Los cambios organizativos, como fusiones, adquisiciones y desinversiones (MAD), introducen complejidad y fragmentación en las estructuras corporativas. Estas transformaciones suelen implicar la incorporación y salida de amplias redes de proveedores externos, subcontratistas, proveedores y otras partes, cada uno de los cuales conlleva riesgos potenciales desconocidos que podrían afectar negativamente a las operaciones comerciales.
La gestión de riesgos de terceros (TPRM) actúa como una fuente crítica de inteligencia en estos escenarios. Un programa sólido de TPRM ayuda a identificar y evaluar los riesgos asociados con terceros e implementa estrategias para mitigar esos riesgos durante los procesos de transición, protegiendo las operaciones comerciales de su organización. En esta publicación, profundizaremos en los conocimientos y las herramientas necesarios para navegar por las complejidades de los riesgos de terceros en fusiones, adquisiciones, desinversiones y otras transiciones comerciales.
El contexto es clave: planifique para diversos escenarios de transición empresarial.
Comprender el contexto de una transición empresarial es fundamental para abordar adecuadamente los riesgos de terceros y preparar a su equipo para el éxito. Esto permite a los equipos formarse y anticiparse a los diferentes escenarios que puedan surgir. También proporciona información en medio de una mayor incertidumbre, lo que ayuda a los equipos a comprender los posibles impactos en los procesos operativos. La planificación permite a los equipos crear un programa de TPRM operativo y resistente para fusiones, adquisiciones, desinversiones y otras transiciones. Entre los desencadenantes habituales de eventos empresariales se incluyen:
- Fusión: Cuando dos empresas se unen para formar una nueva empresa. Las fusiones también pueden incluir las relaciones con proveedores y distribuidores asociados a las entidades anteriormente independientes.
- Adquisición: Cuando se produce un cambio en la propiedad o se adquiere otra empresa, incluidos sus proveedores externos y las cadenas de suministro asociadas.
- Desinversión: Cuando una empresa vende o escinde una parte de sus inversiones empresariales o participaciones en una entidad.
- Empresa conjunta: Cuando dos o más empresas se unen en una empresa comercial, pero conservan sus identidades distintas.
- Nueva empresa comercial ampliada:
Incluye programas piloto o unidades comerciales independientes que se han convertido en negocios autónomos. - Fusiones y adquisiciones entre terceros y la cadena de suministro ampliada: los proveedores , vendedores y otras partes pueden verse sujetos a transiciones empresariales con un efecto ascendente.
Recomendaciones para un programa exitoso de fusiones, adquisiciones y desinversiones (MAD) de TPRM
Antes de sumergirse en el proceso de TPRM adaptado a las necesidades de su equipo, hay tres prácticas recomendadas universales que debe tener en cuenta. Estas recomendaciones sirven de base para gestionar y mitigar los riesgos potenciales durante todo tipo de transiciones empresariales.
1. Establecer relaciones con las partes interesadas clave.
Para gestionar eficazmente las transiciones empresariales y anticiparse a los cambios, es importante mantener relaciones sólidas con las partes interesadas clave dentro de su organización. Fomente la confianza y la colaboración con el consejo de administración, la alta dirección y los departamentos clave, como los socios de seguridad informática, jurídico, adquisiciones, cumplimiento normativo, privacidad, finanzas y cadena de suministro.
El fortalecimiento de estas relaciones con las partes interesadas alinea sus estrategias de gestión de riesgos de terceros con objetivos empresariales más amplios y le informa sobre cambios organizativos inminentes. Esta alineación y concienciación facilitan la toma de decisiones rápidas y fundamentadas cuando se producen cambios, lo que mejora su capacidad para gestionar los riesgos de forma eficaz.
2. Mantener una visión holística del riesgo de terceros
Una vez que haya determinado la importancia crítica de los servicios de terceros, evalúe los riesgos operativos más amplios que estas relaciones pueden suponer para su organización:
- Financiero: Evalúe la salud financiera del tercero examinando las tendencias en ingresos y gastos, los riesgos de solvencia o quiebra, las calificaciones crediticias y los niveles de liquidez. Estos factores son cruciales para comprender su estabilidad y fiabilidad financieras.
- Operaciones: Evaluar su resiliencia operativa, gestión de recursos, tasas de rotación de personal, experiencia en fusiones y desinversiones, y la capacidad de su infraestructura. Esto ayuda a medir su capacidad para cumplir con las obligaciones contractuales en condiciones cambiantes.
- Geopolítica/Concentración: Considere cómo gestiona el tercero los riesgos relacionados con cuestiones geopolíticas, desastres naturales y retos específicos de la ubicación, como los riesgos de deslocalización y concentración. Comprender estos aspectos es fundamental para planificar la mitigación de riesgos en entornos diversos.
- Ciberseguridad y privacidad de datos: determine la eficacia de sus medidas de ciberseguridad. ¿Están adecuadamente protegidos contra ciberataques, violaciones de datos, pérdida de datos y ransomware? Evalúe sus prácticas de gestión de amenazas y vulnerabilidades, así como su preparación frente a los riesgos cibernéticos emergentes.
- Medioambiental, social y de gobernanza (ESG):
Analice cómo gestionan los terceros sus obligaciones en materia de ESG. ¿Son sólidas sus políticas medioambientales? ¿Cumplen con las normas sociales y de gobernanza que se ajustan a los valores de su empresa? - Cumplimiento y sanciones: Asegúrese de que el tercero cumpla con las leyes y normativas pertinentes que puedan afectar a su negocio. El incumplimiento podría exponer a su organización a riesgos legales y normativos.
- Reputación: Evaluar la percepción que tiene el público y la industria del tercero, incluyendo cualquier cobertura negativa en los medios de comunicación.
3. Crear un inventario ampliado de la cadena de suministro.
Una vez que tenga una visión global de sus riesgos operativos, evalúe minuciosamente el estado de toda su cadena de suministro. Es fundamental identificar por adelantado a todos los proveedores y sus dependencias. Este enfoque proactivo ayuda a detectar posibles riesgos y facilita una gestión más eficaz de las futuras transiciones empresariales.
Catalogue sistemáticamente estos proveedores y evalúe sus funciones, dependencias y posibles vulnerabilidades. De este modo, se crea una cadena de suministro más resistente, capaz de adaptarse a nuevos escenarios empresariales, lo que garantiza que su cadena de suministro respalde sus objetivos estratégicos en lugar de obstaculizarlos.
Gestión de riesgos de terceros durante fusiones y adquisiciones
Una vez establecida una base sólida, exploremos algunas prácticas recomendadas de TPRM para fusiones y adquisiciones. En este escenario, es fundamental contar con un proceso sólido de incorporación y evaluación. Los pasos clave incluyen:
- Evaluar las necesidades de terceros: Determine si su empresa necesita que otro tercero le proporcione un producto o servicio similar. Consulte los inventarios de la cadena de suministro de su empresa y de la entidad adquirida. Compare estos inventarios y prepárese para evaluar, eliminar los servicios que se solapan y rescindir los contratos correspondientes.
- Revisión de contratos: Revisar los contratos con terceros de la empresa adquirida para garantizar que sus requisitos de auditoría se ajustan a los de la empresa adquirente. Verificar que el tercero cumple con los niveles de servicio contractuales y los indicadores clave de rendimiento (KPI).
- Realice una evaluación de riesgos inherentes: al seleccionar un nuevo tercero asociado con una entidad adquirida para su incorporación, identifique los riesgos básicos que supone para su organización. Utilice esta información para guiar el proceso de diligencia debida, aprovechando los criterios de criticidad señalados en la sección anterior.
- Validación de la evaluación de riesgos: determine si el tercero cuenta con una evaluación de riesgos o certificación independiente, como SOC 2 o la Declaración de aplicabilidad (SOA) de ISO, completada en los últimos 12 meses, que pueda compartir con su organización.
- Diligencia debida para evaluaciones insuficientes: Realice una diligencia debida adicional si la evaluación de riesgos de terceros no cumple con los estándares de su organización. Esto debe incluir una evaluación detallada de los riesgos de terceros basada en un marco estandarizado, como NIST o ISO.
- Supervisión continua: Utilice herramientas y procesos de supervisión continua para validar las respuestas a la evaluación de riesgos e identificar nuevos riesgos que puedan surgir tras las evaluaciones iniciales.
- Revisar las expansiones de las unidades de negocio: Evaluar cualquier expansión de las relaciones existentes con terceros para detectar riesgos adicionales para su organización.
Actividades adicionales de diligencia debida que deben tenerse en cuenta durante las adquisiciones:
- Relaciones ampliadas: evalúe las relaciones con terceros y cuartos para evitar riesgos de seguridad y duplicaciones innecesarias que puedan afectar a la rentabilidad.
- Integración de adquisiciones: Desarrolle un proceso estructurado para incorporar las adquisiciones a su infraestructura tecnológica. Esto reducirá el riesgo organizativo y aumentará la resiliencia operativa.
- Lagunas contractuales: Aborde los riesgos de seguridad dentro de los contratos incluyendo derechos de auditoría, notificación de infracciones y obligaciones de terceros. Amplíe los requisitos de seguridad de los datos a los subcontratistas y defina claramente las expectativas en materia de seguridad de la información.
- Excepciones de riesgo: Los problemas surgen cuando las unidades de negocio no logran mitigar los riesgos de terceros. Como mínimo, las unidades de negocio deben utilizar excepciones de riesgo que reconozcan e implementen controles para los riesgos que no pueden mitigarse.
TPRM durante la desinversión
Si su equipo está gestionando una desinversión empresarial, es importante contar con un proceso establecido para la salida de proveedores externos, así como de funciones o departamentos internos.
Establezca un acuerdo de servicios de transición si se externalizan funciones o unidades de negocio y estas continuarán su relación comercial con su organización como terceros. Considere quién gestionará el proceso y cuándo se le podrá conceder acceso al adquirente una vez completada la desinversión. Revise si la entidad desinvertida tendrá acceso a su infraestructura, conservará información confidencial o realizará procesos internos críticos. Una vez completado, separe la entidad desinvertida para restringir el acceso hasta que se implementen los controles. Esto ayudará a garantizar que el negocio o las operaciones no se vean interrumpidos durante la salida.
Mejores prácticas para la salida de proveedores externos durante la desinversión
- Mantenga una comunicación abierta: gestione los riesgos potenciales comunicándose regularmente con el proveedor durante el proceso de salida. Informe a los proveedores del plazo de salida, responda a sus preguntas y sea transparente sobre lo que pueden esperar.
- Desautorizar el acceso a edificios físicos, datos e infraestructura de TI: cancele el acceso de un proveedor a datos confidenciales y propiedad intelectual. Elimine sus credenciales de inicio de sesión, solicite la devolución de la propiedad de la empresa, cambie los inicios de sesión, cancele el acceso a todas las aplicaciones y deniegue cualquier acceso a través de API.
- Realice una revisión final del contrato: revise las cláusulas y disposiciones del contrato relativas a la rescisión para asegurarse de que tiene derecho a rescindir la relación con el proveedor o a transferirla a una entidad sucesora. Realice una revisión final con los equipos jurídico y de adquisiciones para identificar cualquier desviación del alcance y asegurarse de que el proveedor ha cumplido todas las obligaciones contractuales.
- Pagar las facturas pendientes: Programe los pagos finales una vez que reciba los productos finales del proveedor, después de revisar los términos del contrato y aclarar cualquier obligación pendiente de ambas partes.
- Evaluar el cumplimiento de la seguridad de la información y la privacidad de los datos: Asegúrese de que los procedimientos de rescisión se ajusten a sus obligaciones legales. Discuta todos los compromisos pendientes con el proveedor, incluidos los acuerdos de confidencialidad, los acuerdos de no competencia y la confidencialidad.
- Actualice su base de datos de gestión de proveedores: documente el historial del proveedor con su organización, aportando pruebas que expliquen los motivos de la rescisión de la relación y registrando el proceso de rescisión. Mantenga registros para resolver los problemas rápidamente y evitar riesgos legales.
- Supervise continuamente a los proveedores para detectar posibles riesgos futuros: los riesgos no siempre desaparecen cuando se completan las tareas de salida y se rescinde el contrato. Supervise las áreas de riesgo potencial durante un periodo posterior a la salida para gestionar los riesgos futuros, como las credenciales de usuario disponibles para su venta en la web oscura.
TPRM para empresas conjuntas
Las empresas conjuntas (joint ventures, JV) plantean retos únicos para la gestión del riesgo de terceros, especialmente cuando su organización comparte la propiedad de lo que podría ser un acuerdo temporal. En tales casos, es posible que deba tratar al socio comercial como un tercero.
Acciones críticas para gestionar el riesgo en empresas conjuntas
- Realizar evaluaciones exhaustivas de riesgos:
Realice evaluaciones exhaustivas de riesgos para identificar los riesgos potenciales para la infraestructura y la información de su organización. Este paso fundamental es crucial para identificar vulnerabilidades y planificar estrategias eficaces de mitigación de riesgos.
- Aplicaciones de control y segregación: Implemente y mantenga controles adecuados, garantizando una segregación clara para abordar los retos específicos que plantea la empresa conjunta. A medida que la empresa conjunta evolucione, evalúe si se requieren medidas adicionales para salvaguardar los intereses de su organización.
- Colaborar en la gestión de riesgos: Consolidar toda la experiencia de terceros para garantizar el éxito de la empresa conjunta. Facilitar sesiones para ayudar a todas las partes a comprender los riesgos identificados, las estrategias establecidas para gestionarlos y los métodos para comunicarlos a todos los socios. Este enfoque colaborativo promueve la transparencia y el entendimiento mutuo, que son fundamentales para gestionar eficazmente los riesgos de las empresas conjuntas.
- Gestionar a los proveedores a lo largo del ciclo de vida de la relación: revisar y evaluar de forma sistemática a los proveedores externos que prestan servicios a la empresa conjunta. Supervisar periódicamente su rendimiento, hacer cumplir las disposiciones contractuales pertinentes y despedir a los proveedores de forma adecuada cuando ya no cumplan los estándares de la empresa conjunta o sus servicios ya no sean necesarios.
Centrarse en estas áreas puede mejorar la gestión de los riesgos de terceros en las empresas conjuntas y contribuir al éxito general de la empresa. Revise periódicamente cada paso para asegurarse de que las estrategias de gestión de riesgos sigan siendo eficaces y respondan a la naturaleza cambiante de la empresa conjunta.
Próximos pasos
Obtenga más información sobre la gestión de riesgos de terceros durante la transición empresarial con nuestro informe técnico, Guía estratégica para la gestión de riesgos de terceros durante fusiones y adquisiciones. Integre TPRM en sus procesos MAD descargando nuestra guía de incorporación y salida. A continuación, programe una demostración para descubrir cómo Prevalent puede ayudarle a automatizar y acelerar su programa TPRM durante las transiciones empresariales.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
