Los informes de evaluación de riesgos de proveedores son esenciales para su programa de gestión de riesgos de terceros. Además de poner de relieve las deficiencias del programa o las lagunas en los controles de seguridad, los buenos informes también ayudan a fortalecer las relaciones con los proveedores, demuestran a los reguladores que se ha actuado con la debida diligencia y se han gestionado adecuadamente los riesgos, y arrojan luz sobre las mejores prácticas en materia de controles de seguridad.
Entonces, ¿qué hace que un informe de evaluación de riesgos de proveedores sea bueno? En términos generales, hay tres elementos fundamentales que se deben tener en cuenta: la evaluación continua de los riesgos de los proveedores, el cumplimiento normativo y los informes de ciberseguridad para la diligencia debida de los proveedores. En este artículo, repasamos estos elementos fundamentales y otras consideraciones críticas en sus informes de evaluación de proveedores.
Informes continuos sobre la evaluación de riesgos de los proveedores
Atrás quedaron los días en los que las evaluaciones de proveedores se realizaban con un enfoque «único». Para mantenerse al día de las amenazas en constante evolución, es fundamental llevar a cabo el proceso de evaluación de riesgos de los proveedores de forma regular. Esto se suele hacer con dos tipos de informes: informes iniciales de resumen de riesgos e informes finales de resumen de riesgos.
Informes iniciales de resumen de riesgos
El informe inicial de resumen de riesgos proporciona a los equipos internos y a los proveedores externos detalles sobre los riesgos en sus entornos que requieren controles de mitigación o compensación. Se puede considerar como una «prueba previa» que identifica en qué aspectos el tercero está actuando correctamente y en cuáles necesita mejorar. El informe debe ser lo suficientemente flexible como para mostrar las calificaciones de riesgo y otros detalles importantes, al tiempo que permite a las partes interesadas profundizar en las vulnerabilidades más críticas. Los programas maduros de riesgo de terceros utilizan este tipo de informes para añadir peso a las conversaciones con los proveedores y negociar compromisos de corrección.
Informe final de resumen de riesgos
El informe final de resumen de riesgos se basa en el informe inicial de resumen de riesgos y detalla cualquier ajuste de riesgo justificado, compromisos del plan de corrección y/o controles compensatorios. Básicamente, documenta lo que se va a hacer con respecto al riesgo. También debe ser un informe dinámico que se actualice cada vez que se identifique, verifique o mitigue un riesgo, o cuando incidentes o alertas específicos requieran una actualización. Este informe sirve para documentar los compromisos de los proveedores, registrar las medidas de seguridad implementadas y realizar un seguimiento de cualquier vulnerabilidad relacionada que se haya revelado tras la evaluación inicial de los controles.
Los organismos reguladores suelen exigir informes iniciales y finales de resumen de riesgos como prueba de un proceso de ciclo cerrado en el que se informa a los proveedores de cualquier vulnerabilidad detectada durante las evaluaciones, se realiza un seguimiento y se valida la corrección de los riesgos, y se comunica de forma continua el cumplimiento y el incumplimiento de los compromisos.
Informes de evaluación de riesgos de proveedores para el cumplimiento normativo
Los reguladores deben determinar si su gestión de riesgos de terceros cumple con las mejores prácticas para la evaluación de riesgos de proveedores, y la presentación de informes puede determinar el éxito o el fracaso de sus iniciativas de cumplimiento.
Los informes de cumplimiento funcionan como apuestas iniciales de TPRM. Sin embargo, también pueden proporcionar visibilidad interna de estas mejores prácticas, de modo que los responsables de los departamentos puedan tomar decisiones informadas que también se ajusten a los objetivos de cumplimiento. Por ejemplo, los departamentos de privacidad necesitan informes de riesgos que incluyan contexto sobre la CCPA, el RGPD y otras normativas de cumplimiento.
Piense en cada normativa o marco de cumplimiento como un idioma diferente. Los datos de la evaluación de riesgos de sus proveedores deben traducirse a cada idioma para que los informes de cumplimiento sean eficaces. Por eso, su solución de gestión de riesgos de terceros debe incluir funciones como la asignación de riesgos a normativas, paneles de control específicos para el cumplimiento y la elaboración de informes sobre el «porcentaje de cumplimiento» de cada normativa.
Para agilizar la presentación de informes de cumplimiento y obtener visibilidad sobre el nivel de cumplimiento de cada proveedor, comience por establecer un umbral porcentual de «aprobado» para cada categoría de riesgo. Sus informes deben estar vinculados a las calificaciones de porcentaje de cumplimiento, lo que permitirá a su equipo de evaluación centrarse en las áreas en las que las tasas de aprobación de cumplimiento son bajas.
Además, no se limite al nivel de los proveedores. Lleve a cabo el cumplimiento normativo a nivel macro en todos los proveedores. Esto será importante para la junta directiva, ya que tratará de determinar en qué medida la cartera de proveedores cumple con las nuevas normativas, en constante cambio.
Prevalent cuenta con un detallado informe técnico sobre la gestión de riesgos de terceros y el cumplimiento normativo que extrae los requisitos específicos establecidos en múltiples normativas y marcos sectoriales, explica lo que significan dichos requisitos y, a continuación, asigna las capacidades clave de la solución a los requisitos para demostrar cómo una plataforma TPRM completa puede ayudar a aliviar la carga que supone el cumplimiento normativo.
Informes sobre riesgos cibernéticos de proveedores
Durante décadas, la seguridad de la información ha buscado una bola de cristal para compartir información «entre bastidores» sobre el nivel real de seguridad cibernética de un proveedor. Estos métodos han incluido pedir al proveedor que responda a cuestionarios de recopilación de contenido, elaborar informes de inteligencia sobre amenazas y realizar visitas in situ. Las visitas in situ tienen una desventaja hoy en día. El enfoque fundamental de «confiar, verificar y validar» sigue vigente, y un informe completo de evaluación del proveedor puede proporcionar información como:
• Riesgo medio por puntuación y estado
• Riesgos por probabilidad
• Riesgos más elevados por proveedor
• Riesgos por impacto
• Riesgos comunes identificados
• Riesgos por área de impacto empresarial
• Tendencia del riesgo a lo largo del tiempo por puntuación/impacto/probabilidad.
• Proyección de la puntuación de riesgo/impacto/probabilidad a lo largo del tiempo.
Los ejecutivos solicitan una visibilidad global del perfil de riesgo de terceros para poder informar con confianza al consejo de administración. Esto dificulta enormemente a los evaluadores la consolidación manual de la información procedente de múltiples fuentes. Durante la revisión de la diligencia debida del proveedor, el analista deberá destacar rápidamente las excepciones en el comportamiento habitual —por ejemplo, valores atípicos en las evaluaciones, tareas, riesgos, etc.— que puedan justificar una investigación más profunda. En el caso de los programas más maduros que han elevado su programa de gestión de riesgos de terceros a un programa de gobernanza, el analista tendrá la capacidad de aprovechar el análisis de aprendizaje automático para correlacionar conjuntos de datos complejos y ver posibles tendencias ocultas.
Las 10 mejores capacidades de generación de informes y corrección de riesgos de proveedores
Si estos 10 elementos principales no son capacidades de una plataforma en revisión, piénselo dos veces antes de invertir. La falta de una de estas capacidades le hará retroceder en el tiempo y dificultará su capacidad para centrarse en la gestión de sus riesgos. Las 10 capacidades principales son:
- Guía de remediación integrada y recomendaciones sobre riesgos
- Un marco de información unificado con correspondencia entre preguntas y respuestas para cualquier marco, directriz o metodología reglamentaria o estándar del sector.
- Informes específicos sobre cumplimiento normativo, marcos y directrices, como CMMC, ISO 27001, NIST, GDPR, CCPA, CoBiT5, SSAE18 y NYDFS.
- Capacidad para mostrar los umbrales de cumplimiento porcentual y de aprobación.
- Informes detallados del proveedor y de todos los proveedores.
- Proyección de la puntuación de riesgo a lo largo del tiempo después de que se hayan llevado a cabo las correcciones y se hayan mitigado los riesgos.
- Flujos de trabajo automatizados y comunicaciones de tickets
- Plantillas de informes integradas y estado en múltiples normativas de seguridad, cumplimiento y privacidad.
- Paneles ejecutivos y operativos
- Asociación de riesgos y relaciones para armonizar y normalizar los riesgos en múltiples fuentes de recopilación de contenido.
Por lo tanto, como puede ver, los informes de evaluación de riesgos de proveedores son muy variados. La frase «no se puede gestionar lo que no se mide» sigue siendo válida. Quizás en el futuro miremos atrás y nos demos cuenta de que el año pasado nos proporcionó la perspectiva necesaria para mejorar nuestras capacidades de generación de informes con el fin de garantizar la resiliencia. Si tuviera que resumir este blog en una sola frase, sería: Céntrese en los datos que recopila, analícelos y divídalos en vistas adecuadas para el destinatario, y hágalo con el objetivo de gestionar el riesgo en todos los niveles de complejidad.
Próximos pasos
Prevalent ofrece soluciones de evaluación de riesgos de proveedores que automatizan y aceleran sus iniciativas de gestión de riesgos. Si prefiere delegar la carga del proceso de evaluación, también ofrecemos una gama de servicios de evaluación de riesgos de proveedores en los que nuestros expertos pueden hacer el trabajo duro por usted. ¿No sabe por dónde empezar? Regístrese para obtener una revisión gratuita de la madurez del programa TPRM, en la que compararemos su programa actual con las mejores prácticas y le ofreceremos una serie de recomendaciones para cumplir sus objetivos de evaluación de proveedores.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
