La mayoría de las evaluaciones de riesgos de proveedores fracasan por un motivo nada glamuroso: todos los proveedores reciben el mismo trato. Una herramienta de agendas de 400 $ al mes pasa por la misma revisión de seguridad de 150 preguntas que la pasarela de pagos que custodia los datos de tarjeta de tus clientes. El resultado: la revisión se alarga seis semanas, las dos partes acaban hartas y el proceso deja de aplicarse, sin que nadie lo anuncie, a todo lo que no llegue a cierto importe. Un marco de evaluación de riesgos de proveedores que funcione parte de reconocer que no todos los proveedores generan el mismo riesgo y ajusta el nivel de escrutinio en consecuencia.
¿Qué es la gestión de riesgos de terceros (TPRM)?
La gestión de riesgos de terceros (TPRM) es la disciplina de identificar, evaluar y vigilar el riesgo que un proveedor o prestador de servicios introduce en tu negocio, antes de firmar y mientras dure la relación. Abarca cuatro categorías que aparecen en casi todos los marcos, desde NIST hasta el Reglamento DORA (Reglamento (UE) 2022/2554): riesgo de ciberseguridad (si su brecha acaba siendo la tuya), riesgo operativo (qué deja de funcionar en tu empresa si el proveedor cae), riesgo de cumplimiento normativo (si su tratamiento de datos te expone a sanciones por el RGPD, DORA, NIS2 o PCI-DSS) y riesgo financiero y reputacional (si es solvente y si su nombre junto al tuyo puede convertirse en un problema).
El error más habitual es tratarlo como un control único en el momento de la firma. Un proveedor de riesgo bajo durante la homologación puede ser de riesgo alto 18 meses después: un nuevo subencargado del tratamiento, una ronda de financiación, más acceso a datos, la notificación de una brecha. El marco que viene a continuación funciona de forma continua, no una sola vez.
Clasificación de proveedores por riesgo: cuatro niveles, no un único checklist
Antes de evaluar nada, clasifica cada proveedor en un nivel a partir de tres preguntas: a qué datos puede acceder, qué ocurre con tu operativa si falla y si está sujeto (o si te expone) a un régimen como el Reglamento DORA o la Directiva NIS2.
Nivel 1 — Crítico
Acceso a datos regulados a gran escala (datos personales, datos de salud, datos de tarjeta) o integración en un proceso crítico de negocio, como los pagos o la autenticación. Cuestionario SIG o CAIQ completo, informe SOC 2 Tipo II, resumen del test de intrusión, lista de subencargados, reevaluación anual y monitorización continua.
Nivel 2 — Alto
Acceso relevante a datos, o un papel cuya caída provocaría una interrupción real aunque no catastrófica. SIG Lite o un cuestionario a medida centrado solo en las lagunas, SOC 2 Tipo I aceptable, contrato de encargo del tratamiento (DPA) obligatorio, reevaluación cada 12 meses.
Nivel 3 — Moderado
Acceso limitado a datos, fácilmente sustituible, sin dependencia operativa. Una autodeclaración breve, de 10 a 15 preguntas, y reevaluación cada 18-24 meses o en cada renovación.
Nivel 4 — Bajo
Sin acceso a datos ni integración con tus sistemas: un contratista puntual, por ejemplo. Basta con la homologación estándar de compras; revísalo si cambia el alcance.
Anota qué criterio ha empujado a cada proveedor a su nivel. Esa justificación es lo que necesitarás seis meses después, cuando alguien pregunte por qué dos proveedores parecidos han recibido un trato distinto.
Cómo hacer una evaluación de riesgos de proveedores, paso a paso
- Empieza por el inventario. Reúne los proveedores desde cuentas a pagar, desde el informe de aplicaciones conectadas de tu proveedor de identidad o SSO y desde el repositorio de contratos, y después concilia las tres fuentes. Las empresas medianas encuentran por esta vía entre 120 y 300 proveedores activos, de los que solo una parte se ha revisado formalmente alguna vez; la conciliación por sí sola suele destapar unos cuantos con acceso a datos de producción y sin ningún rastro documental.
- Asigna un nivel con los criterios anteriores y deja registrado el motivo.
- Ajusta el instrumento al nivel. Un CAIQ de 261 preguntas para un proveedor de nivel 3 hace perder el tiempo a todo el mundo; una autodeclaración de 12 preguntas para una pasarela de pagos de nivel 1 es negligente. Para el nivel 2, lo eficiente es un cuestionario a medida construido a partir de lo que el contrato del proveedor no responde ya, que es justo lo que produce un cuestionario SIG/CAIQ generado con IA y centrado solo en las lagunas, en lugar de obligar a las dos partes a atravesar más de 100 preguntas tipo.
- Recopila evidencias, no solo respuestas. Para los niveles 1 y 2, pide siempre el informe SOC 2 Tipo II completo (el riesgo de verdad está en el apartado de excepciones, no en la página de resumen), la lista íntegra de subencargados con sus países de operación y la confirmación de que el SLA (acuerdo de nivel de servicio) de notificación de brechas figura en el texto del contrato, y no en una promesa verbal.
- Puntúa las respuestas con una rúbrica fija para que los proveedores sean comparables (más abajo tienes una) y fija un umbral de escalado automático.
- Define los disparadores de reevaluación: la notificación de una brecha, una adquisición, un nuevo subencargado, un SOC 2 caducado o la renovación del contrato. Vincular la reevaluación al calendario de renovaciones hace que la revisión ocurra justo cuando tienes margen para actuar, antes de que una cláusula de renovación automática te deje atado.
Cómo convertir las respuestas en una comparativa puntuada
Las respuestas en bruto de un cuestionario no se comparan bien: un proveedor escribe tres párrafos y otro responde «sí». Para tomar una decisión defendible, normaliza a todos los proveedores de nivel 1 y 2 en una misma rúbrica ponderada:
- Postura de seguridad (30 %) — certificaciones, frecuencia de los test de intrusión, estándares de cifrado
- Cobertura de cumplimiento normativo (25 %) — DPA firmado, divulgación de subencargados, SLA de notificación de brechas
- Continuidad de negocio (20 %) — plan de continuidad y recuperación documentado, SLA de disponibilidad y créditos por incumplimiento
- Tratamiento de datos (15 %) — ubicación de los datos, compromisos de conservación y de supresión
- Solidez financiera (10 %) — años de actividad, situación de financiación y concentración de clientes, si la publica
Puntúa cada bloque de 1 a 5, aplica el peso y suma para obtener una única puntuación de riesgo. Fija un suelo duro: por ejemplo, todo proveedor por debajo de 2,5 en la puntuación global, o con un 1 en postura de seguridad, pasa obligatoriamente por la aprobación de seguridad y del departamento legal, diga lo que diga el área solicitante. Las señales de alerta, como una responsabilidad ilimitada combinada con un acceso amplio a datos o la negativa a revelar los subencargados, deberían topar la puntuación en lugar de limitarse a restar puntos: ningún proveedor debería poder promediar su camino hasta esquivar un bloqueo real. Es la misma lógica que hay detrás de un scorecard de proveedores (cuadro de evaluación) estructurado: unas categorías ponderadas y comparables ganan a la impresión que dejan cinco PDF leídos por encima, y es justo lo que detecta una revisión automática de señales de alerta, sin depender de que alguien se fije en la página 34.
Checklist listo para usar
- Proveedor inventariado a partir de cuentas a pagar, el SSO y el repositorio de contratos, con las tres fuentes conciliadas y no dadas por buenas
- Nivel asignado, del 1 al 4, con el criterio decisivo por escrito
- Instrumento de evaluación ajustado al nivel: SIG/CAIQ completo, SIG Lite o solo lagunas, autodeclaración o ninguno
- Evidencias SOC 2 o ISO solicitadas y leídas enteras, incluido el apartado de excepciones
- Lista de subencargados obtenida con sus países de operación
- SLA de notificación de brechas confirmado en el texto del contrato, no solo en el cuestionario
- Puntuación de riesgo ponderada calculada, con un suelo duro de escalado automático
- Disparadores de reevaluación documentados y con una persona concreta como responsable
En sectores regulados, este proceso se cruza con expectativas supervisoras formales: el registro de información sobre proveedores de servicios TIC que exige DORA, de aplicación directa desde el 17 de enero de 2025, y los requisitos de seguridad de la cadena de suministro de la Directiva NIS2, a la espera de su transposición en España, apuntan en la práctica a la misma estructura de niveles y reevaluación descrita más arriba, además de la práctica general de TPRM que recoge la guía del NIST sobre gestión de riesgos de la cadena de suministro de ciberseguridad.
Dónde encaja POCsheet
La detección de señales de alerta de POCsheet revisa cada contrato marco (MSA), cada SLA y cada oferta de proveedor en busca de los bloqueos anteriores — responsabilidad ilimitada junto a un acceso amplio a datos, ausencia de cláusula de notificación de brechas, divulgación vaga de subencargados — y los muestra con su cita de origen, en lugar de confiar en que alguien los detecte en la página 34. El generador de cuestionarios selecciona las preguntas de SIG Lite, CAIQ o SOC 2 que el contrato del proveedor no responde ya, de modo que las revisiones de nivel 1 y 2 se resuelven en minutos y no en una tarde entera. Nada de esto sustituye a los criterios de juicio anteriores: solo elimina el tiempo de lectura que, si no, hace que solo los contratos más grandes reciban una revisión de verdad.