A medida que las filtraciones de datos y las violaciones de la privacidad tienen cada vez más su origen en vendedores, proveedores y otros terceros, la mayoría de las organizaciones se plantean poner en marcha programas de gestión de riesgos de proveedores (VRM ) o perfeccionar los que ya tienen. Durante los últimos 15 años de trabajo con cientos de organizaciones, hemos descubierto que los programas de VRM suelen estar impulsados por uno de estos tres objetivos. En este artículo, desglosaremos estos impulsores y analizaremos las motivaciones de cada uno de ellos.
1. VRM automatizado
Los programas VRM centrados en la automatización suelen comenzar como reacción a un dolor personal, como una gran carga de trabajo o demasiada complejidad.
Estos programas suelen estar liderados por una persona, a menudo de compras, que busca agilizar la incorporación de proveedores y la diligencia debida. Las evaluaciones de proveedores basadas en hojas de cálculo suelen ser un engorro, con correos electrónicos de ida y vuelta, problemas de control de versiones y procesos incoherentes que crean quebraderos de cabeza a todos los implicados.
Las iniciativas de gestión de riesgos de vulnerabilidad impulsadas por la automatización tienden a ser más un proyecto que un programa. Como tales, carecen de la supervisión de programas más maduros vinculados a los esfuerzos de gobernanza, riesgo y cumplimiento (GRC).
Las organizaciones con objetivos de VRM basados en la automatización suelen caracterizarse por:
- Un enfoque ascendente, impulsado por un individuo o un pequeño equipo.
- Los procesos manuales crean quebraderos de cabeza
- La necesidad de cuestionarios sencillos y personalizados
- Un número limitado de proveedores
- No existe visibilidad del riesgo de terceros
- Ausencia de mandatos estratégicos para la gestión del riesgo de terceros y el cumplimiento de la normativa
No hay nada malo en empezar aquí su programa de gestión de riesgos de proveedores. De hecho, muchos programas VRM de éxito empiezan por eliminar los procesos manuales que pueden pasar por alto lagunas en los controles de seguridad y aumentar el riesgo de filtración de datos.
Las soluciones automatizadas de evaluación de riesgos de proveedores
pueden ayudar a racionalizar y acelerar estos programas.
2. VRM basado en el cumplimiento
Subiendo en la escala de madurez, los programas impulsados por el cumplimiento surgen de la necesidad de abordar uno o más requisitos normativos.
Cuando se trabaja con proveedores externos para manejar y procesar datos, esto no significa que su organización ya no sea responsable de los riesgos de seguridad de esos datos. Por eso, varias normativas gubernamentales y marcos industriales exigen prácticas de gestión de riesgos de terceros. He aquí algunos ejemplos:
- AICPA SOC 2
- CCPA
- CMMC
- CSA CAIQ
- Directrices de la ABE sobre externalización
- FCA FG 16/5
- Manual de examen de TI de la FFIEC
- GDPR
- HIPAA
- ISO 27001/27002/27036-2
- PIC NERC
- NIST SP800-53 Y CSF
- NY CRR 500
- Ley SHIELD de Nueva York
- PCI DSS
Este es el punto en el que las organizaciones se dan cuenta de que necesitan un programa, no un proyecto. Solo un programa continuo y estructurado puede gestionar de forma proactiva el riesgo de terceros y producir la documentación necesaria para las auditorías externas e internas.
Entre las características organizativas que impulsan este tipo de programas se incluyen:
- Un enfoque intermedio, impulsado por los requisitos de los gobiernos o la industria.
- Tiene un mandato de cumplimiento específico para VRM
- Actualmente utiliza procesos manuales para evaluar un subconjunto de proveedores
- Los proveedores suelen estar clasificados por servicios críticos o gastos
- Tiene una visibilidad limitada de los riesgos para la seguridad de la información en la cadena de suministro
- Puede que ya tenga un programa básico que necesite más definición y estructura
Muchas normativas y marcos exigen una supervisión externa y continua de los riesgos, además de evaluaciones periódicas de los riesgos de los proveedores. Consulte la tabla de nuestra página de capacidades de cumplimiento para obtener más información sobre los requisitos específicos de las evaluaciones y/o la supervisión. Para simplificar, Prevalent ofrece el cuestionario Prevalent Compliance Framework (PCF) que le permite asignar las respuestas a cualquier número de marcos normativos o de control, lo que simplifica enormemente el proceso de elaboración de informes de cumplimiento.
3. VRM basada en el riesgo
Los programas VRM más maduros están impulsados desde arriba hacia abajo por programas estratégicos de gestión de riesgos, siendo el cumplimiento un subproducto natural de estas iniciativas.
Las organizaciones con programas VRM orientados al riesgo suelen tener un buen conocimiento de quién forma parte de su ecosistema de proveedores y, por lo general, pueden cuantificar su riesgo hasta cierto punto. Entrelazan los marcos de gestión de riesgos de proveedores con programas GRC/IRM más amplios, y a menudo contratan los servicios de una de las 5 Grandes empresas de auditoría para la externalización o la gestión de programas. Sin embargo, estas organizaciones a menudo siguen luchando con procesos manuales, capacidades de análisis limitadas y silos que pueden obstaculizar la toma de decisiones basada en el riesgo.
Entre las características típicas de los programas de GRV basados en el riesgo se incluyen:
- Un enfoque descendente, impulsado por una iniciativa empresarial estratégica
- Un programa a gran escala frente a un proyecto táctico
- Patrocinio a nivel ejecutivo que considere la gestión de la vulnerabilidad como parte integrante de la gestión de riesgos.
- Los gestores de riesgos controlan el número de proveedores y pueden cuantificar el riesgo
- A menudo sigue dependiendo de procesos manuales para evaluar un porcentaje de proveedores
Los programas de gestión de riesgos de proveedores verdaderamente orientados al riesgo son raros fuera de las grandes organizaciones altamente reguladas con suficientes recursos, visión y escala. Estos programas suelen alcanzar niveles óptimos de madurez de VRM con una solución híbrida compuesta por una plataforma unificada y automatizada de gestión de riesgos de terceros respaldada por servicios de evaluación y servicios profesionales.
Las organizaciones de este nivel a menudo van más allá de la evaluación y supervisión básicas, aprovechando sus soluciones de GTPR para gestionar el rendimiento de los proveedores, abordar los retos de la privacidad de los datos y realizar evaluaciones de riesgos internos.
Próximos pasos para su programa de gestión de riesgos de proveedores
El camino hacia la madurez del programa VRM no es fácil. Sin embargo, si invierte en las personas, los procesos y la tecnología adecuados, podrá aumentar la productividad, reforzar las relaciones con los proveedores y garantizar la continuidad de la actividad de su organización.
Conozca nuestro enfoque probado de 5 pasos para la gestión de riesgos de proveedores en nuestra guía de mejores prácticas, o solicite una demostración hoy mismo.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
