La Importancia de la Administración de Riesgos de Proveedores para los CISOs

Si una empresa trabaja con al menos un proveedor externo, entonces la administración de riesgos de proveedores debe ser una prioridad para el CISO.

¿Qué es la administración de riesgos de proveedores? La administración de riesgos de proveedores (VRM) es el proceso que una empresa lleva a cabo para verificar que sus proveedores y prestadores de servicios cumplan con regulaciones y estándares específicos para no afectar negativamente a su empresa.

Definición de Administración de Riesgos de Proveedores

La administración efectiva de riesgos de proveedores nunca ha sido más importante. Como parte crucial de las operaciones comerciales modernas, la administración de riesgos de proveedores (VRM) se define como el proceso que las organizaciones emplean para gestionar los riesgos potenciales asociados con el uso de proveedores o prestadores de servicios externos. Estos riesgos pueden incluir operativos, financieros, reputacionales o legales.

La administración de riesgos de proveedores implica una serie de procesos y estrategias que ayudan a identificar, evaluar y mitigar los riesgos asociados con proveedores externos. Estos proveedores pueden ofrecer servicios como TI, cadena de suministro, adquisiciones, servicio al cliente u otros servicios de valor agregado.

Por Qué la Gestión de Proveedores es Importante para Mitigar el Riesgo Empresarial

Las empresas modernas dependen cada vez más de los proveedores para asumir operaciones tradicionales internas. Las aplicaciones de productividad en la nube, marketing, almacenamiento, análisis, procesamiento de pagos y ciberseguridad se han remodelado, en parte o en su totalidad, en servicios subcontratados proporcionados por proveedores que son expertos en su campo.

Algunos de los beneficios que las empresas obtienen al trabajar con proveedores incluyen la reducción de costos al no tener que contratar o mantener personal de TI complejo o especializado para manejar o mantener funciones de nicho. Además, puedes traer niveles mucho más altos de experiencia especializada a tu organización, ya sea que se aplique a seguridad, aprendizaje automático, soporte en la nube o cualquier otra función empresarial importante. Finalmente, los beneficios combinados de soporte, experiencia y eficiencia contribuyen significativamente a la resiliencia y escalabilidad de tu negocio e infraestructura de TI.

Dado que los proveedores llenan estos nichos necesarios para nuestras empresas, es comprensible que entren en contacto con operaciones e información críticas del negocio. Es por eso que verás industrias como la salud, con estrictas regulaciones HIPAA, mantener reglas bien definidas sobre las obligaciones y requisitos para los proveedores que manejan información de pacientes.

Sin embargo, este tipo de atención al detalle, seguridad y procedimiento debe aplicarse a tu negocio más allá de las demandas de cumplimiento normativo. Trabajar con proveedores, incluso aquellos que tienen el mejor soporte operativo y logístico, introduce riesgos en tu negocio: riesgo de violación, ineficiencia o pérdida o daño de datos.

Estos riesgos surgen en varias áreas clave, incluyendo las siguientes:

• Seguridad: Dependemos de la infraestructura de seguridad de un proveedor. Aunque es rentable cuando se hace bien, también significa que una amenaza de seguridad para un proveedor (o el cliente de un proveedor) puede afectar tus operaciones o la seguridad de tus datos.
• Cumplimiento: Dependiendo de tu industria, debes trabajar con proveedores que cumplan con las normativas. Si no cumplen o no mantienen el cumplimiento, podrías enfrentar severas sanciones, pérdida de capacidades operativas y un impacto negativo en tu reputación.
• Dependencia de Infraestructura Externa: Si un proveedor del que dependes falla, puede interrumpir todo tu negocio. Errores, fallos o problemas de infraestructura pueden tener un efecto dominó masivo en la productividad, y solucionar el problema a menudo está fuera de tu control.
• Falta de Agilidad Estratégica: Los proveedores son su propia entidad con sus propios objetivos comerciales y prioridades operativas, y pueden tomar decisiones que no se alinean con tus objetivos o necesidades. Si esto sucede, tu organización podría quedar desprevenida y tener que apresurarse para llenar el vacío.

VRM llama a tu organización a tomar en cuenta a los actores que gestionan funciones en tu negocio. A diferencia de la gestión de riesgos de proveedores (donde debes realizar un seguimiento de productos y cadenas de suministro), muchos proveedores trabajarán íntimamente con tu empresa o proporcionarán tecnología que se convertirá en una parte integral de tu negocio y requerirá un análisis más profundo para gestionar.

Implementación de una Estrategia de Administración de Riesgos de Proveedores

La administración de riesgos de proveedores obliga a tu organización a desarrollar planes para evaluar la cantidad de riesgo que asumes al trabajar con un proveedor o múltiples proveedores. Una estrategia sólida de VRM prioriza el análisis de las relaciones con los proveedores y los objetivos comerciales para dar forma a cómo se seleccionan los proveedores, cómo evolucionan las relaciones con los proveedores y cuándo tomar decisiones sobre romper o cambiar relaciones con proveedores.

Una estrategia fundamental de VRM incluirá una dirección estratégica clara sobre cómo tu organización incorpora el riesgo en las relaciones con los proveedores. Algunos de los pasos que puedes tomar al elaborar una estrategia de VRM incluyen:

• Desarrollar una declaración de apetito de riesgo para definir qué nivel de riesgo es aceptable para tu empresa
• Catalogar el cumplimiento o los estándares de la industria que impactan los servicios de los proveedores y cómo trabajas con proveedores que manejan datos protegidos
• Usar el apetito de riesgo, el cumplimiento y las operaciones internas para definir un estándar de control y evaluación que dará forma a las métricas aplicadas a los proveedores
• Inventariar productos o servicios individuales ofrecidos por proveedores contra ese estándar de evaluación establecido
• Clasificar proveedores y servicios según cuán necesarios son para tus operaciones y cómo eso impacta el riesgo aceptable
• Requerir evaluaciones internas de riesgo regulares e informes contractuales de los proveedores para mantener una toma de decisiones informada basada en el riesgo
• Evaluar regularmente los contratos de proveedores y determinar las actualizaciones requeridas basadas en regulaciones, tecnologías y vulnerabilidades en evolución
• Monitorear continuamente el rendimiento de los proveedores (como seguridad, eficiencia y capacidad de respuesta), y reevaluar las relaciones regularmente

Con esos pasos en mente, puedes ver un camino o viaje emerger. Más concisamente, el ciclo de vida de la estrategia de VRM incluye los siguientes pasos:

• Identificar proveedores apropiados para trabajar según tus necesidades
• Evaluar a los proveedores por su aplicabilidad a tu trabajo, lo que incluye crear un catálogo de servicios, productos, informes de cumplimiento, etc.
• Evaluar cualquier riesgo que acompañe a estos proveedores y sus productos
• Establecer contratos con los proveedores, incluyendo lenguaje para revisiones regulares, informes y cualquier otro requisito que hayas identificado en tu estrategia de VRM
• Requerir y adquirir documentación e informes sobre aspectos críticos de sus operaciones tanto antes de firmar un contrato como a intervalos regulares después
• Monitorear continuamente las operaciones, los cambios en las operaciones de los proveedores y la efectividad de los controles para determinar cualquier ajuste o paso de remediación necesario

¿Cómo Impulsa un CISO el VRM?

Como CISO, tu papel es guiar la tecnología, la infraestructura y los empleados bajo TI para lograr la máxima seguridad, eficiencia y servicio a tu empresa. Como tal, te encontrarás trabajando directamente con proveedores y elaborando VRM para asegurar que esos proveedores trabajen para tu empresa según sea necesario. Además, tendrás que responder por los proveedores ante inversores, líderes empresariales y colegas. Si un proveedor no está asegurado, cambia rápidamente los servicios o aparece regularmente de manera negativa en conversaciones de la industria o en la prensa, los líderes empresariales te buscarán para obtener respuestas.

El hecho más crucial que debes recordar es que las vulnerabilidades de los proveedores se están volviendo más comunes en los negocios modernos, incluso para proveedores de servicios establecidos que trabajan con las empresas más grandes del mundo. Por lo tanto, si trabajas con una red de proveedores, debes asumir cualquier experiencia negativa con un proveedor. Obviamente, entonces, VRM se convierte en una práctica vital.

Tu primer paso siempre debe ser evaluar exhaustivamente a un proveedor. Algunos pasos a seguir al evaluar posibles proveedores como CISO incluyen recopilar referencias de clientes, determinar la responsabilidad y el seguro, y realizar verificaciones de antecedentes. Siempre debes buscar documentación sobre el cumplimiento, tanto para los estándares de la industria como para cualquier marco adicional como SOC 2. Finalmente, siempre debe haber un proceso de revisión claro y riguroso para cualquier contrato entre tú y un proveedor.

Como CISO, eres responsable de implementar, en el sentido más significativo, tu estrategia de VRM. Si estás comenzando sin ningún modelo de gestión, puedes usar el Modelo de Madurez de VRM (VRMMM) para evaluar dónde te encuentras y cómo puedes desarrollarte como organización.

Los seis niveles de VRMMM son los siguientes:

• Sin VRM: Eres, quizás, una empresa nueva o emergente sin una política activa de VRM en su lugar.
• VRM Ad Hoc: Has comenzado a implementar procedimientos de revisión y gestión según sea necesario.
• Hoja de Ruta con Ad Hoc: Después de trabajar con proveedores, has desarrollado un plan de VRM real basado en conocimientos previos de actividades ad hoc. También te estás moviendo hacia la implementación completa de VRM.
• VRM Establecido: Tienes una infraestructura de VRM completa, establecida y definida que estás preparando para implementar en tu organización.
• Implementado y Operativo: Tu VRM ahora está en efecto, y tus relaciones con los proveedores están operando dentro de ese esquema.
• Mejora Continua: Estás optimizando tu VRM con el tiempo, utilizando datos extraídos del rendimiento de los proveedores, monitoreo continuo y revisión interna de riesgos.

Finalmente, el software de VRM existe y puede ayudar a gestionar el riesgo de proveedores. Las herramientas de VRM de proveedores de gestión de riesgos de terceros automatizan tareas críticas como evaluar y monitorear el riesgo, e implementar controles e informes. Además, el software de gestión de riesgos de proveedores externos puede incluir soluciones para evaluar contratos y cambios en políticas, procedimientos y correspondencia entre tu organización y el proveedor. Y, más a menudo que no, el software de VRM puede ayudarte a evaluar el riesgo en un conjunto complejo de relaciones con proveedores.

Haz de la Administración de Riesgos de Proveedores un Componente Clave de tu Función Laboral

El proceso de administración de riesgos de proveedores no es una tarea única, sino un ciclo continuo de evaluación de riesgos, mitigación, monitoreo y reevaluación. Los perfiles de riesgo de los proveedores pueden cambiar con el tiempo debido a varios factores, como cambios en la organización del proveedor, condiciones del mercado, problemas geopolíticos y cambios regulatorios. Por lo tanto, la evaluación y el monitoreo regulares de riesgos son esenciales para mantener un perfil de riesgo actualizado de los proveedores.

Un sistema robusto de administración de riesgos de proveedores también asegura el cumplimiento con varios estándares regulatorios. Estos estándares pueden incluir regulaciones específicas de la industria, leyes específicas de países y regulaciones internacionales. El incumplimiento de estas regulaciones puede resultar en multas elevadas, acciones legales y daño a la reputación de la marca. Por lo tanto, un VRM efectivo no solo se trata de mitigar riesgos empresariales, sino también de mantener el cumplimiento normativo.

En última instancia, la administración de riesgos de proveedores sirve como un componente integral de la estrategia general de gestión de riesgos de una organización. A medida que las empresas continúan confiando más en proveedores externos para diversos servicios, el enfoque en VRM solo aumentará en el futuro. Por lo tanto, las organizaciones deben centrarse en construir y mejorar continuamente sus estrategias de administración de riesgos de proveedores para protegerse contra riesgos potenciales y mantener la continuidad del negocio.

Como CISO de tu organización, debes tratar el riesgo de proveedores como cualquier otra métrica para medir y mejorar. Define, mide, monitorea y actúa sobre el riesgo de proveedores y las necesidades de tu organización para que puedas mantener la seguridad y el cumplimiento de tus datos y sistemas.