8 elementos clave de una política de gestión de riesgos de terceros
Cualquier organización que dependa de proveedores externos para funciones comerciales críticas debe desarrollar y mantener una política eficaz de gestión de riesgos de terceros (TPRM).
Una política de TPRM es el primer documento que una organización debe crear al establecer su programa de TPRM. Las políticas de TPRM permiten a las organizaciones documentar las funciones y responsabilidades internas, desarrollar prácticas regulatorias y comunicar adecuadamente las pautas para navegar por los riesgos de terceros a lo largo del ciclo de vida del proveedor.
Además, una política de TPRM estandarizada es vital porque proporciona a una organización una hoja de ruta para mantener una higiene de ciberseguridad saludable, incluso cuando entra en relaciones con terceros con nuevos proveedores y expande su cadena de suministro.
Un informe estima que el 98% de las organizaciones de todo el mundo tienen integraciones con al menos un proveedor de servicios externo que ha experimentado una violación en los últimos dos años. Si bien esta estadística alarmante asustará a la mayoría de las organizaciones, su organización puede encontrar tranquilidad al desarrollar una política de TPRM para guiar y administrar su programa general de TPRM.
Descubra cómo UpGuard permite a las organizaciones tomar el control de sus programas de TPRM>
Cómo desarrollar la política del programa de administración de riesgos de terceros de su organización
Las políticas de TPRM más efectivas incluyen prácticas estandarizadas que regulan cada etapa del ciclo de vida del proveedor, desde la incorporación hasta la desvinculación. El diseño de la política integral de TPRM de su organización puede parecer desalentador, principalmente si ya trabaja con muchos proveedores externos.
Si tiene problemas para empezar, consulte a las partes interesadas de toda la organización. La comunicación con las partes interesadas pertinentes es la mejor manera de garantizar que la política de TPRM de su organización priorice las necesidades y los desafíos de todos los departamentos.
También debe tener en cuenta los desafíos específicos de la industria, como las regulaciones de cumplimiento (NIST, GDPR, CCPA, HIPAA, etc.) y las categorías de riesgo específicas (riesgo de ciberseguridad, riesgo operativo, riesgo de cumplimiento, riesgo de reputación, etc.) que pueden afectar a su organización y su programa TPRM.
Si bien todas las políticas efectivas de TPRM se componen de muchos elementos esenciales, las mejores políticas contarán con pautas para estandarizar cómo una organización:
- Organiza las funciones y responsabilidades internas
- Establece la tolerancia al riesgo y los requisitos mínimos de seguridad
- Identifica los riesgos de la organización y las vulnerabilidades de terceros
- Incorpora proveedores externos y gestiona los riesgos de los proveedores
- Determina la criticidad del proveedor
- Lleva a cabo la debida diligencia del proveedor
- Mantiene la visibilidad de la cadena de suministro y el monitoreo continuo
- Gestiona los contratos de los proveedores y navega por las rescisiones
Siga leyendo para obtener información adicional sobre cómo implementar una política de > del MEPC
1. Estructura organizacional: roles y responsabilidades
La organización de las funciones y responsabilidades internas del TPRM es una de las funciones más críticas de una política eficaz de TPRM. La mayoría de las políticas de TPRM describirán las funciones y responsabilidades de la junta directiva, la alta gerencia, los propietarios de proveedores, los revisores independientes, los grupos legales y otros grupos asociados con el programa de TPRM de la organización.
Al redactar su política de TPRM, describa cuidadosamente todas las responsabilidades de las que su equipo es responsable mientras consulta a las partes interesadas de cada grupo.
Describir todas las funciones de TPRM de su organización en un solo lugar permitirá a las personas consultar la política en el futuro cuando no estén seguras de quién es responsable de una tarea específica. Esta claridad acelerará las comunicaciones internas, mejorará los flujos de trabajo y permitirá a su organización incorporar rápidamente nuevos miembros al equipo a medida que su equipo interno de TPRM se expanda o cambie.
Conozca las mejores soluciones de gestión de riesgos de terceros del mercado >
2. Establecimiento de tolerancia al riesgo y requisitos mínimos de seguridad
Todas las políticas efectivas de TPRM establecen el umbral general de tolerancia al riesgo de una organización y documentan los requisitos mínimos de seguridad que debe poseer un proveedor para ser elegible para establecer una asociación de terceros con la organización.
Establecer estas pautas con anticipación permitirá a su organización comparar fácilmente a los proveedores y tomar decisiones informadas basadas en el valor y la exposición al riesgo que los proveedores individuales presentan a la organización.
En general, hay tres niveles de tolerancia al riesgo:
- Tolerancia al riesgo bajo: Las organizaciones con un umbral de riesgo bajo se oponen por completo a la mayoría de los riesgos de terceros y, a menudo, anteponen la seguridad y la previsibilidad al crecimiento y a las oportunidades de los proveedores.
- Tolerancia al riesgo moderado: Las organizaciones con un umbral de riesgo moderado no temen a los riesgos estratégicos, pero valoran una protección de datos y una seguridad de la información sólidas.
- Tolerancia al riesgo alto o crítico: las organizaciones con una tolerancia al riesgo alto buscan oportunidades de forma agresiva y están dispuestas a lidiar con una mayor incertidumbre con respecto a sus asociaciones con terceros.
La política de TPRM de su organización debe describir el nivel de riesgo con el que su organización se siente cómoda. Al describir la tolerancia al riesgo de su organización, su política de TPRM también debe identificar las métricas específicas, como una calificación de seguridad mínima, puntuaciones de riesgo y estándares de cumplimiento de la industria, que la organización utilizará para determinar si es prudente asociarse con un proveedor en particular.
Descubra cómo UpGuard ayuda a las organizaciones a evaluar a los proveedores mediante clasificaciones de seguridad dinámicas >
3. Identificación de riesgos y vulnerabilidades organizacionales
Incluso las organizaciones que mantienen un umbral de riesgo bajo experimentarán algún nivel de riesgo con cada asociación con terceros. Por lo tanto, después de documentar el apetito de riesgo de su organización, su política de TPRM debe demostrar cómo identificará los riesgos que los proveedores individuales presentan a la organización.
Al documentar cómo su organización identifica los riesgos de terceros, pregúntese qué herramientas utiliza para evaluar a los proveedores y evaluar su postura de seguridad. La política de TPRM de su organización debe describir estas herramientas y procesos para que el personal futuro siga el mismo protocolo al evaluar el impacto de cada nueva oportunidad de terceros.
Los mejores programas de TPRM utilizan varias herramientas para garantizar que una organización identifique todos los riesgos y vulnerabilidades. Los mejores cinturones de herramientas TPRM incluyen:
- Calificaciones de seguridad,
- Evaluaciones de riesgos,
- Cuestionarios de seguridad,
- Pruebas de penetración, y
- Escáneres de vulnerabilidades
Al redactar la política de TPRM de su organización, también debe señalar las áreas del programa de TPRM de su organización que podrían mejorarse. Es común que las organizaciones se enfrenten a dificultades relacionadas con los recursos al intentar implementar varias herramientas en su programa TPRM, pero esto no significa que su organización deba exponerse a riesgos innecesarios.
UpGuard Vendor Risk permite a las organizaciones evaluar rápidamente los riesgos y vulnerabilidades de los proveedores mediante la utilización de un poderoso arsenal de herramientas de TPRM, que incluyen automatización, evaluaciones de riesgos personalizadas, calificaciones de seguridad actualizadas, cuestionarios de seguridad y más.
4. Estandarización de procesos para la incorporación de terceros y la gestión de riesgos de proveedores
Una vez que su organización describa cómo evaluará a los posibles proveedores e identificará los riesgos de terceros, debe comenzar a usar su política de TPRM para estandarizar los procesos de incorporación de proveedores y gestión de riesgos.
>Comience por enumerar todos los procedimientos que su organización necesita completar antes de permitir que un proveedor acceda a cualquier sistema interno. Esbozar estos procedimientos de incorporación garantizará que el personal esté siempre al tanto de los requisitos críticos.
A continuación, determine dónde su organización realizará un seguimiento de todos los proveedores dentro de su cadena de suministro y anótelo en la política de TPRM. También puede documentar los procedimientos que su organización utiliza para actualizar el estado de cada tercero a medida que avanzan por el ciclo de vida del proveedor.
Una vez más, al redactar la política de TPRM de su organización, debe identificar las áreas de mejora. Si su organización utiliza actualmente un sistema manual para vigilar su cadena de suministro, el cambio a una herramienta automatizada de gestión de proveedores podría mejorar la eficiencia y la eficacia de su organización.
Utilizar una herramienta de gestión de proveedores con un panel de control todo en uno, como UpGuard Vendor Risk, es la mejor manera de realizar un seguimiento de varios proveedores y gestionar de forma eficiente los flujos de trabajo de incorporación.
Además de regular el mantenimiento del inventario de proveedores externos de su organización, su política de TPRM también debe indicar cómo su organización mantendrá los perfiles de riesgo de los proveedores, realizará un seguimiento del nivel de datos compartidos con cada proveedor e instalará controles de seguridad para limitar el nivel de información o datos confidenciales que expone a un proveedor.
Descubra cómo UpGuard Vendor Risk ayuda a las organizaciones con la organización en niveles de proveedores y la gestión de riesgos de proveedores>
5. Determinación de la criticidad del proveedor
Todas las políticas efectivas de TPRM también describirán los procedimientos y criterios utilizados para determinar la criticidad de los proveedores y asignar calificaciones de riesgo estándar de TPRM.
La mayoría de las organizaciones organizarán a los proveedores en una de estas dos categorías:
- Crítico: Los productos o servicios que proporciona el proveedor afectan directamente a las operaciones comerciales diarias, o una pérdida repentina del proveedor afectaría negativamente a los clientes o causaría una interrupción significativa del servicio.
- No crítico: Los productos o servicios que proporciona el proveedor no afectan directamente las operaciones comerciales diarias, y una pérdida repentina del proveedor no afectaría negativamente a los clientes ni causaría una interrupción significativa del servicio.
La política de TPRM de su organización también debe describir las características de cada calificación de riesgo estándar de TPRM:
- Alto riesgo: La mayoría de las organizaciones consideran que las asociaciones son de alto riesgo si la naturaleza de la relación o el perfil del proveedor presentan riesgos significativos y requieren una supervisión frecuente. O, según lo requiera la naturaleza de su negocio, el proveedor tiene acceso directo a datos confidenciales o información del cliente.
- Riesgo moderado: La mayoría de las organizaciones consideran que las asociaciones son de riesgo moderado si la naturaleza de la asociación o el perfil del proveedor presentan algún riesgo y se requiere una supervisión periódica. El proveedor tiene acceso limitado a la información confidencial.
- Bajo riesgo: La mayoría de las organizaciones consideran que las asociaciones son de bajo riesgo si la naturaleza de la asociación o el perfil del proveedor presentan poco o ningún riesgo y se requiere una supervisión mínima. El proveedor tiene un acceso mínimo o nulo a los datos personales.
Por último, su política de TPRM debe describir las herramientas que utiliza su organización para determinar el riesgo inherente y supervisar el riesgo en curso. Al redactar esta sección de la política de TPRM, pregúntese si su organización utiliza una herramienta de calificación objetiva, un software de gestión de proveedores o alguna otra herramienta de TPRM para calcular el riesgo de los proveedores.
6. Realización de la debida diligencia del proveedor
Además de establecer la criticidad de los proveedores y las calificaciones de riesgo, una política eficaz de TPRM también comunicará la medida que una organización toma para completar los procedimientos de diligencia debida basados en el riesgo.
Para que su política de TPRM sea la más efectiva, debe comunicar cuándo el personal debe completar las actividades de diligencia debida. Asegúrese de documentar lo que debe completarse antes de la incorporación, periódicamente a lo largo de una relación con el proveedor y antes de renovar contratos críticos.
La política de TPRM de su organización también debe incluir información sobre el alcance de sus prácticas de diligencia debida. La mayoría de los procesos de diligencia debida de las organizaciones implican evaluar la superficie de ataque, la resiliencia cibernética, la reputación, el cumplimiento de las regulaciones aplicables y la capacidad de satisfacer las necesidades de la organización durante el proceso de adquisición o durante todo el ciclo de vida del proveedor.
Al redactar su política de TPRM en respuesta a la diligencia debida, también puede hacerse estas preguntas importantes para evaluar la eficacia del plan de diligencia debida de su organización:
- ¿Nuestra política garantiza que los proveedores cuenten con planes adecuados de respuesta a incidentes o recuperación ante desastres?
- ¿Nuestra política garantiza que los proveedores cuenten con planes de corrección y mitigación para los riesgos identificados?
- ¿Nuestra política garantiza que las juntas ejecutivas de los proveedores prioricen la importancia del TPRM?
Obtenga más información sobre las potentes herramientas TPRM de UpGuard>
7. Visibilidad de la cadena de suministro y seguimiento continuo
Una política integral de TPRM documentará cómo el programa de TPRM de la organización mantiene la visibilidad de la cadena de suministro y enumerará todas las actividades de monitoreo continuo que el programa utiliza para administrar proveedores externos.
Al diseñar la política de TPRM de su organización, tenga en cuenta las herramientas de TPRM que utiliza para mantener la visibilidad de la cadena de suministro. Por supuesto, la visibilidad puede plantear un desafío importante para las organizaciones de rápido crecimiento, por lo que este es otro lugar para mejorar los procedimientos actuales de TPRM de su organización.
Descubra cómo el panel de control todo en uno de UpGuard mejora la visibilidad de la cadena de suministro>
Al crear una lista de todas las actividades de supervisión que realiza su organización, tenga en cuenta estos ejemplos:
- Supervisión del cumplimiento de las leyes de la industria y los requisitos reglamentarios,
- Administrar programas de pruebas de penetración para evaluar la resistencia al riesgo de una parte.
- Llevar a cabo evaluaciones de riesgos periódicas para evaluar la postura de seguridad de un tercero,
- Revisar la calificación de seguridad y el historial de calificaciones de un tercero,
- Revisión de informes de rendimiento relacionados con las obligaciones contractuales del tercero, etc.
8. Contratos con proveedores y rescisión
Desafortunadamente, no todas las asociaciones de terceros en las que participa una organización son tan exitosas como la organización espera. La política de TPRM de una organización debe describir los detalles que rodean los contratos con los proveedores y los protocolos de terminación para proteger a la organización en caso de que una asociación se vuelva perjudicial.
Para proteger su organización, debe incluir términos explícitos relacionados con la ejecución, administración y terminación de contratos en la política de TPRM de su organización.
- Ejecución de contratos: Es habitual que las políticas del TPRM establezcan que los contratos con terceros no entren en vigor hasta después de que el personal haya completado la diligencia debida. Este tiempo protege a la organización si surgen preocupaciones imprevistas durante la diligencia debida.
- Gestión de contratos: Las políticas de TPRM suelen indicar quién gestionará las fechas de renovación y terminación. Es probable que en esta sección de una política de MEPC también se describa que cada parte conoce sus obligaciones en virtud del contrato.
- Rescisión del contrato: La mayoría de las políticas del TPRM describen los procedimientos que una organización debe seguir cuando determina que es mejor rescindir un contrato.
Además de describir los procedimientos que la organización seguirá al rescindir un contrato, su política de TPRM debe incluir una sección separada que describa los derechos de su organización para considerar que un contrato es elegible para la terminación.
Las mejores herramientas de un plan eficaz de gestión de riesgos de terceros
Las organizaciones confían en varias herramientas de TPRM para gestionar los riesgos cibernéticos y llevar a cabo todas las estrategias de gestión de riesgos incluidas en su política de TPRM. Los programas de TPRM más eficaces utilizan todo, desde paneles de control de proveedores hasta flujos de trabajo de corrección para gestionar las relaciones con los proveedores y el riesgo que presentan
- Paneles de control intuitivos de proveedores: Los mejores paneles de control de proveedores son intuitivos, fáciles de usar y permiten a las organizaciones supervisar toda su cadena de suministro en una ubicación central. Los paneles de control eficaces utilizan la automatización para proporcionar actualizaciones de seguridad y enviarán notificaciones en tiempo real a las organizaciones cuando un cambio en la seguridad requiera su atención.
- Evaluaciones integrales de riesgos de proveedores: Las evaluaciones de riesgos permiten a las organizaciones evaluar la postura de seguridad de un proveedor en cualquier momento. Las mejores evaluaciones de riesgos son personalizables y flexibles para satisfacer las necesidades de cualquier organización.
- Cuestionarios de seguridad automatizados: Las organizaciones pueden obtener una visión profunda de la estructura de seguridad de un proveedor mediante el uso de cuestionarios de seguridad automatizados.
- Flujos de trabajo de corrección optimizados: Los mejores flujos de trabajo de corrección utilizan la automatización para eliminar el dolor de perseguir a las organizaciones.
- Calificaciones de seguridad instantáneas: Las organizaciones pueden utilizar las calificaciones de seguridad instantáneas para supervisar toda su cadena de suministro durante todo el día. Las mejores plataformas de TPRM también permitirán a las organizaciones recibir notificaciones en tiempo real cuando la calificación de seguridad de un proveedor cambie drásticamente.
UpGuard Vendor Risk permite a las organizaciones identificar, evaluar y mitigar los riesgos, todo en una plataforma intuitiva. Puede optimizar el programa TPRM de su organización y seguir su marco de gestión de riesgos de terceros utilizando UpGuard Vendor Risk para gestionar toda su cadena de suministro.
La subcontratación a cualquier proveedor externo presenta riesgos para su organización. UpGuard Vendor Risk puede ayudar a su organización con la mitigación de riesgos, prevenir violaciones de datos y mejorar la eficiencia de su equipo general de TPRM.