Considere estos escenarios: un ciberataque deja fuera de línea a un proveedor clave, lo que dificulta la capacidad de su empresa para producir bienes. Los despidos en un proveedor de TI provocan una disminución de la supervisión de los controles de seguridad y la protección de datos. Un desastre natural o un acontecimiento geopolítico interrumpe su cadena de suministro, lo que retrasa el lanzamiento de un nuevo producto. Un tercero crítico es citado y multado por una falta ética, lo que provoca problemas de reputación por «culpa por asociación» para su empresa.
Cada uno de los riesgos de proveedores mencionados anteriormente puede provocar sobrecostes, poner en peligro los ingresos y dañar la confianza de los clientes. Si se realiza un seguimiento de estos riesgos, se hace de forma aislada, lo que obliga a las organizaciones a actuar de forma reactiva cuando se produce una interrupción. ¿Cómo pueden sus equipos de compras y gestión de proveedores adelantarse a los riesgos de los proveedores antes de que afecten a su organización? A continuación, le presentamos siete formas de obtener una visibilidad y un control proactivos de los riesgos en todas las etapas de la relación con los proveedores.
1. Incorporar evaluaciones de riesgo en la búsqueda y selección de proveedores.
Dado el complejo entorno empresarial actual, basar la selección y el abastecimiento de proveedores
únicamente en la adecuación técnica es una propuesta arriesgada. Ahora es esencial que los equipos de compras y abastecimiento también confirmen si el perfil de riesgo de un proveedor potencial es aceptable. Esto significa evaluar múltiples dimensiones del riesgo, entre ellas:
- Demografía: ¿Se encuentra el proveedor en una región propensa a sufrir desastres naturales o inestabilidad geopolítica?
- Ecosistema de cuartos: ¿En qué cuartos y en qué enésimos
confía el proveedor? - Ciberseguridad: ¿ Ha sufrido el proveedor alguna violación de seguridad y, en caso afirmativo, qué tipo de datos se han visto afectados? ¿Cuál ha sido su respuesta?
- Negocios y finanzas: ¿Ha habido recientemente alguna fusión o adquisición por parte del proveedor? ¿Su historial financiero o crediticio suscita alguna preocupación?
- Cumplimiento normativo: ¿ Ha sido sancionado el proveedor por infringir la normativa sobre privacidad de datos, medio ambiente, responsabilidad social y gobernanza, soborno o las normas de la OFAC? ¿Ha sido objeto de sanciones?
- Reputación: ¿Ha sido criticado el proveedor en los medios de comunicación u otros canales de comunicación públicos?
Al buscar información sobre los riesgos desde el principio, puede comparar a los posibles proveedores más allá de su idoneidad técnica y establecer un nivel de riesgo de referencia para cada proveedor que seleccione.
2. Incluir cláusulas basadas en el riesgo en los contratos con los proveedores.
Asegúrese de trasladar cualquier conclusión de la diligencia debida de la fase de selección y contratación al ciclo de vida del contrato. Incluya cláusulas clave sobre riesgos en los contratos con sus proveedores y aproveche una solución automatizada de gestión del ciclo de vida de los contratos para:
- Optimice cada paso del ciclo de vida del contrato con funciones de automatización del flujo de trabajo.
- Realice un seguimiento de atributos clave como fechas, valores, recordatorios y estados.
- Agilice las aprobaciones con recordatorios, avisos de vencimiento y otras funciones de gestión de tareas.
- Garantice la visibilidad con el seguimiento de debates, la gestión de documentos y el control de versiones.
Las disposiciones contractuales deben abordar el momento de notificación de incidentes y exigir una advertencia previa de los acontecimientos que puedan afectar a las relaciones con los proveedores, de modo que se puedan preparar planes de contingencia suficientes.
3. Manténgase al tanto de los KPI y KRI.
Comunicar eficazmente el riesgo de los proveedores y su posible impacto en el negocio puede resultar complicado. Medir y realizar un seguimiento de los indicadores clave de rendimiento (KPI) y los indicadores clave de riesgo (KRI) es esencial para el proceso de SRM, pero las hojas de cálculo poco manejables y los paneles de control excesivamente detallados pueden dificultar que los responsables de la toma de decisiones «vean el bosque por los árboles».
Para aclarar algunos conceptos sobre los KPI y los KRI, Prevalent ha creado un libro electrónico y un cuadro de mando que:
- Aclara la diferencia entre los KPI y los KRI.
- Identifica cuatro categorías de métricas de proveedores para medir
- Prioriza 25 KPI y KRI recomendados para proveedores con el fin de informar a la junta directiva y a la dirección.
4. Adoptar un enfoque coherente para la clasificación y categorización de proveedores.
No todos los proveedores requieren el mismo nivel de escrutinio, por lo que clasificar y categorizar a los proveedores en función del riesgo le ayudará a priorizar y delimitar el alcance de sus iniciativas de evaluación y supervisión de riesgos continuas.
Para un enfoque más estructurado, considere agrupar a sus proveedores en función de tres categorías de riesgo:
- Riesgo perfilado: Para empezar, agrupe a sus proveedores en función del riesgo perfilado, que es el riesgo asociado al sector de cada grupo, su importancia para el rendimiento empresarial, su ubicación y otros factores de alto nivel. Esto se puede conseguir normalmente realizando una rápida encuesta a los gestores internos de proveedores.
- Riesgo inherente: es el nivel específico de riesgo de cada proveedor antes de tener en cuenta los controles exigidos por su organización. Utilice cuestionarios para proveedores con el fin de recopilar información sobre su nivel de acceso a sus operaciones y datos, procesos de seguridad interna, dependencia de terceros y cuartos, obligaciones legales y normativas, y otros factores específicos de la empresa. Los riesgos resultantes deben puntuarse en función de su probabilidad y su impacto en el negocio.
- Riesgo residual: disponer de una puntuación de riesgo inherente de referencia le permite calcular el riesgo residual, es decir, el nivel de riesgo que queda después de aplicar los controles. Podrá determinar el riesgo residual después de trabajar en estrecha colaboración con cada proveedor para remediar o mitigar los problemas identificados durante el proceso de evaluación.
La clasificación y categorización deben realizarse de manera coherente para obtener una imagen precisa de la exposición al riesgo de terceros, informar sobre la diligencia debida adicional y garantizar que los proveedores sean evaluados en función de los riesgos y estándares más importantes para su negocio.
5. Dedique los recursos adecuados a la evaluación de riesgos de los proveedores.
Para evaluar de forma precisa y exhaustiva el riesgo de sus proveedores, probablemente será necesaria la participación de expertos de varias disciplinas de su empresa, incluyendo la gestión de proveedores, las compras, la seguridad informática, el cumplimiento normativo y la privacidad, por no mencionar a sus contactos con los proveedores. Una plataforma centralizada de SRM puede ayudar al proporcionar evaluaciones automatizadas y relevantes del riesgo de los proveedores, lo que reduce drásticamente el trabajo manual y a la vez reúne a las partes interesadas internas y externas en torno a un proceso único y cohesionado.
A la hora de seleccionar cuestionarios de evaluación de riesgos, deberá tener en cuenta dos factores principales:
- Contenido. ¿Estandarizado o personalizado? Los cuestionarios estandarizados facilitan la comparación entre proveedores. El contenido personalizado permite una evaluación más precisa.
- Método. ¿Debería hacerlo usted mismo o subcontratar a un proveedor de servicios gestionados especializado? Muchas organizaciones optan por dedicar sus recursos a la gestión de riesgos y dejar la recopilación de datos de proveedores a especialistas subcontratados.
Independientemente del contenido o del método de recopilación que utilice, asegúrese de contar con una estrategia de corrección para actuar en función de los resultados de la evaluación. No tiene sentido realizar evaluaciones de riesgos si no está dispuesto (o no es capaz) de llegar hasta el final.
6. Supervisar continuamente los riesgos de los proveedores.
En cualquier momento, las empresas pueden fracasar, pueden lanzarse nuevos productos o pueden producirse fusiones y adquisiciones. Las evaluaciones basadas en cuestionarios son esenciales para recopilar datos de los proveedores en momentos concretos, pero es inevitable que surjan nuevos riesgos entre las evaluaciones periódicas.
Puede salvar las diferencias entre evaluaciones, mantener las puntuaciones de riesgo actualizadas y precisas, y saber cuándo es necesario realizar una investigación más profunda aprovechando una solución de supervisión continua del riesgo para analizar fuentes públicas y privadas de información sobre proveedores en busca de:
- Exposiciones cibernéticas, como violaciones de datos, credenciales filtradas y datos de la empresa en la Dark Web.
- Noticias empresariales, como fusiones y adquisiciones y novedades operativas.
- Actualizaciones financieras, como documentos públicos, informes anuales y estados de pérdidas y ganancias.
- Cuestiones relacionadas con la reputación, como la cobertura mediática adversa y la inclusión de ejecutivos en listas de personas políticamente expuestas (PEP).
- Infracciones normativas, sanciones, empresas estatales y otros conflictos de intereses.
Si hay alguna práctica recomendada en este artículo que ayude a los equipos de compras y proveedores a ser más proactivos, es esta. No solo debe aprovechar los datos de supervisión continua para validar y actualizar los resultados de las evaluaciones, sino también buscar una solución de SRM que integre capacidades de supervisión y evaluación para obtener la máxima eficiencia y visibilidad.
7. No olvides el riesgo de salida
El riesgo que supone un proveedor para su negocio no desaparece simplemente cuando finaliza o se rescinde el contrato. Un proveedor que posea datos confidenciales debe devolverlos y/o destruirlos de forma segura; las obligaciones de asistencia pueden prolongarse más allá del acuerdo de compra; y las organizaciones deben asegurarse de que se rescinda cualquier acceso de los proveedores a los sistemas internos.
Las consideraciones clave en su estrategia de salida de proveedores deben incluir:
- Evaluaciones centralizadas de los contratos para garantizar que se cumplan los compromisos finales.
- Flujo de trabajo de salida para obtener la aprobación de todas las partes interesadas internas antes de la aprobación final.
- Informes para validar el cumplimiento
Aunque esto pueda parecer obvio, una investigación de Prevalent reveló que el 43 % de las empresas no evalúan activamente los riesgos de los proveedores durante el proceso de salida.
Descargar la guía de mejores prácticas
Para comparar su proceso actual de gestión de riesgos de proveedores con las mejores prácticas, descargue Siete etapas para un programa de gestión de riesgos de proveedores más proactivo. La guía examina:
- Las características de un programa maduro y proactivo de gestión de riesgos de proveedores (SRM)
- Cómo se deben gestionar los diferentes riesgos en cada etapa de la relación con los proveedores.
- Capacidades clave que debe buscar en una solución que aborde múltiples tipos de riesgos de proveedores
- Casos reales de empresas que han superado con éxito sus retos en materia de SRM.
- Consejos y trucos para garantizar la aceptación en toda la empresa
Póngase en contacto con nosotros hoy mismo para concertar una demostración en la que le mostraremos cómo convertir su programa de SRM de reactivo a proactivo.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
