Los equipos de adquisiciones, seguridad de la información y gestión de riesgos suelen llevar a cabo algún tipo de diligencia debida sobre terceros a la hora de contratar e incorporar nuevos vendedores y proveedores. Estos equipos deben asegurarse de que el nuevo proveedor es resistente y puede cumplir de forma fiable sus objetivos contractuales; dispone de los controles de seguridad y privacidad necesarios para regular el acceso a los datos de los clientes y evitar problemas de cumplimiento o filtraciones de datos; es solvente desde el punto de vista financiero; y no supone un riesgo para la reputación que pueda afectar a las operaciones de la empresa.
Sin embargo, el estudio anual de Prevalent sobre gestión de riesgos de terceros mostró que la mayoría de las organizaciones no amplían sus evaluaciones de proveedores más allá de las evaluaciones de seguridad periódicas para incluir áreas de riesgo como el rendimiento del proveedor y la gestión de los acuerdos de nivel de servicio (SLA) o la incorporación y rescisión de contratos, cada una de ellas una etapa importante en el ciclo de vida de los riesgos de los proveedores.
¿Qué frena a las organizaciones? Procesos manuales basados en hojas de cálculo que dejan lagunas en la identificación de riesgos de terceros y complican en exceso el análisis y la mitigación de riesgos, creando frustración en los múltiples equipos internos implicados en el riesgo de terceros.
Está claro que las organizaciones deben perfeccionar sus programas de GTPR para automatizar mejor las evaluaciones de riesgos y mejorar la inteligencia en cada fase del ciclo de vida de los proveedores, o arriesgarse a sufrir las consecuencias de filtraciones de datos, infracciones de la normativa o interrupciones de la actividad empresarial.
Mejores prácticas de TPRM: Claves para garantizar el éxito en cada etapa del ciclo de vida del riesgo del proveedor
Prevalent encuestó a sus clientes para saber cómo gestionan el riesgo de proveedores a lo largo del ciclo de vida de terceros. Los resultados de la encuesta, disponibles en nuestro nuevo libro blanco, Navigating the Vendor Risk Lifecycle: Keys to Success at Every Stage, proporcionan orientación útil y mejores prácticas para aumentar la visibilidad y reducir el riesgo.
En este artículo se resumen las conclusiones del estudio y se ofrece información para medir la madurez de los programas de gestión de las relaciones con los clientes y comprender todas las fases del ciclo de vida de un proveedor. Si desea conocer todos los detalles, descargue el documento completo. Además, obtendrá estudios de casos de clientes reales y una lista de capacidades para comparar las soluciones.
Medición de la madurez del programa TPRM
Antes de saber adónde vas, tienes que saber dónde estás. Nuestro estudio muestra que las organizaciones pueden estar en cualquier punto de su programa de GPRT y de la madurez de sus procesos, pero hemos agrupado a las empresas en tres (3) amplias categorías no lineales:
- Centrado en la automatización: Las organizaciones de este nivel de madurez están impulsadas por la necesidad de automatizar mejor sus procesos como reacción a los enfoques ineficaces basados en hojas de cálculo. Estos equipos sufren a diario intensos dolores personales derivados de la gestión de proveedores y la reacción ante incidentes de terceros sin disponer de las herramientas y los procesos necesarios para simplificarlo todo. Sin embargo, el riesgo no suele formar parte de la ética de la organización.
- Centrado en el cumplimiento: Las empresas tienen aquí un mandato organizativo para cumplir un requisito normativo que les obliga a informar sobre las posturas de sus terceros en materia de seguridad y privacidad. Tienen
que hacerlo. Es en esta categoría donde las empresas se dan cuenta de que necesitan un programa, no un proyecto. Es probable que estén sufriendo procesos manuales o bajo el peso de una herramienta de GRC que no es completamente adecuada para su propósito. - Centradas en la gestión de riesgos: Raras fuera de las grandes entidades altamente reguladas, las organizaciones de esta categoría tienen funciones de gestión de riesgos a nivel empresarial, y el riesgo forma parte de la ética de la empresa. Cuentan con el apoyo de los ejecutivos, la visibilidad del consejo de administración y los recursos necesarios para hacer frente al menos a las exigencias diarias.
¿Cuál es la posición de su organización en cuanto a la madurez de su proceso de GTPR? Descargue el documento para obtener criterios adicionales para puntuar su ubicación.
Etapas del ciclo de vida de terceros
Los resultados de nuestro estudio mostraron que hay siete (7) etapas distintas en el ciclo de vida de un proveedor, cada una de las cuales presenta sus propios riesgos y soluciones ideales. Cuáles son las etapas y qué buscan las empresas en cada una de ellas?
- Búsqueda y selección de proveedores. Perfiles de riesgo completos que permiten comparar proveedores de forma más rápida y sencilla, así como realizar comprobaciones rápidas de los controles y prácticas comunes en materia de reputación, finanzas, seguridad y privacidad.
- Admisión e incorporación de proveedores. Flujos de trabajo de incorporación sencillos y opciones de importación de proveedores para crear un perfil de proveedor completo, combinado con un proceso de incorporación personalizable que se puede compartir con cualquier persona dentro (o fuera) de la organización para que participe en el proceso de incorporación.
- Puntuación de riesgos inherentes. Clasifique, perfile y categorice automáticamente a los proveedores en función de prácticamente cualquier criterio para ajustar los esfuerzos de diligencia debida.
- Evaluación de proveedores y corrección de riesgos. Múltiples cuestionarios preconstruidos (estándar y personalizados); la opción de aprovechar la biblioteca de evaluaciones completadas, o de que alguien realice la recopilación, el análisis y la corrección por usted; y orientación integrada para la corrección e informes de cumplimiento para simplificarlo todo.
- Supervisión continua de los riesgos de seguridad, reputación y financieros. Una visión completa de los riesgos que va más allá de una evaluación anual e incluye alertas periódicas sobre los riesgos cibernéticos, de reputación y financieros de los proveedores. Armadas con esta información, las organizaciones añaden una visión más en tiempo real de los riesgos de los proveedores en lugar del enfoque estático estándar endémico de las hojas de cálculo.
- Gestión continua del rendimiento del proveedor y SLA. La capacidad de un proveedor para cumplir sus promesas es tan importante como sus controles de ciberseguridad. Las organizaciones quieren soluciones que supervisen continuamente los acuerdos de nivel de servicio (SLA) y alerten de posibles problemas de rendimiento junto con sus evaluaciones de riesgos cibernéticos, de privacidad o de otro tipo.
- Baja y rescisión de proveedores. Flujos de trabajo fáciles de entender, gestión de documentos y listas de comprobación para garantizar la existencia de controles de seguridad físicos y virtuales cuando finaliza una relación comercial.
Siguiente paso: Desarrolle su programa de gestión de las relaciones con los clientes como lo hacen los líderes
Si su organización está buscando construir o mejorar su programa TPRM, Prevalent puede ayudarle. Descargue el libro blanco, Navigating the Vendor Risk Lifecycle: Claves para el éxito en cada etapa, y obtenga información útil sobre:
- Cómo determinar en qué punto de madurez de la gestión de las relaciones con los clientes se encuentra su organización (y cómo pasar al siguiente nivel).
- Consejos, buenas prácticas y trampas a evitar
- Qué hacen los clientes reales para resolver sus problemas de gestión de las relaciones con los clientes
- Capacidades fundamentales que deben tenerse en cuenta al evaluar las soluciones de gestión de riesgos de los proveedores
Tanto si es nuevo en la gestión de riesgos de terceros como si es un profesional experimentado, obtendrá ideas prácticas para que su programa sea un éxito.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
