Cómo poner en marcha un programa de gestión de riesgos de terceros

La dependencia de terceros es una realidad ineludible en el mundo corporativo. Las organizaciones se apoyan en proveedores, contratistas y socios comerciales para operar de manera efectiva, pero esta interdependencia también conlleva riesgos significativos. Si bien el breach de Target en 2013 es el referente histórico de cómo un tercero puede vulnerar a un gigante, la realidad actual en Latinoamérica ha elevado la apuesta. Incidentes regionales recientes, como el ataque de ransomware a la Sociedad Hipotecaria Federal en México o la parálisis sistémica provocada por el fallo en IFX Networks, demuestran que el riesgo ya no es solo una filtración de credenciales, sino una amenaza directa a la continuidad del negocio. Estos casos, sumados a las estrictas exigencias de la LGPD en Brasil, subrayan que la gestión de riesgos de terceros (TPRM) ha dejado de ser un simple ‘check’ de cumplimiento para convertirse en la columna vertebral de la resiliencia operativa. En un ecosistema interconectado, la vulnerabilidad de un socio externo se traduce inevitablemente en una crisis de responsabilidad solidaria y reputación para la empresa principal  Este artículo te servirá como una guía paso a paso para implementar un programa TPRM efectivo, asegurando que tu organización pueda mitigar riesgos críticos asociados con terceros.

Qué es el TPRM y por qué tu organización lo necesita ahora

La gestión de riesgos de terceros es una disciplina que forma parte del pilar «Risk» del GRC (Gobernanza, Riesgo y Cumplimiento). Su objetivo es identificar, evaluar y gestionar los riesgos que surgen de la relación con proveedores, contratistas, socios comerciales, distribuidores y agentes. Este enfoque no solo protege a la organización, sino que también asegura el cumplimiento de regulaciones críticas, como GDPR y HIPAA.

Para comprender el alcance real de la exposición de una empresa, es fundamental distinguir entre terceros y cuartas partes, ya que el riesgo suele operar en cascada. Mientras que los terceros son aquellos proveedores con los que mantenemos un vínculo contractual directo y visibilidad inmediata, las cuartas partes son los proveedores de nuestros proveedores. El desafío radica en que estas entidades externas pueden tener acceso a nuestra información sensible o ser pilares de nuestra operación sin que exista un contrato directo que nos permita auditarlas. Esta falta de relación jurídica crea un ‘punto ciego’ que amplía significativamente la superficie de riesgo; si una cuarta parte falla, el impacto viaja a través de la cadena de suministro hasta golpear nuestra organización. Por ello, una gestión moderna no puede limitarse a vigilar a quienes nos facturan, sino que debe extender su mirada hacia todo el ecosistema de subcontratación que sostiene el servicio final

Tipos de Riesgo Gestionados por TPRM

Para una estrategia integral, un programa de Gestión de Riesgos de Terceros (TPRM) debe cubrir seis dimensiones críticas:

1. Ciberseguridad: Evalúa la resiliencia del tercero ante ataques digitales. El acceso de proveedores a la infraestructura interna puede convertirse en una puerta trasera para el ransomware o el espionaje industrial.
2. Privacidad y Protección de Datos: Es el control sobre el ciclo de vida de la información personal. Las organizaciones deben garantizar que sus terceros traten los datos bajo los principios de legalidad y finalidad, evitando filtraciones que activen sanciones severas bajo marcos como la LGPD o el GDPR.
3. Riesgo Operacional: Se refiere a la continuidad del negocio. Si un proveedor crítico sufre una interrupción, la incapacidad de cumplir con sus obligaciones puede paralizar las operaciones propias y romper la cadena de valor.
4. Cumplimiento Normativo (Compliance): Asegura que los terceros se alineen con las leyes locales e internacionales, desde normativas antifraude y anticorrupción (como la Ley SAGRILAFT) hasta estándares técnicos obligatorios.
5. Riesgo Financiero: Analiza la salud económica del proveedor. La insolvencia o inestabilidad financiera de un socio clave puede derivar en el cese repentino de servicios esenciales o pérdidas económicas directas.
6. Riesgo Reputacional: La percepción pública es frágil. Cualquier práctica poco ética, ambientalmente irresponsable o fallos graves de un tercero se transfieren automáticamente a la imagen de la empresa principal ante sus clientes y el mercado. 

Normativas que exigen gestión activa

Cumplir con estas normativas no es opcional: cada una exige controles activos sobre los terceros con acceso a tus datos o sistemas.

Normativa	Ámbito	Qué exige al programa TPRM
GDPR	Protección de datos personales (UE)	Contratos con cláusulas de procesamiento de datos y auditorías a proveedores
HIPAA	Datos de salud (EE.UU.)	Business Associate Agreements (BAA) y controles de seguridad verificables
DORA	Resiliencia digital sector financiero (UE)	Evaluación y monitoreo continuo de proveedores TIC críticos
ISO 27001	Gestión de seguridad de la información	Control A.15: gestión de relaciones con proveedores y evaluación de riesgos
SOC 2	Servicios tecnológicos	Verificar que los proveedores cuenten con informes SOC 2 vigentes
NIST CSF	Ciberseguridad (EE.UU.)	Identificar, proteger y responder a riesgos de la cadena de suministro

Antes de arrancar: gobernanza y tolerancia al riesgo

Antes de implementar un programa TPRM, es fundamental establecer una estructura de gobernanza clara. Esto implica definir roles y responsabilidades en la gestión de riesgos de terceros y alinear estas funciones con el GRC corporativo.

Gobierno del TPRM

La gobernanza del TPRM debe incluir la designación de un equipo responsable de la identificación, evaluación y supervisión de los riesgos de terceros. Este equipo debe estar integrado por representantes de IT, Legal, Compliance, Procurement e InfoSec, garantizando un enfoque multidisciplinario en la gestión de riesgos.

Tolerancia al riesgo

Es vital que la organización defina su tolerancia al riesgo: ¿hasta dónde está dispuesta a llegar antes de tomar medidas? Esta decisión debe basarse en un análisis de las posibles consecuencias de la relación con terceros, así como en el impacto en las operaciones.

Documentación del gameplan

Documentar la estrategia de gestión antes de dar de alta al primer tercero es la mejor inversión contra la ineficiencia. La falta de procesos claros suele derivar en ‘cuellos de botella’ y gastos imprevistos. Un plan estratégico bien definido alinea a todos los actores clave, estableciendo reglas de juego claras y procedimientos estandarizados que protegen la operación y facilitan una relación transparente con los proveedores desde su contratación.

Paso 1: Mapea tu ecosistema de terceros

El primer paso para implementar un programa TPRM efectivo es crear un inventario centralizado de proveedores. Esto no solo ayuda a identificar a los terceros con los que trabaja la organización, sino que también permite gestionar los riesgos asociados de manera más eficiente.

Inventario centralizado de proveedores

Muchos negocios tienen sus inventarios de proveedores descentralizados, lo que genera ineficiencias y falta de visibilidad. Un inventario centralizado proporciona una fuente de verdad única que permite a la organización comprender mejor su exposición a riesgos.

Elementos del inventario

El inventario debe incluir información detallada sobre cada proveedor, como el tipo de tercero, los servicios que presta, los datos o sistemas a los que accede y el área interna responsable de la gestión del proveedor. Esta información es esencial para clasificar y evaluar adecuadamente a cada proveedor.

Shadow IT como riesgo oculto

También es importante considerar el shadow IT, que se refiere a las tecnologías adoptadas sin la aprobación del área de riesgo. Estas herramientas no documentadas pueden introducir riesgos significativos en la organización, por lo que es crucial incluirlas en el inventario.

Paso 2: Clasifica cada proveedor por nivel de riesgo

Una vez que tengas un inventario completo, el siguiente paso es clasificar cada proveedor según su nivel de riesgo. Esta clasificación permitirá priorizar los recursos y esfuerzos en la gestión de riesgos.

Criterios de clasificación

Los criterios para clasificar a los proveedores pueden incluir el tipo de datos que maneja, su acceso a sistemas críticos, la dependencia operacional que la organización tiene de ellos, su estabilidad financiera y su historial de cumplimiento normativo.

Categorías estándar

Categoría	Criterios de clasificación	Due diligence requerida
Alto riesgo	Acceso a datos sensibles o sistemas críticos, alta dependencia operacional	Auditoría completa, SOC 2, cuestionario NIST, revisión jurídica
Medio riesgo	Acceso limitado a datos, impacto operacional moderado	Cuestionario estándar, revisión de cumplimiento normativo
Bajo riesgo	Servicios menores, sin acceso a datos sensibles ni sistemas críticos	Registro en inventario y revisión anual básica

Perfil de riesgo del proveedor

Un perfil de riesgo del proveedor debe contener información relevante que permita evaluar su nivel de riesgo. Esto incluye detalles sobre su situación financiera, historial de cumplimiento y cualquier incidente de seguridad previo.

Paso 3: Evalúa y aplica debida diligencia (due diligence)

La evaluación de riesgos de terceros es un proceso crucial que permite a la organización tomar decisiones informadas sobre el onboarding y la continuidad de los proveedores.

Fuentes de información para la evaluación

Algunas fuentes de información para la evaluación pueden incluir cuestionarios estandarizados (NIST, ISO 27001), auditorías externas como SOC 2, y el historial de evaluaciones anteriores. Esta información permite obtener una visión clara del perfil de riesgo del proveedor.

Due diligence reforzada para proveedores de alto riesgo

Para los proveedores clasificados como alto riesgo, es esencial realizar una due diligence más rigurosa. Esto puede incluir auditorías de ciberseguridad, verificaciones de cumplimiento normativo y análisis reputacionales exhaustivos. Este esfuerzo adicional es necesario para mitigar los riesgos asociados con estos proveedores críticos.

Paso 4: Formaliza la relación con el proveedor

la vinculación  de proveedores debe ser un proceso estructurado que cumpla con las necesidades de gestión de riesgos de la organización.

Contratos TPRM-ready

Un contrato TPRM-ready establece accountability real desde el primer día. Incluye como mínimo:

• Cláusulas de protección de datos: qué datos puede acceder el proveedor, cómo los protege y qué ocurre ante una brecha.
• SLA con métricas verificables: tiempos de respuesta, disponibilidad mínima y penalizaciones por incumplimiento.
• Derecho de auditoría: tu organización puede revisar los controles del proveedor en cualquier momento.
• Cláusula de subcontratación: el proveedor no puede delegar acceso a cuartas partes sin aprobación previa.
• Procedimiento de desvinculación (offboarding): revocación de accesos y destrucción o devolución de datos al término del contrato.

Principio de mínimo privilegio

Implementar el principio de mínimo privilegio es esencial para limitar el acceso del proveedor solo a los datos y sistemas necesarios para desempeñar sus funciones. Esto reduce la exposición al riesgo y protege la información sensible.

Paso 5: Monitorea de forma continua

La evaluación de riesgos no termina con el onboarding de un proveedor. Es crucial implementar un monitoreo continuo para gestionar los riesgos de manera proactiva.

Importancia del monitoreo continuo

Una evaluación anual es solo una instantánea del momento. El riesgo cambia constantemente, por lo que es importante establecer procesos de monitoreo continuo que incluyan alertas de seguridad, cambios en la postura de ciberseguridad y señales de inestabilidad financiera.

Herramientas de puntuación de ciberseguridad

Utilizar herramientas de puntuación de ciberseguridad puede facilitar la vigilancia continua y automatizar el proceso de identificación de riesgos. Estas herramientas pueden proporcionar información valiosa sobre la postura de seguridad de los proveedores.

Paso 6: Gestiona la salida del proveedor

El offboarding es a menudo un punto ciego en muchos programas TPRM. Sin embargo, gestionar la salida de un proveedor de manera controlada es crucial para la seguridad de la organización.

Desvinculación controlada

Una desvinculación controlada implica revocar accesos, recuperar o destruir datos sensibles y documentar la salida del proveedor. Esta práctica asegura que no queden brechas de seguridad tras la finalización de la relación.

Cómo medir la madurez de tu programa TPRM

La madurez de un programa TPRM se mide por la capacidad de la organización para gestionar riesgos de manera proactiva y efectiva.

Indicadores básicos de madurez

Indicador	Qué mide	Meta referencial
% de proveedores con evaluación vigente	Cobertura del programa	> 90%
Tiempo promedio de onboarding	Eficiencia del proceso	< 15 días hábiles
Tiempo de respuesta ante incidentes	Capacidad de reacción	< 24 horas
% de proveedores críticos con monitoreo continuo	Vigilancia activa	100%

Preguntas frecuentes