Home / Services / Compliance & Strategy / Gestión de riesgos de terceros y proveedores
Compliance & Strategy
Third-party risk management sin puntos ciegos
Definimos criterios para evaluar y seguir los riesgos de tus proveedores según su criticidad, con responsables, controles y revisiones durante todo su ciclo de vida, alineados con DORA, NIS2 y las exigencias de tus supervisores.
Proveedores críticos de los que se sabe poco: riesgos visibles y controlados
Sin una gestión de riesgos de terceros estructurada, la organización depende de proveedores tecnológicos cuyo nivel de seguridad, continuidad o solvencia desconoce. Un fallo o un incidente en uno de ellos puede detener servicios críticos y, en sectores regulados, convertirse en un incumplimiento.
Los cuestionarios anuales enviados a todos los proveedores por igual generan mucho trabajo y poca información útil. Sin criterios de criticidad, cláusulas contractuales adecuadas ni seguimiento continuo, el riesgo real queda oculto hasta que aparece un problema.
En CGC definimos cómo clasificar a los proveedores según su criticidad y conectamos cada relación con responsables, controles y revisiones proporcionadas al riesgo. Tu organización sabe de qué terceros depende, cuánto riesgo asume y cómo demostrarlo ante el supervisor.
Control de proveedores en todo su ciclo
Inventario y criticidad de proveedores
Construimos el inventario de proveedores y servicios, identificamos los que sostienen funciones críticas y definimos criterios de clasificación según su impacto y su riesgo.
Evaluación antes de contratar
Definimos cómo evaluar la seguridad, la continuidad y la solvencia de un proveedor antes de contratarlo, con cuestionarios y evidencias proporcionados a su criticidad.
Cláusulas y requisitos contractuales
Revisamos que los contratos incluyan los requisitos de seguridad, auditoría, notificación de incidentes y salida que exigen la regulación y tu propia política.
Seguimiento y registro de información
Establecemos revisiones periódicas, indicadores y planes de salida, y mantenemos el registro de información de proveedores TIC que exige DORA a las entidades financieras.
Cuéntanos de qué proveedores depende tu negocio y te ayudamos a controlar su riesgo.
Cómo trabajamos para conocer tu dependencia
Inventario y clasificación
Recopilamos la información de proveedores y contratos dispersa entre compras, tecnología y negocio, y clasificamos cada relación según su criticidad.
Diseño del modelo de gestión
Definimos la política de terceros, los roles, los criterios de evaluación y los controles para cada nivel de criticidad, alineados con la regulación aplicable.
Evaluación y puesta en marcha
Evaluamos a los proveedores prioritarios, revisamos sus contratos y ponemos en marcha el seguimiento, empezando por los que sostienen funciones críticas.
Documentación y acompañamiento
Documentamos el modelo y acompañamos a compras, tecnología y riesgos en sus primeros ciclos de evaluación, para que lo mantengan con autonomía.
Preguntas frecuentes para controlar a tus proveedores
¿Qué es la gestión de riesgos de terceros y por qué importa?
La gestión de riesgos de terceros es el proceso para identificar, evaluar y seguir los riesgos que introducen los proveedores y socios en la organización. Importa porque gran parte de los servicios críticos dependen hoy de terceros, y un fallo suyo puede afectar a la operación, la seguridad o el cumplimiento normativo.
¿Qué exige DORA sobre los proveedores de servicios TIC?
DORA exige a las entidades financieras gestionar el riesgo de sus proveedores TIC con una estrategia definida, mantener un registro de información de todos los acuerdos, evaluar a los proveedores antes de contratar, incluir cláusulas contractuales mínimas y contar con planes de salida para los servicios críticos o importantes.
¿Cómo se determina si un proveedor es crítico?
Un proveedor es crítico cuando su fallo afectaría de forma grave a un proceso o servicio esencial para la organización. Se valora el impacto de su interrupción, la dificultad de sustituirlo, los datos a los que accede y las exigencias regulatorias. Con esos criterios definimos el nivel de control necesario.
¿Hay que evaluar a todos los proveedores con el mismo nivel de detalle?
No. La evaluación debe ser proporcional a la criticidad del proveedor. Los críticos requieren análisis detallados, evidencias y seguimiento frecuente; los de bajo riesgo, controles básicos. Así el esfuerzo se concentra donde está el riesgo real y no se satura a compras ni a los propios proveedores.
¿Afecta NIS2 a la gestión de proveedores de nuestra empresa?
Sí. NIS2 incluye la seguridad de la cadena de suministro entre las medidas obligatorias, por lo que las entidades afectadas deben valorar los riesgos de sus proveedores directos. Además, muchas empresas que no están obligadas por NIS2 reciben requisitos de sus clientes que sí lo están.
Otros servicios para reducir tu exposición
Hablemos de los proveedores críticos de tu organización
Cuéntanos cuántos proveedores tecnológicos gestionáis, cómo los evaluáis hoy y qué normas os aplican. Un consultor revisará tu caso y te propondrá una primera sesión para priorizar los proveedores con más riesgo.
Certifications