Gestión de riesgos de terceros (TPRM): ¿Qué es y cómo protegerse?

Trabajar con terceros puede suponer riesgos de distintos tipos a una empresa. Por ejemplo, si ofrecen un servicio indispensable para la empresa, pueden generar riesgos operativos; mientras que si tienen acceso a datos confidenciales, pueden generar riesgos de ciberseguridad.

Por ello, es imprescindible tener una adecuada gestión de riesgos de terceros. A continuación, te explicamos todo el respecto. ¡Empecemos!

¿Qué es TPRM?

Las siglas TPRM provienen del inglés Third-Party Risk Management, que en español significa gestión de riesgos de terceros. Se trata de una metodología de control de riesgos orientada a la identificación y mitigación de riesgos inherentes al uso de terceros, ya sean socios, proveedores de servicios o contratistas, entre otros.

Mediante la gestión del riesgo de terceros, las organizaciones supervisan las relaciones con sus contrapartes, evaluando el comportamiento, desempeño y riesgos relacionados con cada uno de ellos. Esto facilita la toma de decisiones informadas para disminuir el riesgo de terceros a un nivel aceptable, haciéndolo un elemento clave de la estrategia general de gestión de riesgos de cualquier organización. 

Metodología TPRM

Aunque cada empresa puede diseñarlo para que se adapte a sus necesidades, todo programa de gestión de riesgos abarca tres aspectos: las personas, los procesos y la tecnología. Cada uno de estos elementos debe ser considerado a la hora de plantear los objetivos de la TPRM.

La metodología TPRM implica que las empresas:

• Aborden el compromiso relacionado con el riesgo mediante disposiciones contractuales.
• Compaginen el portafolio de riesgos del contrato con el portafolio del tercero.
• Planifiquen una evaluación de riesgos dinámica, que se base en eventos internos y externos, y que incluya enfoques de monitoreo innovadores.
• Utilicen soluciones tecnológicas que faciliten la integración del monitoreo del desempeño y la gestión de riesgos en una plataforma.

Tipos de riesgos de terceros

Un buen programa de TPRM debe tomar en cuenta distintos tipos de riesgos. Aunque principalmente se consideran los riesgos de ciberseguridad, también es importante considerar los siguientes: 

Riesgos reputacionales

Si un proveedor es víctima de un ciberataque, si disminuye la calidad de sus productos o se interrumpe la cadena de suministros; aunque no se trate directamente de un problema de la empresa, estos eventos afectan a sus clientes y, por lo tanto, pueden afectar la reputación de su empresa. 

Riesgos estratégicos

Si la empresa no coordina sus objetivos con los de los terceros que contrata, la estrategia podría verse afectada y llevar a faltas en el cumplimiento o a otros riesgos, como los riesgos financieros. Así mismo, también podría llevar a que se vea afectado el flujo de trabajo establecido.

Riesgos financieros

Cuando las terceras partes tienen problemas financieros, como endeudamiento o la pérdida de una línea de crédito, esto puede implicar un aumento en los costos de la empresa, o en faltas al cumplimiento, afectando negativamente a la empresa.

Riesgos operacionales

Las fallas en los sistemas o procesos internos de los terceros pueden impedirle cumplir con los plazos y expectativas acordadas, disminuyendo la eficacia de la empresa. Así mismo, algunos riesgos externos son imposibles de predecir, como las catástrofes naturales, y pueden llevar a un detenimiento parcial o total de las actividades productivas y administrativas de la empresa. 

Por ello, deben crearse planes de continuidad del negocio como contingencia para mantener la actividad empresarial a pesar de este tipo de situaciones imprevistas.

Riesgos de cumplimiento

Si un proveedor no cumple con algún requerimiento legal de su sector, la empresa podría verse afectada. Adicionalmente, algunas normativas han incorporado los riesgos de terceros en sus protocolos, por lo que es importante asegurarse que exista cumplimiento estricto de todos los proveedores.

Esto es especialmente importante cuando se trata de proveedores de servicios financieros.

Riesgos éticos

Cada día es más frecuente que las empresas lleven prácticas relacionadas al respeto de los derechos humanos y a la sostenibilidad. Aunque las normativas no son cohesivas por ahora, las empresas deben realizar reportes sobre su impacto ambiental, social y de gobernancia o ESG (Environmental, Social and Governance).

Este reporte varía según el tipo de empresa en cuestión: cada empresa realiza reportes sobre tópicos que podrían tener un impacto en sus finanzas. Por ejemplo, un banco no tendría que reportar sobre el uso de combustibles fósiles, pero sí sobre su uso de energía eléctrica. 

Riesgos de ciberseguridad

Debido a que muchas empresas dependen en gran medida de la información digital y la tecnología para llevar a cabo sus labores, la subcontratación de un tercero que sea poco estricto con sus normas de ciberseguridad podría llevar a que la empresa sufra un ataque cibernético. Esto, a su vez, puede traer como consecuencia la filtración de datos confidenciales o la pérdida de recursos financieros, por ejemplo.

Por ello, es de suma importancia que las empresas se aseguren de que sus proveedores, socios y demás terceros apliquen estrictas políticas de seguridad de la información, que incluyan la encriptación de datos sensibles, la gestión de identidades y accesos, entre otros.

Importancia de la gestión de riesgos de terceros

A medida que las organizaciones avanzan, dependen cada vez más de terceros para obtener suministros, servicios y conocimientos especializados que les ayuden a crecer e innovar. Y, por supuesto, la externalización a terceras partes puede ahorrar tiempo y dinero a su organización. 

Sin embargo, si la empresa no cuenta con un TPRM adecuado, se expone a riesgos que pueden afectar su reputación y sus finanzas. Puede llegar a ser sumamente complejo y costoso lidiar con las fallas de un tercero, por lo que es necesario realizar evaluaciones de riesgo periódicas que ayuden a garantizar la seguridad de la empresa.

Un buen programa de gestión de riesgos de terceros puede ayudar a las empresas a mejorar su reputación y optimizar su rendimiento, haciéndolas más capaces de recuperarse de incidentes y minimizando las interrupciones del negocio. Esto se traduce en una mejor experiencia para sus clientes, lo que permite obtener mayor confianza de ellos.

Cómo protegerse de riesgos de terceros

Algunas de las buenas prácticas de gestión de riesgos de terceros que deben incorporarse en un buen programa de TPRM y para de esta manera mitigar los riesgos son:

Recopilación de datos en tiempo real 

Es necesario monitorear y realizar evaluaciones periódicas de los riesgos de terceros. Para ello, pueden utilizarse cuestionarios, y posteriormente hacer seguimiento de sus respuestas. Esto mejora la capacidad para administrar el desempeño y su entorno de control.

Automatización y análisis de procesos

Parte de la optimización de los procesos de las empresas va de la mano con la automatización de tareas repetitivas dentro del ciclo de vida de sus productos. Esto puede incluir el uso de herramientas que realizan evaluaciones de riesgo de forma automática y emiten informes periódicos.

Integración de actividades de TPRM y tecnología en los procesos existentes 

Actualmente, existen muchas tecnologías que pueden integrarse a los procesos de la empresa para mejorar la seguridad de la información. Por ejemplo, plataformas de controles de acceso, uso de doble factor de autenticación y contraseñas seguras para limitar el acceso a datos sensibles.

Formación del personal

Es indispensable educar a los empleados de la empresa de todas las jerarquías, incluyendo el gobierno corporativo de la empresa, para saber identificar los intentos de ciberataques y eviten generar riesgos adicionales. 

En Delta Protect podemos ayudarte a evaluar a tus empleados con Apolo, un software as a service que te permite capacitar y evaluar a tus empleados 10 veces más rápido que con métodos tradicionales.

Cumplimiento de normativas locales e internacionales 

Las regulaciones en materia de ciberseguridad tienen por objetivo proteger a la empresa, sus empleados, clientes y todas las terceras partes interesadas en ella, de cualquier tipo de amenaza cibernética. 

En este sentido, el cumplimiento de normas como ISO 27001 e ISO 27701, tanto por parte de la empresa como de los terceros que trabajen con ella, es imprescindible para evitar la exposición de datos confidenciales (como la información de los empleados que se registra en la nómina, por ejemplo).

Sin embargo, el cumplimiento de normativas y la implementación de protocolos de seguridad puede ser engorrosa, especialmente para pymes y startups que no cuentan con los recursos ni el personal con experiencia en seguridad cibernética. 

En Delta Protect tenemos un equipo de expertos en materia de ciberseguridad listos para apoyarte en el cumplimiento de normas esenciales para buenas prácticas de TPRM. Entérate más detalles en el sitio web de nuestro complemento de Apolo: CISO as service.