Los terceros añaden un nivel adicional de complejidad y riesgo que puede dar lugar a muchos tipos diferentes de interrupciones y repercusiones en el negocio. Las organizaciones se están convirtiendo en un complejo entramado de productos y servicios, procesos y tecnologías proporcionados por terceros, y este ecosistema complejo y cambiante hace que resulte cada vez más difícil gestionar el riesgo con claridad. La reciente filtración de SolarWinds es un suceso lamentable que pone de relieve el reto al que se enfrentan hoy en día las organizaciones ante la combinación de ciberataques y riesgos derivados de terceros. Este suceso destaca tres áreas principales: las tecnologías de la información, la seguridad y la gestión de riesgos.
- Las organizaciones deben mantenerse constantemente alerta ante los ciberataques procedentes de numerosos vectores de amenaza y actores distintos.
- Las organizaciones deben comprender las relaciones con los proveedores y la cadena de suministro, lo que incluye no solo a los proveedores de los componentes de sus productos y servicios, sino también a los proveedores de software y servicios informáticos.
- La resiliencia empresarial, que incluye la continuidad de las operaciones y la gestión de crisis, debe estar profundamente arraigada en la organización para poder hacer frente a una amplia variedad de situaciones, desde incidentes físicos hasta interrupciones en los sistemas informáticos.
En este ejemplo, la relación entre las distintas dimensiones de la gestión de riesgos resulta evidente. Lamentablemente, la gestión de riesgos de terceros puede suponer un reto en cuanto a recursos. A medida que su organización amplía sus vínculos con terceros, los riesgos heredados se convierten en un problema importante.
Las organizaciones tienen dificultades para gestionar y controlar de forma eficaz a estos terceros, ya que los métodos tradicionales no son escalables. En muchas ocasiones, las relaciones con terceros conllevan riesgos impredecibles y heredados que pueden dar lugar a sorpresas y posibles pérdidas. Cuando la supervisión de terceros se gestiona de forma diferente en toda la organización, se crean lagunas debido a las incoherencias a la hora de identificar, evaluar y gestionar los riesgos derivados de los terceros. Por último, con unos procesos de gobernanza incoherentes e incompletos, las organizaciones no pueden obtener una visión completa y precisa de los riesgos que los terceros introducen en su organización.
Un aspecto fundamental de la estrategia para gestionar el riesgo de terceros es contar con una visión clara de su ecosistema de terceros, como proveedores, consultores y prestadores de servicios. Formalizar la gestión del riesgo de terceros mediante procesos integrados mejora la gestión del riesgo en su conjunto. Y lo que es mejor aún, permite centrar los recursos en las actividades más importantes y de mayor impacto. Si nos fijamos en los clientes de Archer, la gestión del riesgo empresarial y operativo es un punto de partida habitual para la gestión del riesgo de terceros. Nuestros clientes que cuentan con casos de uso de gestión de riesgos empresariales y operativos son casi el doble de propensos a tener casos de uso de gobernanza de terceros. Los casos de uso de gestión de riesgos de TI y seguridad son otra área relacionada que observamos. Casi el 40 % de nuestros clientes de gestión de riesgos de TI y seguridad también cuentan con casos de uso relacionados con terceros.
Dado que las autoridades reguladoras están estableciendo normas de rendición de cuentas cada vez más estrictas para la supervisión de las relaciones con terceros, resulta especialmente pertinente ampliar la estrategia para incluir la gestión de riesgos de terceros. Aunque muchas organizaciones cuentan ya con algunos programas o procesos de evaluación de riesgos relacionados con los riesgos de terceros, la amplia variedad de posibles repercusiones en el negocio exige que las organizaciones den un paso más hacia la gobernanza de terceros. Los programas de riesgos empresariales y operativos, de cumplimiento normativo o de riesgos de TI constituyen excelentes puntos de partida para comenzar a integrar las iniciativas de gestión de riesgos de terceros.
Si tu organización se enfrenta a cualquier tipo de interrupción en la cadena de suministro o relacionada con terceros, lee nuestro breve artículo con sugerencias para volver a centrar tu organización en los aspectos fundamentales de la gestión de riesgos de proveedores y terceros. Además, puedes leer este informe gratuito de Gartner:«Supervisar los criterios clave de riesgo para mitigar el incumplimiento de los proveedores».
