Reglamento DORA
• Pruebas de penetración basadas en amenazas para identificar las vulnerabilidades de las entidades y mejorar su resiliencia en ciberseguridad
• Revisión específica de la gestión de cambios de TIC
• Análisis exhaustivo de la dependencia de las entidades de proveedores de servicios en la nube para evaluar su preparación ante posibles disrupciones del servicio

2.3.2 Vulnerabilidad prioritaria: Subsanar las deficiencias en las capacidades de presentación de informes de riesgos y en los sistemas de información correspondientes

Objetivo estratégico: Para apoyar una gestión de riesgos adecuada y una toma de decisiones eficaz, las entidades deben redoblar sus esfuerzos para subsanar de manera eficaz y oportuna las debilidades importantes identificadas en sus marcos de RDARR y armonizarlos con las expectativas supervisoras establecidas en la Guía del BCE pertinente.

La incertidumbre del entorno geopolítico y la rápida digitalización de las operaciones y servicios de las entidades de crédito ponen de relieve la necesidad de disponer de sistemas internos de información resilientes y de capacidades de RDARR sólidas. La información puntual y precisa sobre riesgos es esencial para una dirección eficiente, una toma de decisiones estratégicas oportuna y una gestión eficaz de las crisis. Además, un marco sólido de RDARR permite a las entidades aprovechar las herramientas y tecnologías de digitalización, como la IA y los métodos analíticos avanzados^[33].

Sin embargo, los avances realizados por las entidades supervisadas para subsanar las deficiencias estructurales en sus marcos de RDARR siguen siendo lentos y las actividades de supervisión durante el ciclo del año pasado ponen de manifiesto la necesidad de seguir reforzando sus medidas correctoras para cumplir las expectativas supervisoras. Los resultados del PRES de 2025 apuntan a deficiencias persistentes en los marcos de RDARR de las entidades, sin mejoras en la puntuación media correspondiente en comparación con el año pasado. La campaña de inspecciones in situ 2022-2024 y las revisiones específicas de 2024 de los marcos de RDARR revelaron debilidades relacionadas con: i) los marcos de gobernanza de datos, en particular la exhaustividad o la adecuación del grado de participación de los órganos de administración, ii) la infraestructura de datos y la arquitectura informática, y iii) la exactitud e integridad de los datos. Las revisiones específicas de 2024 también señalaron carencias con respecto a los principios del CSBB 239 y las expectativas supervisoras pertinentes, como se señala en la ECB Guide on effective risk data aggregation and risk reporting.

Se intensificarán los esfuerzos de supervisión para asegurar que las entidades mejoren sus marcos y capacidades de RDARR y cumplan las expectativas supervisoras pertinentes. En diciembre de 2024, el Consejo de Supervisión del BCE aprobó una estrategia a nivel de sistema, que comprende todas las entidades supervisadas, para vigilar su cumplimiento de las expectativas supervisoras y, en su caso, realizar un seguimiento de sus estrategias de medidas correctoras. Esta estrategia se centró inicialmente en la rendición de cuentas de los órganos de administración respecto al control y aplicación del marco de RDARR, antes de ampliarse gradualmente a otras expectativas supervisoras, como la gestión de la calidad de los datos y la arquitectura informática y de datos. Un proceso de corrección y escalado claramente definido guiará las medidas de los supervisores que, en caso necesario, utilizarán las herramientas de supervisión existentes. Se llevarán a cabo inspecciones in situ para obtener información adicional sobre los avances de las entidades para corregir las deficiencias más graves y complejas.

2.3.2.1 Principales actividades incluidas en el programa de trabajo para estas prioridades supervisoras

• Estrategia a nivel de sistema y revisiones supervisoras relacionadas para vigilar el cumplimiento por parte de las entidades de las expectativas supervisoras sobre los marcos de RDARR, así como la subsanación efectiva de las deficiencias más importantes
• Inspecciones in situ sobre los marcos de RDARR para las entidades que requieren una evaluación adicional, así como inspecciones in situ centradas en las deficiencias graves identificadas con anterioridad

2.3.3 Estrategia sobre prioridades a medio y largo plazo centrada en las estrategias, la gobernanza y la gestión de riesgos digitales de las entidades y, en particular, de las relacionadas con la IA

Objetivo estratégico: Cuando utilicen nuevas tecnologías, y en particular la IA, para mejorar la eficiencia y la innovación, las entidades dispondrán de estrategias que reflejen de manera efectiva las oportunidades y los riesgos derivados de las aplicaciones correspondientes y establecerán los controles de gobernanza y de riesgos adecuados para gestionar los riesgos subyacentes.

Las entidades supervisadas deben dar prioridad a sus esfuerzos de digitalización para reforzar su competitividad y gestionar eficazmente los riesgos derivados de las nuevas tecnologías. La rapidez de los cambios tecnológicos, en particular en el ámbito de la IA, están reconfigurando el sector bancario y las entidades deben actuar estratégicamente para reflejar el valor a largo plazo y adaptar sus modelos de negocio. Tanto los factores de oferta (incluida la mayor disponibilidad de recursos técnicos más asequibles, como el desarrollo de modelos y el almacenamiento en la nube) como los factores de demanda (incluidas las ganancias de eficiencia esperadas y el aumento de la competencia) están dando lugar a un uso más amplio de la IA en las entidades, aprovechando a menudo las capacidades de modelización establecidas internamente. Si bien la IA tiene el potencial de mejorar la gestión de riesgos y el tratamiento de información, así como de aumentar la eficiencia a través de la automatización, los riesgos asociados pueden resultar más evidentes, ya que las aplicaciones de IA correspondientes se utilizan de forma más generalizada. A este respecto, las herramientas de IA generativa son un importante avance tecnológico, con un impacto potencialmente elevado en las entidades. Aunque la tecnología está en constante evolución, la atención supervisora seguirá siendo neutra desde el punto de vista tecnológico y se centrará en los casos y riesgos de uso. Por tanto, el creciente uso de herramientas de IA tanto en las entidades sujetas a la regulación prudencial como en las no sujetas exige un enfoque estructurado y holístico que integre la estrategia, la gobernanza y la gestión de riesgos relacionadas con la IA. Los supervisores, a su vez, deben perfeccionar sus marcos de evaluación incluidos en el ámbito de su vigilancia para mejorar la evaluación de las estrategias de las entidades relacionadas con la IA, promover la aplicación de las mejores prácticas del sector y garantizar la adopción de salvaguardias adecuadas. Esta prioridad tiene la finalidad de ayudar a adoptar una orientación supervisora estratégica sobre las oportunidades y los riesgos inherentes a las aplicaciones basadas en la IA y facilitar posibles ajustes de las herramientas de supervisión. De este modo, la Supervisión Bancaria del BCE puede ayudar a las entidades a abordar de forma proactiva los riesgos emergentes, al tiempo que armoniza de forma eficaz el enfoque habitual a corto y medio plazo de las prioridades supervisoras con una perspectiva estratégica a más largo plazo.

En los últimos años, la Supervisión Bancaria del BCE ha identificado aspectos importantes para dirigir la transformación digital de las entidades de crédito de manera sostenible, con buena gobernanza y con un enfoque basado en el riesgo. El informe de la Supervisión Bancaria del BCE publicado el año pasado sobre los principales criterios de evaluación y las buenas prácticas en el área de la digitalización reveló el aumento significativo de la tasa de adopción de la IA en los servicios bancarios. Las revisiones específicas y las inspecciones in situ realizadas en el período 2024-2025 confirmaron esta evolución. Aunque los casos de uso de la IA comprenden una amplia variedad de actividades, el control supervisor puso de relieve en el pasado la importancia de una mayor adopción de la IA para la calificación crediticia y la detección del fraude, así como el potencial, aún incipiente pero altamente disruptivo, de la IA generativa ^[34]. En 2025, la Supervisión Bancaria del BCE intensificó el seguimiento del uso de la IA y de la IA generativa mediante la recopilación de datos de las entidades de crédito. Además, los supervisores continuaron interactuando con las entidades para entender mejor los casos de uso específicos y evaluar su impacto y relevancia desde la perspectiva del riesgo microprudencial.

De cara al futuro, la Supervisión Bancaria del BCE seguirá realizando un seguimiento del uso general de la IA, y adoptará un enfoque más específico para centrarse en las aplicaciones de IA generativa de las entidades. La atención en la IA generativa tiene la finalidad de ampliar el alcance de las investigaciones en curso a las aplicaciones de IA con implicaciones prudenciales utilizadas por esas entidades. Esto debería dar lugar a una evaluación más amplia de la importancia prudencial de la evolución actual y futura de las entidades de crédito en este ámbito y a la adopción de una orientación supervisora sobre la relevancia de estas aplicaciones de IA y los riesgos inherentes, que siente las bases para futuras revisiones. Paralelamente, la Supervisión Bancaria del BCE también participa de forma activa en los debates en torno a la aplicación del Reglamento de Inteligencia Artificial de la UE y tiene previsto cooperar con las autoridades nacionales de vigilancia del mercado y con la Autoridad Bancaria Europea.

Además de la IA, la Supervisión Bancaria del BCE seguirá observando el horizonte tecnológico para mantenerse a la vanguardia. Dado que el sector bancario opera en un entorno en rápida evolución, debido tanto a la innovación tecnológica como a la creación de entidades no bancarias, estos análisis permiten identificar y comprender las tendencias estructurales y los factores de riesgo que se espera que configuren el futuro de las entidades de crédito a medio y largo plazo. También promueven una integración gradual de las deficiencias subyacentes en sus marcos y su estrategia de supervisión. En este contexto, el rápido crecimiento de las stablecoins y el aumento de los casos de uso y la complejidad subyacente, pero también las implicaciones para las entidades de crédito (incluida la prestación de servicios financieros a emisores de stablecoins) pueden plantear riesgos significativos si no se comprenden y gestionan adecuadamente. En consecuencia, los supervisores realizarán también un seguimiento de la evolución en este ámbito, y colaborarán con las entidades de manera específica, a fin de garantizar también en este caso la aplicación de una gestión de riesgos sólida.

2.3.3.1 Principales actividades incluidas en el programa de trabajo para estas prioridades supervisoras

• Seminarios específicos a nivel horizontal con determinadas entidades de crédito sobre aplicaciones de IA generativa para mejorar el conocimiento de los supervisores de la forma en que las entidades utilizan estas aplicaciones
• Cooperación con las autoridades de vigilancia del mercado responsables del Reglamento de Inteligencia Artificial y con la Autoridad Bancaria Europea