La gestión de riesgos de terceros implica a múltiples partes interesadas como lo son el equipo de InfoSec, privacidad, adquisiciones, finanzas, jurídico y muchos otros, que pueden necesitar interactuar con terceros de manera regular. Esto hace que sea aún más importante crear un programa de gestión de riesgos de terceros que ponga el foco sobre el usuario y sea fácil de implementar.
En palabras de Ruo Xie, vicepresidente de S2P en OneTrust: «he estado en empresas donde diferentes equipos, ya fuera el jurídico, de privacidad o de seguridad, crearon un proceso que cubría todas sus necesidades y funcionaba bien. Sin embargo, no pensaron en la experiencia del usuario; es decir, en el empleado, el equipo de adquisiciones o quienquiera que tuviera que participar en el proceso, y el resultado fue un proceso muy enrevesado y confuso que la gente no quería utilizar. Dicho de forma clara, el proceso tiene que ser claro para el usuario final. Tiene que tratarse de una solución que los usuarios quieran usar».
En este artículo, te ofrecemos consejos de seis líderes de InfoSec y riesgo de terceros de OneTrust y empresas Fortune Global 500 sobre cómo implementar un programa de gestión de riesgos de terceros dentro de tu organización. Esta es la tercera publicación de nuestra serie sobre cómo crear un programa de gestión de riesgos de terceros.
Descarga la guía de gestión de riesgos de terceros, y descubre cómo optimizar las relaciones con terceros y los errores más comunes que debes evitar.
¿Qué herramientas necesitas para iniciar un programa de gestión de riesgos de terceros?
Las organizaciones con programas de GRC existentes a menudo no necesitan una gran inversión para iniciar su programa de gestión de riesgos de terceros. En muchos casos, las herramientas y recursos existentes pueden aprovecharse para gestionar los riesgos de terceros.
Por ejemplo, puedes comenzar con tu plataforma de GRC y crear parte de las funciones tú mismo o utilizar una solución de gestión de riesgos para facilitar la calificación de terceros. Aunque estos no ofrecerán todas las funciones necesarias comparado con los programas de gestión de riesgos de terceros más maduros, sí que pueden prerrellenar algunos de los datos que necesitas para iniciar tu programa de gestión de riesgos de terceros.
Matthew Solomon, vicepresidente de tecnología y ciberseguridad en Humana, nos explica lo siguiente: «si tu objetivo es desarrollar estas funciones desde cero y dispones de recursos limitados, tan solo tienes que incorporarte utilizando lo que ya está disponible en el entorno actual».
Y continúa añadiendo: «sin embargo, si tu objetivo es crear funciones realmente sólidas y muchas de las decisiones de adquisición de la organización dependen de la calificación de riesgo cibernético del proveedor, entonces probablemente necesites funciones nuevas o complementarias para tus herramientas existentes que puedan recopilar de forma fluida los datos de riesgos de los proveedores que sean necesarios, con el fin de analizarlos y luego informar sobre los resultados de una manera que ayude al responsable final de la toma de decisiones».
El retorno de la inversión es otro aspecto a tener en cuenta cuando se trata de herramientas de gestión de riesgos de terceros. ¿Se puede hacer el trabajo con una sola persona o hace falta más gente? A medida que se van incorporando más terceros, una herramienta centralizada podría reducir los costes de dotación de personal y hacer que el proceso de gestión de riesgos de terceros fuera más sencillo, rápido y escalable a largo plazo. Los equipos tampoco necesitarán tanta formación porque podrán sacar partido de la orientación dentro de la herramienta.
Dicho esto, Xie agrega: «si podemos automatizar lo que se necesita desde una perspectiva de seguridad o privacidad, no deberíamos necesitar un humano para revisarlo. Solo se debería necesitar la intervención humana si se produjera un desvío en cuanto a los requisitos o hiciera falta tomar una decisión empresarial. La automatización ahorra tiempo y permite que el equipo de seguridad pueda centrarse en las revisiones de proveedores más complejas y arriesgadas».
¿Necesitas un equipo que se dedique exclusivamente a la gestión de riesgos de terceros?
La seguridad tan solo es una parte de todo el proceso de gestión de terceros. Los programas de gestión de riesgos de terceros también tratan con revisiones de contratos, evaluaciones y otras actividades de diligencia debida.
En palabras de Tim Mullen, delegado jefe de seguridad de la información en OneTrust: «muchos profesionales del riesgo disponen de una “navaja suiza”; es decir, de una amplia gama de conocimientos en materia de seguridad. No cuentan con un conocimiento excesivamente profundo en estas áreas de manera específica porque su trabajo es juntar todas las piezas; saben lo suficiente como para hacer las preguntas adecuadas».
A esto le suma: «si hay ciertas preguntas, por ejemplo, sobre claves API o datos personales, esto implicará una revisión más formal que involucrará a nuestro equipo de arquitectura. Así que no solo se necesitan personas con formación en materia de riesgos, sino que a veces se necesitan técnicos para tener esas conversaciones más profundas».
