Muchas organizaciones dependen de
contratistas, proveedores, operadores logísticos, aliados tecnológicos y
empresas especializadas para sostener sus procesos.
Esta relación permite acceder a capacidades y
recursos que sería difícil desarrollar internamente. El riesgo aparece cuando
la tercerización se entiende solo como una decisión contractual o financiera, y
no como una relación que también puede afectar la seguridad y la continuidad.
Un tercero puede ejecutar una actividad. Lo
que la organización no puede transferir por completo son las consecuencias de
una falla, una interrupción, una filtración de información o un desempeño
insuficiente.
Por eso, la seguridad debe participar en esta
conversación utilizando el lenguaje del negocio.
¿Qué convierte a un tercero en crítico?
La criticidad no depende únicamente del valor
económico del contrato. También depende de cuánto necesita la organización al
tercero para operar y de las consecuencias que tendría su falla, retiro o
pérdida de capacidad de respuesta.
Un proveedor con un contrato pequeño puede
afectar una operación completa si administra información esencial, sostiene un
proceso especializado o constituye la única alternativa disponible.
La evaluación debería responder, como mínimo:
- ¿Qué proceso depende de este tercero?
- ¿Qué personas, activos o información
quedan expuestos? - ¿Cuánto tiempo puede operar la
organización sin su servicio? - ¿Existe una alternativa disponible?
- ¿Quién supervisa su desempeño?
- ¿Cómo se recuperaría la operación si
falla?
Cuando estas respuestas no están claras, el
contrato puede estar vigente, pero la continuidad sigue expuesta.
El costo contractual no es el costo total
Una evaluación basada solo en el precio puede
ocultar costos durante la ejecución: supervisión adicional, reprocesos,
rotación, errores, retrasos, pérdida de trazabilidad y tiempo invertido para
corregir deficiencias.
También puede generar impactos menos visibles:
- Interrupciones operativas.
- Decisiones tardías.
- Incumplimientos frente a clientes.
- Deterioro de la confianza.
- Pérdida de información.
- Afectación reputacional.
- Dependencia de un único proveedor.
El análisis no debería preguntar únicamente
cuánto cuesta contratar al tercero. También debería preguntar cuánto costaría
su falla.
La información compartida también genera
exposición
Todo tercero necesita información para
ejecutar su función. El riesgo aparece cuando se comparte más de lo necesario,
por canales no definidos o sin claridad sobre quién está autorizado para
recibirla.
La exposición puede surgir en reuniones,
mensajes, documentos, plataformas, llamadas, fotografías o conversaciones
informales. Un dato aislado puede parecer inofensivo; varios datos relacionados
pueden revelar cómo funciona una operación, quién toma decisiones o cuándo
aumenta la vulnerabilidad.
Proteger información no significa bloquear
toda comunicación. Significa aplicar criterios de necesidad, finalidad,
autorización, canal, conservación y retiro de accesos. También implica reportar
solicitudes inusuales.
El contrato de confidencialidad ayuda, pero no
sustituye la supervisión ni el criterio de las personas.
Cumplimiento documental no significa desempeño
real
Un tercero puede presentar documentos,
certificaciones y procedimientos completos y, aun así, mostrar debilidades
durante la operación.
Además de cumplir requisitos, debe demostrar
que:
- Responde oportunamente.
- Mantiene personal competente.
- Comunica desviaciones.
- Protege información.
- Conserva trazabilidad.
- Cumple compromisos.
- Sostiene su capacidad en situaciones
exigentes.
La evaluación debe integrar evidencia
documental y comportamiento operacional. Revisar únicamente carpetas y formatos
puede llevar a aprobar un tercero que no está preparado para sostener el
servicio.
La seguridad debe traducir riesgo en impacto
Para participar en decisiones de negocio, la
seguridad no puede limitarse a hablar de amenazas, controles o
vulnerabilidades. Debe explicar qué significan esas condiciones para la
organización:
- Cuánto tiempo podría interrumpirse la
operación. - Qué compromisos podrían incumplirse.
- Qué recursos adicionales serían
necesarios. - Qué afectación podría sufrir el cliente.
- Qué capacidad de recuperación existe.
- Qué dependencia debe reducirse.
Este lenguaje permite que seguridad,
operaciones, compras, continuidad, cumplimiento y dirección evalúen el mismo
problema desde sus respectivas responsabilidades.
La seguridad aporta mayor valor cuando
transforma una exposición en información útil para decidir.
Cinco dimensiones para evaluar un tercero
crítico
Una evaluación práctica puede organizarse en
cinco dimensiones:
- Criticidad: qué
proceso depende del tercero y qué consecuencias tendría su falla. - Exposición: qué
personas, activos, información o actividades pueden verse afectados. - Controles: qué
medidas existen, quién las supervisa y cómo se verifica su efectividad. - Continuidad: qué
alternativas, tiempos de respuesta y mecanismos de recuperación están
disponibles. - Desempeño: qué
evidencias demuestran que el tercero cumple en la práctica, no solo en
documentos.
Estas dimensiones permiten pasar de una
revisión administrativa a una evaluación orientada a decisiones.
Tercerizar no elimina el riesgo
La gestión de terceros no debería basarse en
desconfianza, sino en claridad. La organización necesita saber qué delega, qué
conserva, qué supervisa y qué no puede permitirse perder.
Un tercero bien integrado puede fortalecer la
operación. Uno mal seleccionado o deficientemente supervisado puede convertirse
en una fuente de interrupción, exposición y costo oculto.
Por eso, la seguridad debe hablar el lenguaje
del negocio: continuidad, desempeño, dependencia, consecuencias y capacidad de
respuesta.
Tercerizar una actividad no elimina el riesgo.
Cambia la forma de gestionarlo.
¿Qué pesa más actualmente en la evaluación de
terceros de su organización: el costo, el cumplimiento documental, el desempeño
real o la capacidad de continuidad?
