El BCE reabre el ICAAP con una advertencia nada sutil: gobernanza real, capital de calidad y estrés creíble

El BCE ha vuelto sobre uno de los documentos que más dicen sobre cómo piensa supervisar a la banca significativa en 2026: la nueva Guide to the internal capital adequacy assessment process (ICAAP), publicada en julio por la Supervisión Bancaria del BCE. Sobre el papel, no sustituye la ley ni inventa obligaciones nuevas. En la práctica, deja bastante claro qué va a tolerar menos en el diálogo supervisor y en el SREP: ICAAPs decorativos, metodologías opacas, capital interno de calidad dudosa y pruebas de estrés que sirven para una presentación al consejo pero no para sobrevivir a un shock serio.

El texto se apoya en el artículo 73 de la Directiva 2013/36/UE, la CRD IV, que obliga a las entidades a mantener estrategias y procesos “sólidos, efectivos y exhaustivos” para evaluar y mantener de forma continua la cuantía, el tipo y la distribución del capital interno adecuados a sus riesgos. Nada nuevo ahí. Lo nuevo está en el tono y en la granularidad de las expectativas supervisoras. El BCE organiza su lectura del ICAAP en siete principios y los conecta de forma explícita con el SREP y con la determinación de capital de Pilar 2. Traducido al idioma que entiende cualquier banco: esto no es un documento pedagógico inocuo; es una hoja de corrección para inspecciones, requerimientos y discusiones sobre capital.

Y hay un detalle que conviene no pasar por alto. La guía insiste en dos perspectivas que deben convivir dentro del ICAAP: la normativa y la económica. Cuando un supervisor repite algo así varias veces no está rellenando páginas. Está avisando de que ya no basta con cuadrar ratios regulatorios si el banco no puede explicar de forma convincente su vulnerabilidad económica real, su capacidad de absorción de pérdidas y la robustez de su planificación de capital bajo estrés.

Esto no va de escribir mejor el ICAAP; va de que el BCE se fíe menos

La guía arranca con una premisa simple: las crisis se agravan cuando el capital es insuficiente o de mala calidad y cuando los riesgos relevantes no están bien identificados ni cubiertos. El BCE no cita 2023, 2024 o 2025 para hacer literatura histórica, pero el mensaje encaja con la secuencia que la supervisión europea lleva años repitiendo: volatilidad de tipos, deterioro macro, tensiones geopolíticas, riesgo cibernético, externalización tecnológica y modelos de negocio más sensibles a shocks de liquidez y confianza. El resultado es una exigencia supervisoria menos indulgente con ejercicios internos que son impecables en formato y débiles en sustancia.

La utilidad real del documento está en lo que revela sobre el estándar de prueba que espera el BCE. No basta con que el banco diga que su marco de capital es prudente. Tiene que demostrarlo de forma trazable: gobierno efectivo por parte del órgano de dirección, integración del ICAAP en la gestión general, identificación de todos los riesgos materiales, definición clara del capital interno, metodologías consistentes y validadas de forma independiente, y pruebas de estrés regulares orientadas a sostener la adecuación de capital en condiciones adversas.

Si suena básico, lo es. Pero precisamente ahí está el problema. En supervisión bancaria, muchas de las mayores fricciones no aparecen por grandes innovaciones normativas, sino por la distancia entre lo que el banco cree que ya hace y lo que el supervisor considera suficientemente probado. La guía de julio de 2026 recorta esa ambigüedad.

Los siete principios: el BCE ordena sus expectativas y aprieta donde más duele

El documento desarrolla siete principios. Conviene leerlos no como una lista académica, sino como siete preguntas que el supervisor planteará, explícita o implícitamente, cuando evalúe el ICAAP dentro del SREP.

1. El órgano de dirección responde del ICAAP

El principio 1 sitúa la responsabilidad en el management body. No en Riesgos. No en Finanzas. No en un modelo que “ha funcionado siempre”. Si el consejo y la alta dirección no pueden demostrar gobernanza sólida del ICAAP, el problema no es documental; es prudencial.

Aquí el BCE vuelve a una obsesión muy reconocible: la rendición de cuentas. Un ICAAP serio exige que el órgano de dirección entienda los supuestos del marco, apruebe la estrategia de riesgo, reciba escalados útiles y cuestione escenarios, límites y vulnerabilidades. La implicación operativa es evidente: los bancos que siguen llevando al consejo paquetes de 200 diapositivas con poca capacidad de decisión van a sufrir. El supervisor no quiere rituales de gobernanza. Quiere evidencia de debate, reto y decisiones.

Para Compliance y Secretaría del Consejo, esto tiene consecuencias muy concretas. Las actas, minutas, evidencias de aprobación, revisiones de apetito al riesgo y decisiones sobre buffers internos dejan de ser accesorios. Son prueba directa de si el principio 1 se cumple o no.

2. El ICAAP debe formar parte del marco general de gestión

El principio 2 apunta a una vieja patología bancaria: ICAAP como ejercicio anual, separado del negocio real. El BCE lo rechaza de forma frontal. Si el ICAAP no está integrado en la gestión global, en la toma de decisiones, en la estrategia, en los límites de riesgo y en la planificación de capital, no sirve.

Esto importa porque desactiva uno de los refugios favoritos de muchas entidades: presentar un ICAAP técnicamente correcto pero desconectado de precios, originación, concentración sectorial, planificación de dividendos, adquisiciones, apetito al riesgo o dependencia tecnológica. El BCE está diciendo que el ICAAP debe vivir dentro del banco, no en una carpeta.

La lectura prudencial es clara: cualquier inconsistencia entre el plan estratégico, el RAF, los presupuestos, el plan de capital y el paquete ICAAP tendrá más peso en las conversaciones supervisoras. Si tu entidad prevé crecimiento agresivo en determinadas carteras, pero el ICAAP no refleja la presión correspondiente sobre capital, concentración, pérdidas esperadas y escenarios adversos, el hueco se verá.

3. La continuidad de la entidad exige dos perspectivas: normativa y económica

Este es el corazón del documento. El BCE reitera que un ICAAP sólido descansa sobre dos perspectivas complementarias: la normativa y la económica.

La perspectiva normativa mira la capacidad de la entidad para cumplir sus requisitos regulatorios de capital a lo largo del horizonte de planificación. Aquí entran CET1, Tier 1, capital total, buffers combinados y el encaje con exigencias supervisoras, incluidas las derivadas del SREP.

La perspectiva económica mira algo distinto y más incómodo: si el capital interno cubre sustancialmente los riesgos y las pérdidas económicas relevantes, incluso aunque no todo se traduzca de forma inmediata en incumplimientos normativos. Es la perspectiva que obliga a hablar de valor económico, sensibilidad, modelos internos, concentraciones, riesgo de tipo de interés, riesgo de negocio, riesgo reputacional con traducción prudencial y otros elementos que no siempre quedan bien recogidos por una lectura meramente regulatoria.

Aquí está el quid. El BCE no acepta que una perspectiva suplante a la otra. Cumplir ratios regulatorios no equivale automáticamente a estar capitalizado de forma prudente desde un punto de vista económico. Y una modelización económica sofisticada no compensa una trayectoria normativa que te lleve a tensar buffers o acercarte a restricciones de distribución. La convivencia de ambas perspectivas exige reconciliación, gobernanza y decisiones de gestión. No un ejercicio matemático elegante sin uso real.

Para un CFO, esto complica la historia del capital. Para un CRO, la vuelve más creíble. Para el supervisor, ambas deben hablar el mismo idioma.

4. Todos los riesgos materiales tienen que estar dentro

El principio 4 parece una obviedad hasta que uno intenta aplicarlo con honestidad. Identificar “todos los riesgos materiales” es precisamente donde muchos ICAAPs empiezan a parecer una selección conveniente en lugar de un mapa completo.

El BCE no ofrece una taxonomía cerrada porque adopta un enfoque basado en principios, pero la expectativa es inequívoca: el banco debe identificar, evaluar y tener en cuenta todos los riesgos materiales. Eso incluye riesgos clásicos de crédito, mercado, operacional, IRRBB o concentración, pero también otros que pueden ser menos cómodos de cuantificar y que por eso, casualmente, a veces se aparcan en anexos.

En 2026, uno de los campos donde esta exigencia se vuelve más incómoda es el riesgo operacional con componente tecnológico y de terceros. La guía no es una norma de resiliencia digital, y no conviene forzarla como si lo fuera. Pero sí tiene una derivada clara: si la dependencia de proveedores críticos de TIC, de plataformas cloud, de servicios externalizados o de infraestructuras compartidas puede generar pérdidas materiales o tensionar el capital, ese riesgo no puede quedar fuera del ICAAP por el simple hecho de que su gestión primaria esté en DORA, en outsourcing o en continuidad de negocio.

Ahí se cruza un debate interesante. DORA obliga, entre otras cosas, a gestionar riesgos de terceros TIC y a mantener marcos de resiliencia operativa digital. El ICAAP obliga a preguntarse si esos mismos riesgos, cuando son materiales, están identificados, valorados y cubiertos en términos prudenciales. No son el mismo marco, pero ignorar la conexión sería una torpeza cara.

5. El capital interno debe ser de alta calidad y estar claramente definido

El principio 5 va al nervio del asunto: qué cuenta realmente como capital interno. El BCE exige calidad y definición clara. Parece semántico, pero no lo es.

En demasiados marcos internos, el capital disponible se presenta con agregaciones optimistas, ajustes poco transparentes o conceptos cuya capacidad real de absorción de pérdidas bajo tensión es discutible. El BCE quiere que la entidad explique con precisión qué elementos considera capital interno, por qué, con qué límites, con qué diferencias respecto a los fondos propios regulatorios y cómo se asegura de que esa base sea creíble en condiciones adversas.

La implicación práctica es directa para Finanzas, Riesgos y Auditoría Interna: hay que documentar definiciones, filtros, deducciones, restricciones de fungibilidad y supuestos de transferibilidad entre entidades o jurisdicciones del grupo. Si un grupo bancario descansa en exceso en la idea de que el capital “estará donde haga falta” cuando llegue el estrés, el BCE querrá ver algo más que optimismo organizativo.

6. Las metodologías de cuantificación deben ser adecuadas, consistentes y validadas de forma independiente

Este principio es uno de los más incisivos del documento porque ataca una zona de confort habitual: modelos internos que funcionan mientras nadie pregunte demasiado por sus límites.

El BCE pide metodologías adecuadas, consistentes e independientemente validadas. Las tres palabras importan. Adecuadas significa ajustadas al perfil de riesgo y al uso que se hace de ellas. Consistentes significa que no pueden cambiar de lógica según convenga al resultado. Y validadas de forma independiente significa exactamente eso: revisión autónoma, con capacidad de cuestionar supuestos, datos, sensibilidad, backtesting y limitaciones.

Este punto conecta con una realidad bastante prosaica. Muchas entidades invierten mucho más tiempo en perfeccionar la producción del número que en demostrar la gobernanza del número. El BCE está diciendo que sin validación independiente la cuantificación no alcanza el estándar esperado. Para Model Risk Management, Validation y Auditoría Interna, eso implica más carga, más trazabilidad y menos indulgencia con aproximaciones históricas que llevan años sin replantearse.

También deja una advertencia para bancos medianos bajo el paraguas de proporcionalidad. La proporcionalidad no exonera de tener metodologías sólidas. Solo ajusta profundidad y complejidad al perfil de la entidad. No es una licencia para usar simplificaciones mal justificadas.

7. El estrés debe servir para algo más que para cumplir

El principio 7 remata el marco con pruebas de estrés regulares orientadas a asegurar la adecuación de capital en circunstancias adversas. Aquí el BCE se alinea con la tradición supervisora europea y con las EBA Guidelines on institutions’ stress testing (EBA/GL/2018/04), citadas en la propia guía.

La parte relevante no es que haya que hacer estrés. Eso ya lo sabe cualquiera en banca. Lo relevante es para qué y con qué diseño. El BCE espera que las pruebas de estrés sean útiles para la toma de decisiones, alimenten la planificación de capital, tensionen supuestos clave y permitan detectar con tiempo insuficiencias de capital o vulnerabilidades de modelo de negocio.

Eso descarta de facto los ejercicios complacientes. Si el escenario adverso no rompe nada, no siempre significa que el banco sea muy resiliente. A veces significa que el escenario era cómodo, que las correlaciones estaban domesticadas o que las respuestas de gestión eran más aspiracionales que plausibles.

La guía no crea derecho nuevo, pero sí sube el riesgo de una mala conversación SREP

El BCE se cuida de aclarar en el apartado 8 que la guía no sustituye ni prevalece sobre el derecho aplicable. Si hay conflicto con la normativa, manda la normativa. Esa cautela jurídica es estándar. Lo interesante es el valor supervisor efectivo del documento.

El apartado 7 señala que los siete principios se tendrán en cuenta, entre otros elementos, en la evaluación del ICAAP como parte del SREP y se usarán en el diálogo supervisor con cada entidad. Y el apartado 4 de la introducción subraya que el ICAAP alimenta todas las evaluaciones SREP y el proceso de determinación del capital de Pilar 2, en línea con las directrices EBA sobre procedimientos y metodologías comunes del SREP, identificadas en la guía como EBA/GL/2014/13, con referencia a su versión de 19 de julio de 2018.

Dicho de otra forma: la guía no te multa por sí sola, pero sí puede hacer que el supervisor concluya que tu gobernanza es débil, que tu identificación de riesgos es incompleta, que tus metodologías no son fiables o que tu planificación de capital no es suficientemente prudente. Y de ahí al impacto en medidas supervisoras, expectativas cualitativas o exigencias adicionales, el trayecto es conocido.

Quien lea esta actualización como un documento “soft law” de escasa relevancia se está engañando con una sutileza jurídica. En supervisión bancaria europea, la expectativa publicada suele anticipar la pregunta incómoda de la próxima reunión.

Lo que cambia de verdad para bancos significativos en 2026

La mayoría de las entidades significativas del Mecanismo Único de Supervisión no parten de cero. Llevan años produciendo ICAAP, ILAAP, paquetes SREP, marcos de apetito al riesgo y estrés. La cuestión no es si tienen ICAAP, sino si el suyo resistirá un estándar de credibilidad más alto.

Hay cinco cambios operativos que esta guía vuelve más urgentes.

Primero: reconciliar estrategia, presupuesto, RAF y capital

El BCE penaliza las costuras visibles entre documentos internos. Si el plan de negocio prevé crecimiento, adquisición de clientes de mayor riesgo, expansión geográfica o presión sobre márgenes, el ICAAP debe recogerlo con impacto trazable en consumo de capital, límites, concentraciones y escenarios adversos. Cualquier desalineación entre Finanzas y Riesgos será más difícil de defender.

Segundo: documentar el reto del consejo con mucha más disciplina

Los supervisores llevan tiempo desconfiando de órganos de dirección que aprueban marcos complejos sin dejar rastro de discusión sustantiva. La guía refuerza esa exigencia. No basta con una aprobación formal del ICAAP. Hay que probar que el órgano de dirección entendió los supuestos, debatió alternativas, cuestionó escenarios y tomó decisiones. Las entidades con cultura de gobierno madura lo tienen mejor. Las demás tendrán que fabricar evidencia donde antes había inercia.

Tercero: revisar qué riesgos materiales están quedando fuera o infraestimados

En 2026, la tentación no es olvidar el riesgo de crédito. La tentación es tratar ciertos riesgos transversales como si fueran demasiado difusos para el ICAAP. Ciberoperacional, dependencia de terceros, concentración de proveedores, exposición inmobiliaria comercial según mercado, riesgo de modelo, concentración de depósitos, litigiosidad o vulnerabilidad reputacional con impacto financiero. El BCE no exige ponerle una cifra perfecta a todo, pero sí espera una identificación honesta, una evaluación seria y una cobertura coherente.

Cuarto: endurecer la validación independiente

Si la segunda línea valida sus propios supuestos con poca distancia real, o si la validación independiente se limita a revisar proceso sin entrar en metodología y resultados, el principio 6 se queda sin cumplir en espíritu. La guía da al BCE una base más nítida para exigir refuerzo de la función de validación y de los ciclos de revisión.

Quinto: hacer pruebas de estrés útiles para decisiones de capital

Este es probablemente el punto donde más entidades dirán que ya cumplen y más supervisores pondrán cara de no estar convencidos. Un estrés útil no es el que produce un informe. Es el que cambia una decisión: buffers internos, límites, dividendos, precios, originación, concentración o medidas de contingencia. Si no hay conexión con la gestión, el BCE lo verá como un ejercicio de cumplimiento.

La intersección con DORA, NIS2 y el riesgo operativo: donde muchas entidades siguen trabajando en silos

Aunque la guía del ICAAP es una pieza prudencial y no tecnológica, en 2026 resulta imposible leerla de espaldas al ecosistema regulatorio que ya está empujando a las entidades financieras a revisar su riesgo operativo de otra manera.

DORA ya obliga a las entidades financieras de la UE a disponer de un marco de gestión del riesgo de las TIC y a controlar la dependencia de terceros tecnológicos, con foco específico en proveedores críticos y en resiliencia operativa. NIS2, por su parte, ha elevado el listón de la gestión de riesgos de ciberseguridad y de la responsabilidad de la dirección en los sectores esenciales y importantes. Ninguno de estos marcos sustituye al ICAAP. Pero ambos hacen más difícil sostener que un riesgo tecnológico material no tiene traducción prudencial.

La pregunta útil para una entidad significativa no es si DORA y el ICAAP son lo mismo. No lo son. La pregunta útil es esta: cuando identificas una concentración crítica en un proveedor cloud, una cadena de externalización opaca o una vulnerabilidad severa en procesos esenciales, ¿cómo conviertes ese hallazgo en una visión prudencial sobre pérdidas potenciales, impacto financiero, capacidad de absorción y necesidad de capital o buffers de gestión?

Si la respuesta es que esa conversación no existe porque Tecnología va por un lado y Capital por otro, ahí tienes una debilidad de 2026 bastante más común de lo que muchos admiten.

Lo mismo vale para recuperación y continuidad. DORA exige pruebas, capacidades de respuesta e identificación de funciones críticas. El ICAAP exige que los riesgos materiales estén identificados y cubiertos. Una interrupción severa, un fallo de tercero o un incidente cibernético con pérdida operativa relevante puede no ser solo un asunto de resiliencia. Puede convertirse en una cuestión de capital. El BCE no necesita decir “ciber” en cada página para que la conclusión sea evidente.

Proporcionalidad sí; excusas no

La guía dedica espacio al alcance y a la proporcionalidad. Eso importa porque el BCE sabe que no todos los bancos tienen la misma complejidad, tamaño ni perfil de riesgo. Pero hay una mala lectura muy extendida de la proporcionalidad: confundirla con indulgencia.

La proporcionalidad ajusta el diseño del marco al modelo de negocio y a la materialidad de los riesgos. No permite, por ejemplo, que una entidad con concentraciones claras y dependencia relevante de ciertos ingresos mantenga un ICAAP genérico, con escenarios de estrés superficiales y sin validación robusta, alegando menor complejidad. La pregunta nunca es si tu banco es menos complejo que otro. La pregunta es si tu ICAAP es proporcionalmente adecuado a tus riesgos.

En la práctica, esto afecta mucho a entidades que se ven medianas a sí mismas y sencillas para el supervisor. A veces no son ni una cosa ni la otra. Un balance más pequeño no elimina concentraciones, dependencias tecnológicas, fragilidad de márgenes o vulnerabilidad ante escenarios reputacionales y operativos.

Qué deberían revisar ahora el CFO, el CRO, Compliance y Auditoría Interna

Si la entidad significativa quiere llegar razonablemente bien a su siguiente conversación supervisora, no necesita reescribir todo desde cero. Necesita localizar dónde su ICAAP puede parecer convincente internamente pero insuficiente para el BCE.

Para el CFO, la prioridad está en la consistencia entre planificación, distribución de capital, supuestos macro, buffers internos y definiciones de capital disponible. Cualquier área gris sobre calidad del capital interno o fungibilidad entre entidades del grupo merece revisión inmediata.

Para el CRO, el examen clave es doble: mapa de riesgos materiales y calidad de las metodologías. Si hay riesgos difíciles de cuantificar, la respuesta no puede ser ignorarlos. Hay que justificar su tratamiento, controles, mitigantes y, cuando proceda, aproximaciones prudentes.

Para Compliance, el valor no está en “poseer” el ICAAP, sino en asegurar trazabilidad regulatoria y de gobernanza. Artículo 73 CRD IV, interacciones con SREP, alineamiento con políticas internas, evidencias del órgano de dirección y circuito de escalado. La guía del BCE no es ley nueva, pero sí expectativa supervisora formal. Y eso tiene que quedar encajado en el universo normativo interno.

Auditoría Interna, por su parte, tiene una oportunidad y un problema. La oportunidad es elevar su relevancia si revisa el ICAAP como un proceso vivo de gobierno, cuantificación y uso en gestión, no como un paquete anual. El problema es que, si sus revisiones siguen demasiado centradas en cumplimiento formal, el BCE puede considerar que la tercera línea no está aportando la profundidad que espera.

Checklist de evidencias para auditoría

En esta pieza sí tiene sentido aterrizar en evidencias, porque el ICAAP es un proceso auditables por diseño y por expectativa supervisora. Si una entidad quiere probar que su marco aguanta escrutinio, estas son evidencias concretas que deberían existir y poder mostrarse sin teatro documental de última hora.

• Actas del órgano de dirección y de comités relevantes con discusión sustantiva sobre ICAAP, apetito al riesgo, escenarios de estrés y planificación de capital.
• Documento metodológico que defina el capital interno, con criterios de inclusión y exclusión, limitaciones de fungibilidad y reconciliación con fondos propios regulatorios.
• Inventario de riesgos materiales, con justificación explícita de inclusión o exclusión, propietarios, frecuencia de revisión y vínculo con límites o controles.
• Trazabilidad entre plan estratégico, presupuesto, RAF, recovery indicators y planificación de capital.
• Marco de pruebas de estrés con diseño de escenarios, supuestos, severidad, roles de aprobación, acciones de gestión y evidencia de uso en decisiones reales.
• Informes de validación independiente de metodologías, incluyendo limitaciones, remediaciones, plazos y aprobación por comités competentes.
• Seguimiento de recomendaciones SREP anteriores relacionadas con gobernanza, capital, riesgo o controles, con estado de ejecución verificable.
• Pruebas de consistencia entre ICAAP y otros marcos prudenciales internos, incluido ILAAP cuando aplique, para evitar supuestos mutuamente incompatibles.

Si faltan varias de estas piezas, no estás ante un problema de redacción. Estás ante un problema de credibilidad supervisora.

Implicaciones para entidades financieras españolas

Para los bancos españoles significativos bajo supervisión directa del BCE, la guía de julio de 2026 importa de forma inmediata porque se inserta en el diálogo supervisor del Mecanismo Único de Supervisión y en la forma en que se valorará el ICAAP dentro del SREP. No es una recomendación lejana de Bruselas. Es el estándar que usará Fráncfort para preguntar, comparar y, llegado el caso, exigir.

Hay además tres implicaciones específicas para el mercado español.

La primera tiene que ver con modelos de negocio muy expuestos a banca minorista, hipotecas, pymes y sensibilidad a tipos. La integración entre planificación comercial, riesgo de crédito, margen financiero e hipótesis de estrés no puede ser superficial. El BCE va a mirar con atención la coherencia entre crecimiento, calidad de activos y capital.

La segunda afecta a grupos con presencia internacional. La calidad del capital interno, la fungibilidad y la capacidad real de movilizar recursos entre filiales y jurisdicciones son asuntos especialmente delicados cuando la estructura del grupo es compleja. El principio 5 no se resuelve con organigramas bonitos.

La tercera es tecnológica. La banca española ha avanzado mucho en digitalización y externalización, a veces con arquitecturas muy dependientes de terceros. Eso mejora eficiencia, pero también multiplica puntos de concentración y riesgo operativo. Si esa dependencia no está traducida a una lectura prudencial dentro del ICAAP, la entidad se queda coja justo donde DORA y el BCE, cada uno desde su ángulo, están mirando con más atención.

Lo que el BCE no dice de forma explícita, pero deja caer con bastante claridad

La guía tiene un tono de principios. No entra en recetas exhaustivas ni en una taxonomía cerrada de riesgos, y eso es deliberado. Sin embargo, entre líneas deja tres mensajes bastante nítidos.

Primero, el BCE quiere menos confianza ciega en métricas regulatorias estáticas y más capacidad prospectiva. La introducción habla de mejorar procesos orientados al futuro, con planificación de capital y estrés integral. Esa insistencia no es casual. El supervisor desconfía de marcos que explican bien el pasado y mal el próximo shock.

Segundo, el BCE quiere que el consejo sea responsable de verdad. La gobernanza formal ya no impresiona a nadie. Si el órgano de dirección no puede demostrar comprensión y reto, el principio 1 se convierte en un riesgo supervisor directo.

Tercero, el BCE está recordando que el ICAAP no es una pieza aislada del debate sobre continuidad de la entidad. La guía dice expresamente que el ICAAP contribuye fundamentalmente a la continuidad del banco asegurando la adecuación de capital desde perspectivas distintas. Dicho sin rodeos: el ICAAP no es burocracia prudencial; es una tesis sobre por qué la entidad debería seguir siendo viable bajo tensión. Y esa tesis debe poder defenderse con números, gobierno y decisiones consistentes.

La conclusión incómoda: muchos bancos no necesitan más modelos, sino menos autoindulgencia

La nueva guía del BCE sobre ICAAP no pasará a la historia por inventar un marco revolucionario. No era ese su objetivo. Su valor está en otra parte: ordena con precisión lo que el supervisor espera y reduce el margen para esconder debilidades detrás de documentación prolija, gobernanza ritualizada o estrés inofensivo.

La ironía es que casi todo lo que exige suena razonable, incluso obvio. Que el consejo responda del ICAAP. Que el marco esté integrado en la gestión. Que cubra todos los riesgos materiales. Que el capital interno sea de calidad. Que las metodologías se validen de forma independiente. Que el estrés sirva para decisiones reales. Obvio, sí. También justamente lo que más cuesta convertir en práctica consistente.

En 2026, la lectura inteligente para las entidades significativas no es preguntarse si la guía crea una obligación nueva. La pregunta correcta es mucho más incómoda: si el BCE revisara hoy nuestro ICAAP con estos siete principios como lente central, ¿vería un marco prudente y creíble o una narración sofisticada con huecos demasiado humanos?

Si la respuesta interna tarda demasiado en llegar, ya tienes la primera señal de riesgo.