Preparación del escenario
Como una de las principales compañías de cruceros del mundo, Norwegian Cruise Line Holdings (NCLH) opera una amplia red global de socios, proveedores y proveedores de tecnología que mantienen su flota navegando sin problemas. Pero, entre bastidores, esa escala también introduce complejidad, especialmente cuando se trata de gestionar los riesgos relacionados con los proveedores y la tecnología de la información.
El desafío
Hace dieciocho meses, NCLH reconoció la necesidad de adoptar un enfoque más unificado y resistente para la supervisión de terceros en sus operaciones corporativas. La disparidad de procesos entre los equipos de TI, jurídico y de cadena de suministro dificultaba obtener una visión completa de la exposición al riesgo de los proveedores. Para proteger las operaciones y garantizar el cumplimiento normativo en un ecosistema cada vez más digital, la empresa se propuso crear desde cero un programa integral de gestión de riesgos de terceros (TPRM).
La oportunidad
Antes de esta iniciativa, la gestión de riesgos de los proveedores en NCLH era en gran medida ad hoc. Diferentes equipos llevaban a cabo elementos de diligencia debida y evaluación de riesgos, pero sin un marco centralizado ni normas coherentes. Con miles de proveedores que respaldaban las operaciones comerciales, el reto era claro: establecer un programa formal y escalable centrado en los proveedores de TI más críticos y de alto riesgo de la empresa. Eso significaba definir la propiedad, estandarizar las evaluaciones y garantizar la transparencia entre los departamentos, todo ello mientras se sentaban las bases para la automatización y el análisis futuros.
La solución: Mitratech TPRM
Bajo el liderazgo de John Kolich, el equipo de cumplimiento normativo de TI comenzó a desarrollar un programa integral de TI partiendo de cero. El primer paso fue reducir el alcance a unos 200-250 proveedores de TI críticos, asegurándose de que las relaciones más importantes recibieran atención inmediata.
Para poner en marcha este nuevo programa, NCLH buscó una tecnología que permitiera centralizar los datos de los proveedores, automatizar las evaluaciones, supervisar los riesgos de ciberseguridad y simplificar la colaboración entre departamentos. Tras evaluar varias herramientas, el equipo seleccionó la plataforma Mitratech Third-Party Risk Management por su capacidad para:
- Centralizar la información sobre proveedores: consolidar los datos de los equipos de TI, jurídico y de cadena de suministro en una única fuente fiable para obtener una visibilidad completa de las relaciones críticas con los proveedores.
- Automatizar la incorporación: sustituir los formularios de admisión manuales y las hojas de cálculo por flujos de trabajo digitales estandarizados que mejoran la velocidad, la precisión y la coherencia.
- Apoye la reevaluación continua y la supervisión constante: permita revisiones programadas y automatizadas del rendimiento y la postura de riesgo de los proveedores, garantizando que el programa se mantenga actualizado y cumpla con las normas.
- Seguimiento de la corrección y el rendimiento: aprovechamiento de alertas y paneles automatizados para realizar un seguimiento de los riesgos detectados, supervisar la resolución de problemas y demostrar la mejora del programa a lo largo del tiempo.
- Adaptación a medida que el programa maduraba: proporcionando flujos de trabajo y análisis configurables que se adaptaban al marco TPRM en evolución de NCLH, desde su implementación inicial hasta su adopción en toda la empresa.
En conjunto, estas capacidades proporcionaron a NCLH una base estructurada y escalable para la supervisión de terceros, capaz de respaldar tanto sus prioridades inmediatas como sus objetivos de gestión de riesgos a largo plazo.
Norwegian también utiliza el equipo de servicios gestionados de Mitratech ROC para descargar el trabajo manual de rastrear las respuestas de los proveedores y garantizar que las encuestas se carguen y puntúen. La eliminación de este componente manual de la evaluación permite a Norwegian centrarse en los riesgos más críticos de la relación con los proveedores, lo que agiliza aún más su programa TPRM.
Los resultados
Al principio de la implementación, el equipo de riesgos informáticos de NCLH comenzó a utilizar las funciones de cibervigilancia de la plataforma para realizar un seguimiento en tiempo real de las alertas relacionadas con los proveedores y las posibles vulnerabilidades. Por primera vez, los equipos de TI y otros departamentos podían ver y responder a los indicadores de riesgo simultáneamente, en lugar de depender de actualizaciones fragmentadas de diferentes sistemas. Kolich señaló que la capacidad de obtener una visibilidad oportuna de la postura cibernética de los proveedores ya ha mejorado la forma en que la organización prioriza las revisiones de los proveedores y coordina las acciones de seguimiento.
Los resultados de un vistazo
Durante el primer año, el equipo de riesgos informáticos de NCLH colaboró con éxito con Mitratech para:
- Establecer un marco formal de riesgos de terceros a nivel empresarial alineado con el gobierno corporativo.
- Estandarizar las evaluaciones y revisiones de los proveedores de TI de alto riesgo, mejorando la eficiencia y la coherencia.
- Mejora la colaboración entre los equipos jurídicos, de TI y de cadena de suministro mediante una mayor visibilidad del riesgo cibernético de TPRM.
- Sienta las bases para una mejora continua con las próximas mejoras de la hoja de ruta en materia de supervisión cibernética, detección de infracciones y automatización basada en la inteligencia artificial.
Mirando hacia el futuro + Próximos pasos
Con la base para un programa formal de gestión de riesgos de terceros firmemente establecida, Norwegian Cruise Line Holdings se centra ahora en ampliar y profundizar sus capacidades. Tras haber logrado someter todas sus instalaciones y sistemas en tierra a una supervisión coherente, el equipo de riesgos informáticos está centrando ahora su atención en el entorno marítimo, ampliando la supervisión de terceros a las tecnologías operativas y los proveedores que impulsan su flota en el mar.
El equipo sigue colaborando estrechamente con Mitratech para mejorar la automatización, ampliar la visibilidad y alinear la supervisión de los proveedores con la estrategia de riesgo y cumplimiento normativo de la empresa.
Al transformar el éxito inicial en madurez a largo plazo, NCLH está trazando un rumbo hacia una gestión de riesgos de proveedores verdaderamente conectada y basada en datos, que abarca desde la sede central hasta cada uno de los barcos de su flota global.
TPRM 
