Mejores prácticas en TPRM

Con los riesgos y regulaciones en evolución, las organizaciones deben crear estrategias de TPRM adaptables. Esta sección destaca las últimas mejores prácticas en la gestión de riesgos de terceros, ofreciendo insights sobre cómo las empresas líderes están navegando los desafíos actuales y mitigando el riesgo.

• El 86% de las organizaciones tienen un conjunto de criterios definidos para identificar a sus proveedores críticos. (Venminder)
• Los tres principales desafíos que enfrentan las organizaciones respecto a TPRM son obtener los documentos correctos de los proveedores (48%); falta de recursos internos (36%); y gestión del tiempo (27%). (Venminder)
• El 58% de los encuestados actualizaron sus evaluaciones de riesgo inherente en el último año, el 25% en el último uno a dos años, el 10% de los encuestados lo revisó cada tres años o más, y el 7% no realizó ninguna evaluación de riesgo inherente. (Venminder)
• Los dominios de riesgo con mayor enfoque en 2023 incluyen riesgo cibernético y de seguridad de la información (62%); riesgo geopolítico (33%); riesgo de resiliencia y continuidad del negocio (32%); y privacidad de datos (29%). (Deloitte)
• El 67% de las organizaciones dicen que actualizaron por última vez su política de gestión de riesgos de terceros hace menos de un año. El 23% lo actualizó hace 1-2 años; el 2% hace tres años; el 3% hace más de 3 años, y un 5% no tienen una política de TPRM. (Venminder)
• Solo el 48% de las organizaciones tienen estrategias de salida o planes de contingencia para terceros de alto riesgo, dejando a más de la mitad sin preparación. (EY)
• El 45% de los encuestados están aumentando la diversidad de sus proveedores para cumplir con los objetivos ESG. (EY)
• Se espera que el número de empresas que evalúan todos los terceros por riesgo ambiental alcance el 30% en tres años. (KPMG)
• El 23% de los encuestados dijeron que si un proveedor clave no cumplía con sus requisitos ESG, dejarían de trabajar con ese proveedor. (EY)

• El 23% de las empresas dicen que la mitigación del riesgo de amenazas cibernéticas y vulnerabilidades falta en su programa de monitoreo de riesgos. (Supply Wisdom)
• El 89% de los programas TPRM evalúan riesgos no cibernéticos o comenzarán pronto a hacerlo. La privacidad fue citada como el factor de riesgo no cibernético más común considerado dentro del alcance de los programas TPRM (85% de los encuestados). Otros factores incluyen riesgo operativo (65%), calificaciones financieras (64%), sanciones regulatorias (61%), gobierno ambiental y social (47%), y riesgo geopolítico (39%). (RiskRecon)

Tendencias en la evaluación de riesgos de terceros

Conocer los riesgos de terceros es una cosa; evaluarlos correctamente es otra. ¿Con qué frecuencia las empresas evalúan a sus socios? ¿Qué factores están priorizando y qué desafíos enfrentan? Esta sección cubre las estadísticas más actualizadas sobre evaluaciones de riesgos de terceros, brindándole información sobre los métodos y la frecuencia que las empresas están utilizando para adelantarse a las posibles amenazas.

• Casi el 50% de las empresas encuestadas no clasifican a sus proveedores y terceros por nivel de riesgo en absoluto. (Supply Wisdom)
• Solo el 36% de los encuestados dice que antes de iniciar una relación comercial que requiere compartir información confidencial o sensible, su empresa evalúa las prácticas de seguridad y privacidad de todos los proveedores. (RiskRecon y Ponemon Institute)
• Los encuestados informaron evaluar o monitorear solo el 33% de sus proveedores. (Prevalent)

• Aproximadamente la mitad (47%) de los encuestados dice que no realizan evaluaciones debido a la exigencia de terceros de cumplir con las regulaciones de protección de datos (RiskRecon y Ponemon Institute)
• Solo el 29% de las empresas remedia los riesgos encontrados durante la etapa de búsqueda y selección de proveedores. (Prevalent)
• El 49% de las organizaciones informa que su método actual para evaluar el riesgo de terceros no puede evaluar el riesgo en cada etapa del ciclo de vida del proveedor. El 51% dice que su método actual no puede proporcionar la automatización y los informes necesarios para demostrar eficientemente el cumplimiento. (Prevalent)

• El 66% de los encuestados tiene procesos formales para evaluar el riesgo residual. Sin embargo, el 34% restante no tiene un proceso establecido o no está seguro sobre el riesgo residual en el contexto de la gestión del riesgo de terceros. (Venminder)
• El 51% de las organizaciones mantiene un plan de resiliencia integrado para terceros críticos, el 47% realiza pruebas de resiliencia integradas y el 45% realiza análisis de escenarios. (EY)
• Solo el 44% de los encuestados dice que sus organizaciones realizan auditorías y evaluaciones de las prácticas de manejo de datos de terceros (RiskRecon y Ponemon Institute)

Uso de cuestionarios de seguridad para proveedores

Los cuestionarios de seguridad para proveedores siguen siendo una herramienta fundamental para evaluar el riesgo de terceros, pero ¿cómo los están utilizando las organizaciones en 2024? En esta sección, desglosamos las tendencias actuales en el uso de cuestionarios.

• Los cuestionarios de seguridad son el método más popular para evaluar el riesgo de terceros, con el 84% de los encuestados utilizándolos. (RiskRecon)
• Hasta el 75% de los proveedores no responden los cuestionarios de seguridad o no lo hacen de manera oportuna. (Viso Trust)
• El 35% de los programas de TPRM incluyen al menos 100 preguntas en sus cuestionarios para proveedores (frente al 19% en 2020). (RiskRecon)
• El 57% de los programas TPRM utilizan cuestionarios de seguridad personalizados, frente al solo 18% que utiliza un estándar de la industria, como un cuestionario SIG. El 42% usa un estándar de la industria modificado. (RiskRecon)
• Solo el 4% de los encuestados dicen tener mucha confianza en que los proveedores realmente cumplen con los requisitos de seguridad según sus respuestas al cuestionario. (RiskRecon)
• El porcentaje de organizaciones que utilizan servicios de calificación de ciberseguridad aumentó de 42% en 2020 al 61% en 2023. (RiskRecon)

• El 37% de las organizaciones actualmente no están monitoreando el uso de IA entre sus proveedores de terceros. El 15% monitorea el uso a través de cuestionarios de seguridad. (Venminder)
• El 52% de las empresas dicen que tardan entre 31 y 60 días en realizar evaluaciones de control de terceros. El 38% dice que tarda entre 61 y 90 días, mientras que solo el 8% puede realizar evaluaciones de control en un plazo de 7 a 30 días. (EY)
• El 77% de las organizaciones envían entre 101 y 350 preguntas en evaluaciones de control de terceros. (EY)

Monitoreo del riesgo a proveedores externos continuo

Monitorear a tus proveedores no es una tarea única; requiere monitoreo constante. En esta sección, analizamos la importancia del monitoreo continuo del riesgo a proveedores externos y las formas en que las empresas mantienen vigilancia sobre los riesgos de los proveedores a lo largo del tiempo para garantizar que los socios sigan siendo seguros y cumplan con las normativas.

• Solo el 32% de los encuestados dicen que su organización mantiene un inventario integral de terceros con los que comparte información sensible. El 61% de los encuestados dicen que su organización no tiene tal inventario y el 6% no está seguro. (RiskRecon y Ponemon Institute)
• Casi el 90% de las empresas rastrean los riesgos desde las fases de aprovisionamiento y selección, pero menos del 80% rastrean los acuerdos de nivel de servicio (SLAs) y riesgos de desvinculación más adelante en el ciclo de vida de la relación. (Prevalent)
• El 50% de los encuestados dice que sus empresas no monitorean las prácticas de seguridad y privacidad de los proveedores con los que comparten información sensible o confidencial, o no están seguros. La razón principal para no monitorear es la confianza en la capacidad del tercero para asegurar la información (49%). (RiskRecon y Ponemon Institute)
• Del 50% de los encuestados que dicen que sus empresas sí monitorean las prácticas de seguridad y privacidad de proveedores externos para garantizar la adecuación de estas prácticas, el 53% lo hace a través de pruebas aleatorias o verificaciones puntuales. (RiskRecon y Ponemon Institute.
• El 28% de las organizaciones revisan y reevalúan el riesgo del proveedor anualmente. (Venminder)

Tendencias de riesgo en las N-simas partes y descendentes

No se trata solo de con quién trabajas directamente: tus terceros tienen su propia red de proveedores y socios. Estos riesgos de "N-ésima parte" o riesgos aguas abajo pueden crear efectos dominó para tu negocio. Aquí, echaremos un vistazo a las estadísticas relacionadas con los riesgos de N-ésima parte, destacando hasta qué punto se extiende la cadena de riesgo y por qué es una preocupación creciente en 2024.

• El 59% de las organizaciones actualmente examinan y evalúan las prácticas de gestión de riesgos de terceros de sus proveedores para gestionar el riesgo de cuarta parte. (Venminder)
• Solo el 10% de las organizaciones llevan a cabo evaluaciones directas de riesgos de las cuartas partes. El 27% no evalúa ni monitorea a las cuartas partes en absoluto. (Venminder)
• Solo el 39% de los encuestados dicen que las salvaguardas de datos y las políticas y procedimientos de seguridad de sus terceros son suficientes para responder efectivamente a una violación de datos y solo el 40% dice que son suficientes para prevenir una violación de datos. (RiskRecon y Ponemon Institute)
• Solo el 36% de los encuestados afirma que sus organizaciones son notificadas cuando los terceros comparten su información con N-ésimas partes con las que no tienen una relación directa. (RiskRecon y Ponemon Institute)
• Solo el 29% de los encuestados dice que sus organizaciones tienen visibilidad sobre las N-ésimas partes que tienen acceso a información sensible y confidencial. De este 29%, el 56% afirma que esta visibilidad se debe a la dependencia de los acuerdos contractuales y el 53% de los encuestados dice que confía en que el tercero notificará a sus organizaciones cuando sus datos se compartan con sus N-ésimas partes. (RiskRecon y Ponemon Institute)
• Más de la mitad de los encuestados dicen que confían en que el tercero notifique a su organización cuando los datos se compartan con N-ésimas partes. (RiskRecon y Ponemon Institute)
• De las organizaciones que experimentaron una violación de datos de terceros, el 38% dice que la violación fue causada por una N-ésima parte, lo que indica las fallas en los controles de seguridad de terceros vigentes para las N-ésimas partes. (RiskRecon y Ponemon Institute)
• Las empresas norteamericanas utilizan menos proveedores de tercera y N-ésima parte que las empresas europeas. El 47% de las empresas europeas reportan proveedores en hasta 49 países, en comparación con el 22% de las empresas norteamericanas que dijeron lo mismo. (Supply Wisdom)

Adopción de herramientas y tecnología de TPRM

Gestionar el riesgo de terceros es una tarea compleja, pero las herramientas y tecnologías adecuadas pueden hacerlo significativamente más fácil. Esta sección desglosa las cifras sobre cómo las organizaciones están aprovechando la automatización, la inteligencia artificial y otras soluciones para mejorar sus procesos de TPRM y mantenerse al tanto de un panorama de riesgos en evolución.

• Aunque la mayoría de las organizaciones informan tener programas de TPRM en marcha, el 60% de los encuestados no está utilizando una plataforma TPRM dedicada. (Prevalent)

• El 45% de los líderes de TPRM afirmó que es importante la inversión continua en tecnología, automatización y datos para TPRM. (Deloitte)
• Si bien solo el 5% de las empresas están aprovechando actualmente la inteligencia artificial para sus programas de TPRM, el 61% de las organizaciones dice que están investigando activamente sus usos para TPRM. (Prevalent)
• El 54% de las organizaciones dice que su objetivo principal al investigar la IA para TPRM es acelerar la finalización de cuestionarios completando automáticamente las respuestas utilizando cuestionarios existentes y evidencia disponible. (Prevalent)
• El 77% de los encuestados ahora confía en software con características y funcionalidades de gestión de proveedores para agilizar la gestión del riesgo de los mismos. (Venminder)

• El 39% de las organizaciones planea integrar la automatización en su función ESG para gestionar mejor los riesgos en los próximos dos años. (EY)
• Más del 50% de los encuestados que actualmente no usan IA en el monitoreo de riesgos, más de la mitad reconoce la necesidad de monitorear los riesgos relacionados con la IA, lo que indica una creciente conciencia sobre el impacto de la tecnología en la gestión de riesgos. (Supply Wisdom)
• Solo el 14% de los profesionales en adquisiciones y el 13% en gestión de proveedores informan usar herramientas de monitoreo continuo para evaluar a los proveedores. (Supply Wisdom)