¿Qué es el riesgo de cuarta parte?
El riesgo de cuarta parte es cualquier riesgo potencial planteado por los "vendedores de sus vendedores", muchos de los cuales la organización contratante puede incluso no conocer. Aunque su empresa cuente con un programa de seguridad de la información bien desarrollado, las cuartas partes y las enésimas partes desconocidas pueden causar importantes perturbaciones en su cadena de suministro.
Por ejemplo, el ataque de ransomware al gasoducto Colonial Gas Pipeline. Las gasolineras de toda la costa este de Estados Unidos se quedaron vacías y millones de consumidores se preguntaron cómo podrían llegar al trabajo. En muchos casos, las gasolineras ni siquiera habían oído hablar de Colonial Pipeline, y mucho menos se habían dado cuenta de que un ciberataque podría paralizarla y, por extensión, su cadena de suministro.
Un programa eficaz de gestión de riesgos en la cadena de suministro puede ayudarle a identificar, remediar y gestionar los riesgos de todos los proveedores, ya sean externos, externos o de otro tipo. Este artículo explica cómo se clasifican los proveedores y ofrece consejos para gestionar eficazmente los riesgos en todos los niveles de su cadena de suministro. Vamos a cubrir:
- Identificación de proveedores críticos y niveles de tolerancia
- Relaciones con proveedores externos
- Visibilidad y control de los riesgos de la cuarta y la enésima partes
¿Cuál es la diferencia entre proveedores de tercera, cuarta y enésima parte?
Los terceros proveedores son empresas con las que su organización trabaja directamente. Las cuartas partes son empresas que contratan con sus terceras partes. Por ejemplo, si su empresa contrata con un proveedor de poliéster, ese proveedor se clasificaría como tercera parte. Si su proveedor de poliéster recurre a un fabricante de Vietnam, el fabricante es una cuarta parte. Ahora bien, si ese fabricante contrata con un proveedor camboyano de materias primas, ese proveedor de materias primas sería una quinta parte. Si la legislación camboyana cambia y encarece la producción de etileno, ingrediente clave del poliéster, podría producirse un efecto dominó en toda la cadena de suministro. Comprender estas relaciones le ayudará a mitigar los riesgos en toda su cadena de suministro.
A veces, cuanto más alejada esté la enésima parte de la organización contratante, menor será el impacto de una interrupción, pero no siempre es así. Colonial Pipeline es un buen ejemplo de cómo un proveedor que sufre un ciberataque puede paralizar las empresas a lo largo de la cadena de suministro. Estos riesgos son especialmente graves cuando su organización depende en gran medida de un proveedor al que no puede sustituir fácilmente. Cuanta más visibilidad obtenga de los proveedores de su organización y de los proveedores de sus proveedores, más comprenderá y mitigará eficazmente los riesgos inaceptables.
Contabilización del riesgo de contraparte en su programa de gestión de riesgos de proveedores
La gestión del riesgo de proveedores (VRM) se ha convertido en un aspecto crítico para organizaciones de todos los tamaños. Sin embargo, muchas empresas se detienen en terceros cuando consideran el riesgo de proveedores. Las cadenas de suministro modernas son cada vez más globales y dependen de cientos o miles de proveedores de cuarta y enésima parte. Una organización puede no ser consciente de su dependencia de un proveedor Nth-party hasta que se produce una interrupción significativa. A continuación encontrará algunas directrices que le ayudarán a tener en cuenta a los proveedores de cuarta y enésima categoría en su programa VRM más amplio.
Identificación de proveedores críticos y determinación de la tolerancia al riesgo
Es esencial identificar a las cuartas partes que trabajan con sus proveedores de misión crítica. Si un cuarto proveedor crucial sufre una brecha de seguridad, un problema en la cadena de suministro u otra interrupción, es probable que su empresa se enfrente a las consecuencias. Para mitigar el riesgo y planificar adecuadamente, debe saber quiénes son sus proveedores externos. Examine su cartera de proveedores en busca de cualquier cuarto proveedor compartido por varios proveedores, como Amazon Web Services u otro proveedor común.
En un mundo perfecto, podría asegurarse de que todas las empresas con las que trabaja aplican a sus proveedores las mismas normas que usted. Sin embargo, no siempre es así, y aun así necesita trabajar con la cuarta, quinta y enésima partes para dirigir su organización con éxito. Por eso es esencial determinar la tolerancia al riesgo de su empresa en relación con la cuarta y la enésima partes y crear procesos para evaluar sus riesgos inherentes y residuales (es decir, los niveles de riesgo antes y después de aplicar los controles, respectivamente). Recomendamos categorizar a todos los proveedores e incluir el riesgo inherente como factor clave para establecer los requisitos de control para cada nivel de servicio. Por ejemplo, el proveedor de servicios en la nube de su vendedor estará sujeto a requisitos más estrictos que su contratista de limpieza.
También es fundamental alinear los contratos de los proveedores en lo que respecta a la responsabilidad de la cuarta parte y la rendición de cuentas. Empiece por documentar las prácticas de gestión de relaciones con las unidades de negocio de las partes interesadas cruciales e identifique los puntos de contacto de los socios en toda la cadena de suministro. A continuación, incorpore a los contratos acuerdos de nivel de servicio y requisitos de control basados en el servicio, nivel o categoría de cada proveedor, y aplique la gestión de cambios para abordar cualquier modificación del alcance. Por último, asegúrese de que se cumplen los requisitos mediante prácticas continuas de gestión del rendimiento y los acuerdos de nivel de servicio de los proveedores.
Mapa de las relaciones con la cuarta parte
Dado que usted no interactúa directamente con las cuartas partes, es vital contar con una estrategia sólida para identificarlas durante el proceso de adquisición y diligencia debida. Si está llevando a cabo un procedimiento de licitación competitiva con posibles terceros, su solicitud de propuesta (RFP) debe incluir una pregunta relativa a los cuartos interesados. Una vez que haya reducido la lista a un finalista, debe formular preguntas adicionales durante la fase de incorporación del proveedor. Además de identificar a los terceros que utilizará su proveedor, debe formular las siguientes preguntas sobre cada uno de ellos:
- ¿Tratarán directamente con sus clientes, socios o empleados?
- ¿Qué tipo de diligencia debida les ha aplicado en los últimos 12 meses?
- ¿Hubo algún descubrimiento digno de mención? En caso afirmativo, ¿cuáles fueron y cómo se abordaron?
- ¿Tienes un contrato con ellos en este momento?
- ¿A qué tipo de información sobre los clientes tienen acceso?
- ¿Se prestará alguno de los servicios del proveedor en otro país?
- ¿Exige certificaciones de seguridad de la información a terceros?
Tomar el control con una plataforma de gestión de riesgos de proveedores
Es posible que la cabeza le dé vueltas al considerar el alcance más amplio de su cadena de suministro, empezar a identificar proveedores de cuarta y enésima parte, y comprender el riesgo que pueden suponer para su empresa. Por eso, las empresas con grandes ecosistemas de proveedores y cadenas de suministro profundas suelen implantar una plataforma centralizada de gestión de riesgos de proveedores para ofrecer más visibilidad y control sobre sus poblaciones de proveedores.
Una plataforma de gestión de riesgos de proveedores puede ser un repositorio central para sus datos de terceros, cuartos y terceros. Aunque estas plataformas se conocen como soluciones de gestión de riesgos de terceros (TPRM, por sus siglas en inglés), muchas ofrecen sólidas capacidades para gestionar y reducir el riesgo de los terceros cuarto y n-ésimo. El proceso comienza con la gestión de terceros y, a continuación, se aprovecha la solución para ampliar la visibilidad a los niveles cuarto, quinto y enésimo. Para empezar, puede aprovechar las fuentes de información sobre proveedores para crear un perfil de proveedor completo que incluya información sobre el sector y la empresa, así como la propiedad, y que identifique las relaciones con la cuarta parte.
Durante la incorporación de terceros y periódicamente después, puede aprovechar una solución de gestión de riesgos de proveedores (o terceros) para automatizar las evaluaciones de riesgos basadas en cuestionarios diseñados para recopilar información sobre las relaciones con proveedores de cada tercero. La solución de Prevalent también incluye funciones de mapeo de relaciones que le permiten identificar conexiones entre su organización y terceros, cuartos y enésimos para descubrir dependencias y riesgos en su ecosistema de proveedores ampliado.
Una vez que obtenga visibilidad de las cuartas y enésimas partes que afectan a su negocio, puede utilizar la supervisión continua de proveedores para supervisar a los proveedores críticos. La supervisión continua de las fuentes privadas y públicas de información sobre amenazas a proveedores puede proporcionar una alerta temprana de sucesos y riesgos cibernéticos, empresariales y financieros que, en última instancia, podrían afectar a sus operaciones. Todo el contenido de evaluación y supervisión debe correlacionarse y asignarse a los perfiles de proveedores en su solución VRM.
Puede aumentar la escala de su gestión de riesgos de terceros, cuartos y enésimos aprovechando las redes de inteligencia de proveedores que contienen evaluaciones completas, datos de supervisión y puntuaciones de riesgo estandarizadas de miles de proveedores. Las organizaciones con recursos internos limitados también deben considerar el aprovechamiento de los servicios gestionados de evaluación de riesgos de proveedores para ampliar sus iniciativas de recopilación, análisis y corrección de datos de proveedores.
Por último, dado que la gestión eficaz de los riesgos de los proveedores depende de la colaboración entre los departamentos de seguridad informática, compras, gestión de riesgos, jurídico y otras partes interesadas, asegúrese de que su plataforma VRM ofrece acceso basado en funciones, gestión de flujos de trabajo y funciones de gestión de tareas.
Un enfoque programático de la gestión de riesgos de cuarta parte
Un buen programa de gestión de riesgos de cuarta parte no es un proyecto aislado, sino un aspecto integral de su estrategia de gestión de proveedores. El riesgo de la cuarta parte debe identificarse como una categoría de riesgo a gestionar en su política de gestión de proveedores, y las evaluaciones y la supervisión de la cuarta parte deben incorporarse a sus procedimientos operativos estándar. La gestión del riesgo de los proveedores debe ser un proceso continuo y programático que tenga en cuenta el riesgo en todos los niveles de la cadena de suministro.
Prevalent puede ayudarle a crear un programa holístico de gestión de riesgos con una visibilidad, eficacia y escala inigualables, independientemente de su situación actual. Trabajaremos con usted para encontrar la combinación de servicios gestionados, pertenencia a la red y/o acceso a la plataforma TPRM que mejor se adapte a su organización. Obtendrá una rápida rentabilidad, estará equipado para tomar decisiones basadas en la inteligencia y reducirá de forma cuantificable el riesgo relacionado con los proveedores, todo ello con menos quebraderos de cabeza para usted y su equipo.
Próximos pasos para gestionar el riesgo de contraparte
Con las recientes infracciones y las interrupciones de la cadena de suministro, comprender el riesgo en sentido descendente es más crítico que nunca. A menudo, las empresas pasan por alto la gestión de riesgos de terceros porque suponen que sus terceros aplican la misma diligencia debida a sus terceros. Tanto si emplea a un equipo interno, como si aprovecha una plataforma de gestión de riesgos de proveedores o utiliza servicios gestionados, debe evaluar a todas las cuartas partes que afectan a su negocio.
Descubra cómo Prevalent puede ayudarle a identificar y mitigar el riesgo de cuarta y enésima parte en su cadena de suministro. Solicite una demostración hoy mismo.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
