Un proveedor supera la debida diligencia. El expediente está completo, es preciso y cuenta con la aprobación. Dieciocho meses después, ese mismo proveedor está en el centro de una investigación de cumplimiento.
No había nada incorrecto en el expediente. La estructura de propiedad descrita era precisa el día en que se presentó. El perfil de riesgo evaluado coincidía con el proveedor tal como existía en ese momento. Lo que cambió fue el proveedor. Reestructuró su propiedad. Incorporó un nuevo intermediario para gestionar un mercado específico. Ninguno de esos cambios llegó al equipo de cumplimiento, porque el programa no estaba diseñado para detectarlos.
Los requisitos de debida diligencia de la norma ISO 37001 exigen que una organización evalúe a un socio comercial antes de que comience la relación: la naturaleza de la relación, el perfil de riesgo de la jurisdicción, la identidad de los beneficiarios finales y cualquier señal de alerta en el historial del socio. Esa evaluación genera una instantánea, precisa en el momento en que se toma.
La relación que sigue no es una instantánea. Es continua y cambia de formas que el expediente original no tiene mecanismos para capturar. Un proveedor aprobado durante la incorporación no está contractualmente obligado a seguir siendo el mismo durante toda la vigencia del contrato y, en la práctica, muchos no lo hacen.
Los cambios que importan rara vez parecen dramáticos desde fuera. Un beneficiario final vende una participación a un nuevo inversor. El proveedor incorpora a un socio local para gestionar los requisitos normativos en un mercado al que acaba de entrar. Un subcontratista se hace cargo de parte de la entrega que antes se gestionaba directamente. La ruta de pago cambia para adaptarse a una nueva relación bancaria.
Cualquiera de estos factores puede desplazar a un proveedor del perfil de riesgo aprobado a uno que nunca fue revisado. Ninguno de ellos requiere que el proveedor notifique a la organización que lo aprobó, y pocos programas de cumplimiento tienen un proceso para descubrirlo de forma independiente.
Considere un proveedor de logística aprobado hace dos años para gestionar la distribución regional. Su propiedad era sencilla en ese momento: dos fundadores, sin inversores externos y sin operaciones fuera del país donde se firmó el contrato. Desde entonces, un fondo de capital privado ha adquirido una participación mayoritaria, el proveedor ha iniciado operaciones en dos nuevos países para dar soporte a un cliente más grande y ahora canaliza parte de sus pagos a través de una filial regional que no existía en el momento de la aprobación. Nada de esto requirió notificar a la empresa que lo aprobó. Sobre el papel, sigue siendo el proveedor que superó la debida diligencia hace dos años. En la práctica, es una empresa diferente que opera bajo el mismo nombre.
La mayoría de los programas de debida diligencia se renuevan según un calendario: anualmente o cada dos años, independientemente de lo que le haya ocurrido al proveedor entretanto. Esa cadencia funciona para los proveedores que realmente no cambian. No sirve de nada para los que sí lo hacen, porque la fecha de renovación no tiene relación con la fecha en la que realmente cambió la estructura de propiedad.
Existe una lógica de recursos detrás del enfoque basado en el calendario, y no es irrazonable por sí misma. Revisar continuamente cada relación con proveedores abrumaría a la mayoría de los equipos de cumplimiento, y una reevaluación completa de cada relación cada trimestre costaría más que el riesgo que se está gestionando. El problema no es que los programas racionen el esfuerzo de revisión. Es que lo racionan por fecha en lugar de por relevancia, tratando a un proveedor que cambió drásticamente el mes pasado igual que a uno que ha sido estable durante una década, simplemente porque ninguno ha llegado aún a su fecha de renovación.
El resultado es una brecha medida en tiempo, no en juicio. Un proveedor puede alejarse sustancialmente de su perfil de riesgo aprobado y seguir siendo, sobre el papel, un proveedor autorizado durante meses o años, simplemente porque la próxima revisión programada aún no ha llegado.
El instinto cuando un incidente se remonta a un proveedor aprobado hace mucho tiempo es preguntar si la debida diligencia original fue lo suficientemente exhaustiva. A menudo, lo fue. El expediente describía al proveedor correctamente, en su momento.
El fallo no está en lo que decía el expediente. Está en la ausencia de cualquier elemento que hubiera alertado en el momento en que el expediente dejó de ser cierto. Un programa de cumplimiento medido por si sus expedientes de debida diligencia están completos siempre parecerá saludable, incluso mientras las relaciones que describen esos expedientes se alejan cada vez más de lo que realmente se aprobó.
Para los líderes de cumplimiento y riesgos, se derivan cuatro puntos de tratar la debida diligencia como un problema de ciclo de vida en lugar de un filtro único.
Primero, identifique los eventos que deberían activar una nueva revisión, no solo una nueva fecha. Un cambio en la propiedad beneficiaria, una nueva coincidencia en una lista de sanciones o de vigilancia, un litigio que involucre al proveedor o un cambio material en la estructura del acuerdo o en el intermediario de pago son todos más relevantes que un aniversario en el calendario.
En segundo lugar, trate las señales públicas y semipúblicas como parte del programa, no como ruido de fondo. Los registros de beneficiarios finales, los expedientes judiciales y las actualizaciones de los registros mercantiles suelen estar disponibles antes de que un proveedor divulgue nada voluntariamente. Un programa que solo pregunta directamente al proveedor solo descubrirá lo que este decida compartir.
En tercer lugar, ajuste la revisión al cambio, no a la incorporación inicial. Un cambio menor de subcontratista no requiere una reevaluación completa. Un cambio en la titularidad real, sí. Tratar todos los desencadenantes de la misma manera sobrecarga al equipo o lo acostumbra a ignorar la señal.
En cuarto lugar, asigne la responsabilidad de la función de supervisión de forma explícita, separada del equipo que realizó la aprobación inicial. Un equipo de diligencia debida al que se mide por cuántos proveedores nuevos aprueba tiene pocos incentivos para señalar que un proveedor ya aprobado tiene ahora un aspecto diferente. La supervisión funciona mejor como una responsabilidad distinta, con sus propias señales y su propia vía de escalada, en lugar de ser una ocurrencia tardía añadida al proceso de incorporación.
La norma ISO 37001 proporciona a las organizaciones una estructura real para evaluar el riesgo de terceros en el momento de la incorporación. Esa estructura nunca se diseñó para hacer un seguimiento de lo que le ocurre a un proveedor una vez cerrado el expediente, y la mayoría de los programas no han creado nada para cubrir esa laguna.
Las organizaciones que reduzcan la exposición a terceros en los próximos años no serán las que tengan el expediente de incorporación más exhaustivo. Serán las que sepan cuándo el proveedor que aprobaron se ha convertido en un proveedor diferente, antes de que una fecha de renovación o un incidente fuercen la situación.
Cómo Zepo ayuda a las empresas
.png)
Paula Pereira
Gerente de Seguridad de la Información Digital
“Recomendaría Zepo a colegas de otras empresas porque creo que ha satisfecho todas nuestras necesidades. Nos ha permitido ejecutar tres tipos de campañas que otras herramientas que hemos probado simplemente no pueden hacer. Y más allá del producto en sí, el apoyo de todo el equipo nos ha ayudado a sacarle mucho más partido.”
+9K
Empleados Protegidos
–10%
Tasa de clics en ataques
+18%
Tasa de finalización de la capacitación
.png)
Ramon Fernandez Blanco
Ciberseguridad y Gerente de Producto Digital
“Desde la implementación de Zepo, la concienciación de los empleados ha aumentado significativamente. Los empleados ahora debaten activamente sobre ciberseguridad y campañas de phishing, y los correos electrónicos sospechosos se reportan rápidamente en lugar de ser ignorados.”
+600
Empleados Protegidos
–15%
Credenciales enviadas
+26%
Tasa de finalización de la capacitación
.png)
Jonathan Nelson
Director de Inteligencia de Riesgos
“La visión de Zepo para una solución de ciberseguridad en tiempo real, hiperpersonalizada y multiplataforma es verdaderamente única y está muy por encima de la competencia”
+100
Empleados Protegidos
Anticípate antes de que ataquen.
.png)
