¿Confiar o verificar? Cómo evaluar, supervisar y controlar a terceros con eficiencia

De qué trata

La gestión del riesgo de terceros es clave para la continuidad y la reputación de cualquier organización: tercerizar servicios críticos también delega exposiciones operativas, regulatorias y de imagen. En un entorno interconectado y con una presión normativa creciente, monitorear y gestionar esos riesgos es un imperativo estratégico para evitar interrupciones costosas, sanciones y daños reputacionales.

El webinar revisa los elementos esenciales para evaluar a un tercero: criterios de debida diligencia en la incorporación, segmentación por criticidad, monitoreo continuo y calificación de riesgo, apoyados en cuestionarios de autoevaluación y análisis de indicadores tempranos. También aborda cómo supervisar y controlar la relación de forma continua, con KRI diferenciados, estructuras de reporte eficientes y mecanismos de remediación contractual, para convertir el monitoreo de proveedores en un ciclo de mejora permanente.

Resumen de la sesión

El expositor parte de que ninguna organización opera sola: depende de un ecosistema de terceros, y cada tercero que procesa, almacena o distribuye información de la entidad la expone a riesgos de confidencialidad, integridad y disponibilidad, con efectos financieros, regulatorios, legales y reputacionales. Insiste en que la protección no es solo de tecnología, sino de la combinación de personas, procesos y tecnología, y en que lo que realmente se protege es la información. Plantea un enfoque que va de lo general a lo específico: partir de los servicios críticos, identificar qué terceros intervienen, qué información manejan, qué tecnología usan y cuáles son los riesgos asociados, y de ahí definir políticas, gobierno, funciones en las tres líneas de defensa, brechas y ajustes a los contratos y niveles de servicio.

En las preguntas aclara que el principal error es mirar solo la parte funcional del servicio y olvidar qué información maneja el tercero; que subcontratar no traslada la responsabilidad ni un seguro la elimina; que los informes de aseguramiento independiente, como los SOC 2, ayudan pero hay que verificar con pruebas de controles; que la gestión de riesgos debe ser integrada y no por silos; y que a la junta directiva solo debe llegar lo que supera el apetito de riesgo o puede cerrar el negocio. También cubre la reevaluación periódica de los riesgos, cómo calificarlos en alto, medio y bajo con criterios claros, el monitoreo continuo de controles clave y cómo tratar el uso de inteligencia artificial por parte de terceros.

Temas tratados

• Dependencia de terceros y riesgos para la información de la organización
• Personas, procesos y tecnología: proteger la información, no solo la tecnología
• Del servicio crítico al tercero, la información y los riesgos asociados
• Políticas, gobierno y tres líneas de defensa en el riesgo de terceros
• Confiar y verificar: informes SOC 2, pruebas de controles y responsabilidad que no se traslada
• Qué debe llegar a la junta directiva y cada cuánto reevaluar los riesgos
• Preguntas: comunicación en crisis, calificación de terceros e inteligencia artificial