Los informes de evaluación de riesgos de proveedores son esenciales para su programa de gestión de riesgos de terceros. Además de poner de relieve los puntos débiles del programa o las lagunas en los controles de seguridad, los buenos informes también ayudan a fortalecer las relaciones con los proveedores, demostrar a los reguladores la diligencia debida y la gestión de riesgos, y arrojar luz sobre las mejores prácticas en materia de controles de seguridad.
Entonces, ¿en qué consiste un buen informe de evaluación de riesgos de proveedores? A grandes rasgos, hay tres elementos fundamentales que deben tenerse en cuenta: la evaluación continua de los riesgos de los proveedores, el cumplimiento de la normativa y los informes de ciberseguridad para la diligencia debida de los proveedores. En este artículo, repasamos estos elementos básicos y otras consideraciones críticas en sus informes de evaluación de proveedores.
Informes continuos de evaluación de riesgos de proveedores
Atrás quedaron los días en los que las evaluaciones de proveedores se realizaban con un enfoque "de una vez por todas". Para mantenerse al tanto de la evolución de las amenazas, es fundamental llevar a cabo el proceso de evaluación de riesgos de proveedores de forma periódica. Esto suele hacerse con un par de tipos de informes: informes de resumen de riesgos iniciales e informes de resumen de riesgos finales.
Informes iniciales de resumen de riesgos
El Informe de Resumen de Riesgos Inicial proporciona a los equipos internos y a los proveedores externos detalles sobre los riesgos en sus entornos que requieren mitigación o controles compensatorios. Se puede considerar como una "prueba previa" que identifica los aspectos en los que el tercero lo está haciendo bien y aquellos en los que debe mejorar. El informe debe ser lo suficientemente flexible como para mostrar las calificaciones de riesgo y otros detalles importantes, al tiempo que permite a las partes interesadas profundizar en las vulnerabilidades más críticas. Los programas maduros de riesgos de terceros utilizan este tipo de informe para añadir influencia a las conversaciones con los proveedores y negociar compromisos de corrección.
Informe final de resumen de riesgos
El Informe Final de Resumen de Riesgos se basa en el Informe Inicial de Resumen de Riesgos, detallando cualquier ajuste justificado del riesgo, los compromisos del plan de remediación y/o los controles compensatorios. Básicamente, documenta lo que se va a hacer con respecto al riesgo. También debe ser un informe vivo que se actualice cada vez que se identifique, verifique o mitigue un riesgo, o cuando incidentes o alertas específicos exijan una actualización. Este informe sirve para documentar los compromisos de los proveedores, registrar las medidas de seguridad aplicadas y hacer un seguimiento de cualquier vulnerabilidad relacionada revelada tras la evaluación inicial de los controles.
Los reguladores suelen exigir informes de resumen de riesgos iniciales y finales como prueba de un proceso de circuito cerrado por el que se informa a los proveedores de cualquier vulnerabilidad revelada durante las evaluaciones, se realiza un seguimiento y se valida la corrección de riesgos, y se comunican continuamente los compromisos cumplidos y no cumplidos.
Informes de evaluación de riesgos de proveedores para el cumplimiento de la normativa
Los reguladores necesitan determinar si su gestión de riesgos de terceros cumple con las mejores prácticas para la evaluación de riesgos de proveedores, y la presentación de informes puede hacer o deshacer sus iniciativas de cumplimiento.
Los informes de cumplimiento funcionan como apuestas en la gestión de las relaciones con los clientes. Sin embargo, también pueden proporcionar visibilidad interna de estas mejores prácticas, para que los líderes de los departamentos puedan tomar decisiones informadas que también se alineen con los objetivos de cumplimiento. Por ejemplo, los departamentos de privacidad necesitan informes de riesgo que incluyan el contexto en torno a la CCPA, el GDPR y otras normativas de cumplimiento.
Considere cada normativa o marco de cumplimiento como un idioma diferente. Los datos de evaluación de riesgos de su proveedor deben traducirse a cada idioma para que los informes de cumplimiento sean eficaces. Por eso, su solución de gestión de riesgos de terceros debe incluir funciones como el mapeo de riesgos en relación con el cumplimiento, cuadros de mando específicos del cumplimiento e informes sobre el "porcentaje de cumplimiento" de las normativas individuales.
Para acelerar la elaboración de informes de cumplimiento y obtener visibilidad del nivel de cumplimiento de cada proveedor, empiece por establecer un umbral de porcentaje de "aprobado" de cumplimiento para cada categoría de riesgo. Sus informes deben vincularse a las calificaciones de porcentaje de cumplimiento, lo que permite a su equipo de evaluación centrarse en las áreas donde las tasas de aprobación de cumplimiento son bajas.
Además, no se detenga en el nivel del proveedor. Lleve a cabo el cumplimiento a nivel macro en todos los proveedores. Esto será importante para la junta directiva, ya que intentará determinar el grado de cumplimiento de la cartera de proveedores con respecto a las nuevas normativas, que cambian constantemente.
Prevalent tiene un libro blanco detallado sobre la gestión de riesgos de terceros y el cumplimiento que extrae los requisitos específicos establecidos en múltiples reglamentos y marcos de la industria; explica lo que significan esos requisitos; y luego mapea las capacidades clave de la solución en los requisitos para demostrar cómo una plataforma completa de TPRM puede ayudar a aliviar la carga del cumplimiento.
Informes sobre ciberriesgos de proveedores
Durante décadas, la seguridad de la información ha buscado una bola de cristal para compartir información "detrás de la cortina" sobre cómo de segura es realmente la postura de ciberseguridad de un proveedor. Estos métodos han incluido pedir al proveedor que responda a cuestionarios de recopilación de contenidos, elaborar informes de inteligencia sobre amenazas y realizar visitas in situ. Hoy en día, las visitas in situ están en desventaja. El enfoque fundamental de confiar, verificar y validar sigue vigente y un informe completo de evaluación del proveedor puede proporcionar información como:
- Riesgo medio por puntuación y situación
- Riesgos por probabilidad
- Mayores riesgos por proveedor
- Riesgos por impacto
- Riesgos comunes identificados
- Riesgos por área de impacto
- Evolución del riesgo en el tiempo por puntuación/impacto/probabilidad
- Proyección de la puntuación/impacto/probabilidad del riesgo a lo largo del tiempo
Los ejecutivos piden una visibilidad global del perfil de riesgo de terceros para informar con confianza al consejo de administración. Esto hace que sea muy difícil para los evaluadores consolidar manualmente la información de múltiples fuentes. Durante la revisión de diligencia debida del proveedor, el analista tendrá que destacar rápidamente las excepciones en el comportamiento común, por ejemplo, valores atípicos en las evaluaciones, tareas, riesgos, etc., que podrían justificar una investigación más a fondo. - que podrían justificar una mayor investigación. Para los programas más maduros que han elevado su programa de gestión de riesgos de terceros a un programa de gobernanza, el analista tendrá la capacidad de aprovechar los análisis de aprendizaje automático para correlacionar conjuntos de datos complejos y ver posibles tendencias ocultas.
Las 10 principales funciones de información y corrección de riesgos de proveedores
Si estos 10 puntos principales no son capacidades de una plataforma en estudio, piénselo dos veces antes de invertir. La falta de una de estas capacidades le hará retroceder en el tiempo y le impedirá centrarse en la gestión de sus riesgos. Las 10 capacidades principales son:
- Orientación integrada sobre medidas correctoras y recomendaciones sobre riesgos
- Un marco unificado para la presentación de informes con correspondencia de preguntas y respuestas con cualquier marco, directriz o metodología reglamentaria o estándar del sector.
- Cumplimiento normativo, marco e informes específicos de directrices como CMMC, ISO 27001, NIST, GDPR, CCPA, CoBiT5, SSAE18 y NYDFS.
- Posibilidad de mostrar los umbrales de porcentaje de conformidad y de aprobación
- Informes detallados por proveedor y entre todos los proveedores
- Proyección de la puntuación del riesgo a lo largo del tiempo una vez que se hayan llevado a cabo las medidas correctoras y se hayan mitigado los riesgos.
- Flujos de trabajo automatizados y comunicaciones por tickets
- Plantillas de informes integradas y estado de múltiples normativas de seguridad, cumplimiento y privacidad.
- Cuadros de mando ejecutivos y operativos
- Asociación y relaciones de riesgo para armonizar y normalizar el riesgo en múltiples fuentes de recopilación de contenidos.
Así que, como puede ver, los informes de evaluación de riesgos de proveedores vienen en todos los sabores diferentes. "No se puede gestionar lo que no se mide" sigue resistiendo el paso del tiempo. Quizá en el futuro miremos atrás y nos demos cuenta de que el año pasado nos dio la oportunidad de mejorar nuestras capacidades de elaboración de informes para garantizar la resiliencia. Si tuviera que resumir este blog en una sola frase, sería: Céntrese en los datos que recopila, divídalos en vistas apropiadas para el destinatario y hágalo con el objetivo de gestionar el riesgo en todos los niveles de complejidad.
Próximos pasos
Prevalent ofrece soluciones de evaluación de riesgos de proveedores que automatizan y aceleran sus iniciativas de gestión de riesgos. Si prefiere aliviar la carga del proceso de evaluación, también ofrecemos una gama de servicios de evaluación de riesgos de proveedores en los que nuestros expertos pueden hacer el trabajo duro por usted. ¿No sabe por dónde empezar? Regístrese para una revisión gratuita de la madurez del programa TPRM, en la que compararemos su programa actual con las mejores prácticas y le ofreceremos una serie de recomendaciones para cumplir sus objetivos de evaluación de proveedores.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
