Resumen

  • El 20 de diciembre de 2022, la Financial Conduct Authority (FCA) y la Prudential Regulation Authority (PRA) anunciaron sanciones contra TSB Bank plc por fallos vinculados a la migración de su plataforma informática en 2018, por un total de 48.650.000 libras: 29.750.000 impuestas por la FCA y 18.900.000 por la PRA.
  • El banco respondió ese mismo día con un comunicado titulado «TSB responds to the FCA and PRA findings in relation to the 2018 Migration Programme»; es la única frase del operador que este análisis pudo leer de primera mano.
  • La lección durable no está en la multa, sino en la superficie de control que debía producir una decisión de parada antes de la salida a producción, y en la falta de una prueba independiente de que esa superficie haya cambiado.

Un proyecto con nombre de programa

TSB Bank plc no llamó «incidente» a lo que ocurrió. Lo llamó 2018 Migration Programme, y con ese nombre apareció en el titular de su comunicado del 20 de diciembre de 2022. La elección de palabras importa. Una migración con nombre de programa es un proyecto con patrocinador, presupuesto, comité de dirección, hitos y criterios de salida. Es precisamente la clase de estructura que, cuando funciona, produce una decisión de detener. Cuando no funciona, produce una salida a producción sin ella.

Ese es el punto donde un caso de riesgo operacional deja de ser una historia de clientes bloqueados y se convierte en una historia de gobernanza. Los dos supervisores británicos describieron el asunto, en su anuncio del 20 de diciembre de 2022, como fallos de gestión del riesgo operacional y de gobierno ligados a la migración de la plataforma (anuncio de la FCA y la PRA). Los hallazgos que se les atribuyen abarcan la gobernanza y la supervisión de la migración, la gestión del riesgo, la planificación y las pruebas, y la interrupción que sufrieron los clientes del banco. La lista tiene un orden lógico, no alfabético: primero el gobierno, después el riesgo, después la planificación y las pruebas, y al final el daño al cliente. El daño es la consecuencia. Las tres primeras categorías son la causa.

Dos supervisores, dos lentes

Que dos autoridades distintas actuaran sobre un mismo episodio no es una redundancia burocrática. La FCA vigila la conducta y el trato al cliente; la PRA vigila la solvencia y la resistencia operacional de una entidad prudencialmente regulada. Un incidente que satisface a ambas no es un fallo de una sola capa. Es un fallo que atravesó dos capas con mandatos, comités y métricas diferentes y aun así no encontró a nadie con la autoridad, la información y el incentivo para decir «paren» en el mismo momento.

Ese cruce explica por qué la respuesta regulatoria llegó como sanción y no como orden de reparación inmediata. Una orden de reparación exige un objeto concreto: cambiar un control, repetir una prueba, sustituir un responsable. Una sanción solo exige acreditar que el control falló. La segunda es más fácil de documentar y más fácil de contabilizar.

La aritmética del retraso

El anuncio del 20 de diciembre de 2022 fijó el total en 48.650.000 libras, con 29.750.000 libras impuestas por la FCA y 18.900.000 por la PRA. Son cifras del regulador y así deben leerse: el texto del anuncio y el de la notificación final no se leyeron directamente para este artículo, de modo que los importes se atribuyen al anuncio del regulador y no se presentan como verificados por esta publicación a partir del instrumento jurídico.

La fecha también es un dato, no un detalle de calendario. Una sanción anunciada en diciembre de 2022 por una migración de 2018 mide el coste contable del fallo, no el coste de haber tardado en detectarlo. Entre una cosa y otra hay más de cuatro años en los que el programa ya había entregado su resultado y el banco ya había empezado a contar su propia versión. La contabilidad regulatoria llega cuando llega; la pregunta operativa es qué se sabía dentro del banco y cuándo.

La única frase del operador

El 20 de diciembre de 2022, TSB Bank plc publicó un comunicado con el titular «TSB responds to the FCA and PRA findings in relation to the 2018 Migration Programme» (comunicados de TSB Bank plc). Ese titular es, literalmente, lo que la compañía puso por escrito y lo que este análisis pudo leer de primera mano. No hay en el expediente consultado una descripción técnica del fallo firmada por el banco, ni un informe de causa raíz publicado, ni un compromiso verificable con fechas.

La ausencia de esos documentos no es una acusación. Es una observación sobre qué se puede auditar desde fuera. Una disculpa no se audita. Una atestación sí: quién firma, contra qué criterio, con qué evidencia y con qué consecuencia si el criterio no se cumple. La diferencia entre las dos cosas es la diferencia entre gestionar la reputación y gestionar el riesgo.

Lo que falta y qué cambiaría la clasificación

Este expediente tiene tres huecos que ningún comunicado cubre: cuántos clientes quedaron afectados, cuánto duró la interrupción y qué disposición concreta se consideró incumplida. Las cifras de clientes que circulan en versiones secundarias no se usan aquí porque no proceden de un texto de primera mano leído en esta revisión. La base jurídica y los hallazgos párrafo a párrafo están en la notificación final que publica la FCA (Final Notice: TSB Bank plc), que es el documento al que hay que ir para nombrar una regla concreta en lugar de una categoría de fallo.

La clasificación del caso cambiaría con dos cosas, y ninguna es una disculpa. La primera, la lectura de los hallazgos de la notificación final: si el supervisor identificó un punto de decisión concreto en el que la información existía y no se actuó, el caso pasa de «gestión deficiente» a «fallo de escalado». La segunda, una atestación de reparación firmada y verificable por un tercero: si el banco puede demostrar que el control que falló en 2018 se probó, se rompió a propósito y se recuperó después, entonces la reparación es un hecho. Si no puede, la reparación es una afirmación.

La prueba real no es la multa de 2022. Es la próxima migración importante de TSB Bank plc, y si su superficie de control produce esta vez una decisión de parada cuando deba producirla. El expediente de la entidad está en el directorio de BTW: TSB Bank plc Solo para el Círculo Estratégico.