Estar en «modo reactivo» es agotador, ineficaz y estresante, y resulta especialmente arriesgado cuando la carga de trabajo es elevada. La gestión del riesgo de los proveedores (VRM) no es diferente: contar con un programa de VRM reactivo que responde al riesgo de los proveedores, en lugar de controlarlo, pone a su organización en peligro de sufrir violaciones de datos, violaciones de la privacidad e infracciones del cumplimiento normativo.
Por eso es importante contar con un proceso claro para gestionar de forma proactiva los riesgos cibernéticos y las exposiciones a la continuidad del negocio que inevitablemente surgen a lo largo del ciclo de vida de la relación con los proveedores.
En nuestros más de 15 años trabajando con miles de clientes y proveedores, hemos desarrollado 5 prácticas recomendadas para lograr un proceso de gestión de riesgos de proveedores más proactivo. Descargue la guía de prácticas recomendadas para descubrir:
- Directrices para cada paso, incluyendo consejos para el éxito del programa de riesgo de proveedores y errores que se deben evitar.
- Una estrategia probada para evaluar el nivel de madurez de su programa VRM.
- Lista de verificación de las características clave de los productos de gestión de riesgos de proveedores y los niveles de servicio que se deben buscar.
Al seguir estos pasos, no solo reducirá el riesgo para su organización, sino que también fortalecerá sus relaciones con terceros.
Aquí tienes un adelanto de cómo los 5 pasos pueden facilitar la gestión de riesgos de los proveedores:
Paso 1: Incorpora, evalúa y gestiona a tus proveedores en un solo lugar.
Antes de poner en marcha un programa de gestión de riesgos de proveedores, es necesario tomar varias decisiones. Los servicios de asesoramiento de expertos pueden ayudar a definir los parámetros del programa. El siguiente paso es controlar a los proveedores externos, incorporarlos e identificar sus riesgos inherentes.
Las decisiones clave en este paso incluyen:
- ¿Cuál es el mecanismo adecuado para incorporar proveedores? ¿Utilizará un proceso manual o una plantilla de hoja de cálculo? ¿Necesitará integraciones con sistemas de gestión de compras o proveedores?
- ¿Qué factores tendrá en cuenta a la hora de tomar decisiones sobre la clasificación de proveedores? Por ejemplo, ¿qué atributos o cuestiones críticas influirán en la forma en que clasifica a proveedores específicos?
- ¿Cómo recopilará información para evaluar el riesgo inherente? ¿Utilizará un cuestionario automatizado? ¿Qué datos se utilizarán para calcular el riesgo inherente (por ejemplo, datos operativos, jurídicos, reglamentarios, financieros y/o de reputación)?
Cuando contacte por primera vez con posibles proveedores de soluciones VRM, asegúrese de que ofrecen múltiples mecanismos para incorporar a proveedores, distribuidores y otros terceros. Esto puede incluir la realización de tareas de incorporación en nombre de su equipo.
Además, asegúrese de que su metodología de clasificación de proveedores y puntuación de riesgos de proveedores incluya algo más que preguntas superficiales. Por ejemplo, es posible que desee que también incluya consideraciones financieras y de la cadena de suministro. Lea la guía de prácticas recomendadas para obtener una descripción completa de estos atributos.
Paso 2: Libérate de la prisión de las hojas de cálculo con la automatización
El siguiente paso para una gestión proactiva de los riesgos de los proveedores es dejar de utilizar hojas de cálculo para evaluar dichos riesgos. Por supuesto, sigue necesitando una forma de recopilar pruebas de los controles de seguridad y realizar revisiones de diligencia debida según sus normas corporativas y requisitos de cumplimiento. Afortunadamente, puede automatizar este proceso y eliminar las tareas de evaluación redundantes y abrumadoras que a menudo conducen a errores y riesgos.
La recopilación y la revisión de la diligencia debida pueden adoptar muchas formas. Por ejemplo, puede gestionar el proceso de evaluación usted mismo, acceder a una biblioteca de cuestionarios completados o externalizar la recopilación a un socio. De hecho, vemos que muchas empresas gestionan con éxito los riesgos con un enfoque híbrido que aprovecha diferentes enfoques para diferentes niveles de proveedores. Lea nuestra guía de mejores prácticas para comparar cada uno de estos métodos y determinar cuál es el más adecuado para usted.
Las decisiones clave en este paso incluyen:
- ¿Qué cuestionario se utilizará para recopilar información sobre los controles de su proveedor? ¿Utilizará encuestas estándar del sector o encuestas propias? (Pista: depende de una combinación de dos factores: 1) a qué normativas o marcos normativos piensa asignar las respuestas, y 2) si tiene previsto compartir los resultados con una red).
- ¿Qué método(s) de recopilación utilizará? ¿Dispone de los recursos y la experiencia necesarios para gestionarlo internamente? ¿Aprovechará las redes de respuestas completadas de los proveedores para acelerar el proceso? ¿Externalizará la recopilación a un socio? (Ideal para equipos con pocos recursos o sin personal de apoyo).
Al igual que en el paso 1, asegúrese de que su proveedor de soluciones de VRM es flexible en cuanto a la disponibilidad del cuestionario y los métodos de recopilación. Seguramente no querrá estar sujeto a un único cuestionario rígido que no pueda personalizarse. Tampoco querrá verse obligado a recopilar la diligencia debida por su cuenta, sobre todo si tiene poco personal.
Paso 3: Tome decisiones más inteligentes con inteligencia de riesgos continua
El siguiente paso para crear su marco de gestión de riesgos de proveedores es validar las evaluaciones de terceros con inteligencia externa sobre ciberseguridad y riesgos empresariales. Si bien las evaluaciones periódicas son esenciales para comprender cómo los proveedores gestionan sus programas de seguridad de la información y privacidad de los datos en un momento dado, ¡pueden ocurrir muchas cosas en un proveedor entre una evaluación y otra! Aquí es donde la supervisión continua puede ayudar.
Muchas organizaciones se quedan cortas en este aspecto. Demasiadas adoptan una visión estrecha y cualitativa de los riesgos de los proveedores e ignoran información más cualitativa. Cuando se combinan y correlacionan, la ciberseguridad y la supervisión empresarial proporcionan una visión más completa del riesgo de los proveedores. Esta visión "desde fuera hacia dentro" le proporciona una ventaja a la hora de comprender el impacto potencial del riesgo de los proveedores. También aumenta sus evaluaciones "internas" para ofrecer una puntuación de riesgo más informada y precisa. Pero, ¿en qué tipo de información de supervisión debe centrarse?
- Fuentes de inteligencia sobre riesgos de ciberseguridad: Para comprender las debilidades que son visibles para los atacantes, primero hay que descubrir los datos comprometidos en la web oscura y catalogar las divulgaciones de violaciones de seguridad. A continuación, hay que recopilar información sobre ciberataques validados, infracciones de la infraestructura y las políticas de TI, vulnerabilidades y otras exposiciones.
- Fuentes de inteligencia sobre riesgos empresariales: la información sobre los riesgos que plantean los problemas operativos, las fusiones y adquisiciones, los despidos, los cambios en la dirección, las retiradas de productos, las investigaciones normativas o legales y las notificaciones financieras y de quiebra son datos cualitativos importantes que añaden más contexto al proceso de VRM.
Lea la guía de mejores prácticas para profundizar en cada una de estas fuentes de inteligencia.
Con la inteligencia adecuada, puedes ayudar a los proveedores a limpiar sus huellas de código abierto y cerrar las brechas de seguridad en sus procesos internos. El proceso es similar a pulir el informe crediticio antes de solicitar un préstamo hipotecario.
Paso 4: Corrija lo que es importante con las soluciones recomendadas y los informes.
Ahora viene lo más difícil: remediar los riesgos. Las consideraciones clave en esta fase incluyen:
- ¿Tu equipo tiene la experiencia necesaria para recomendar soluciones a los controles fallidos? ¿Sería útil activar automáticamente soluciones predefinidas cuando las evaluaciones señalen riesgos específicos?
- ¿Cómo tiene previsto proyectar el riesgo futuro (por ejemplo, el riesgo residual) a lo largo del tiempo tras la aplicación o ejecución de las medidas correctoras? Esto será importante a la hora de informar a los consejos de administración.
- ¿Cómo demostrará el cumplimiento de un proveedor con un marco normativo o industrial específico? (Sugerencia: busque soluciones que proporcionen métricas de "porcentaje de cumplimiento" con respecto a múltiples normativas).
- ¿Cómo mitigará las amenazas ocultas que no se revelan en las respuestas de las evaluaciones? (Asegúrese de preguntar si su solución VRM incluye aprendizaje automático para analizar datos y revelar tendencias ocultas).
Paso 5: Adopte un enfoque continuo, inteligente y automatizado para la gestión de riesgos de proveedores.
El último paso para avanzar hacia un VRM más proactivo es incorporar a su programa una automatización continua e inteligente a largo plazo. Esto incluye aprovechar las soluciones que pueden evaluar, supervisar y eliminar el riesgo de los proveedores de forma proactiva y continua. Pero, ¿qué significa "continua, inteligente y automatizada"?
Evaluaciones continuas
Una forma de lograr un modelo de evaluación más continuo y menos reactivo es habilitar la inteligencia de supervisión cibernética y empresarial en tiempo real para informar su calendario de evaluaciones. Con las reglas adecuadas, puede correlacionar las vulnerabilidades, las infracciones o las credenciales filtradas de un proveedor en la web oscura con las respuestas de la evaluación que revelan prácticas deficientes de gestión de contraseñas o de parches. A continuación, puede utilizar estos hallazgos para activar evaluaciones. Este nivel de automatización cierra realmente el círculo en lo que respecta al riesgo de terceros y transforma las evaluaciones puntuales en una supervisión continua del riesgo.
Inteligencia desde todos los rincones
Tomar decisiones acertadas basadas en el riesgo implica consumir y normalizar datos procedentes de diversas fuentes. Consulte nuestra guía de buenas prácticas para ver un diagrama que ilustra los datos que suelen ser necesarios para tomar decisiones basadas en el riesgo. Estos son solo algunos ejemplos:
- Las fuentes públicas y privadas, la inteligencia de riesgos de proveedores y las integraciones tecnológicas pueden proporcionar información cuantitativa y cualitativa sobre los riesgos de seguridad informática, los problemas financieros y otros indicadores de la salud cibernética y empresarial de un proveedor.
- La comunidad de proveedores, las evaluaciones completas y las asociaciones industriales también desempeñan un papel importante. Proporcionan documentación aportada por los miembros o de origen colectivo, así como información que puede ofrecer una visión previa de los riesgos que plantean los proveedores en sectores específicos.
- La supervisión reglamentaria proporciona información sobre los fallos de control en los sectores regulados y puede ayudar a anticipar las medidas correctoras necesarias para reducir el riesgo residual de un proveedor.
Automatización de guías para agilizar la respuesta a los riesgos
Una forma de lograr un programa más automatizado es aprovechar las capacidades para desencadenar acciones de respuesta al riesgo basadas en criterios del tipo "si esto, entonces aquello" para entidades y riesgos específicos. Las reglas deben automatizar una amplia gama de tareas de incorporación, evaluación y revisión. Éstas pueden incluir la actualización de perfiles de proveedores y atributos de riesgo, el envío de notificaciones y/o la activación de flujos de trabajo. También deben ejecutarse de forma permanente para actualizar el entorno VRM a medida que surgen nuevos eventos y riesgos.
Siguiente paso: Descargar la Guía de buenas prácticas
Ahora que ya tiene una idea de cómo es la implementación de la gestión de riesgos de proveedores en una empresa, no se pierda los detalles adicionales que encontrará en la guía de prácticas recomendadas.
Prevalent ofrece una solución completa de gestión de riesgos de proveedores unificada en una única plataforma fácil de usar. Si desea obtener más información sobre cómo desarrollar su estrategia completa de VRM, solicite una demostración hoy mismo.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
