Gestión de riesgo de terceros (TPRM): cadena de suministro digital bajo control

El artículo 28 del Reglamento DORA establece obligaciones específicas: mantener un registro detallado de proveedores ICT, clasificar la criticidad de cada acuerdo, evaluar concentración y dependencias, aplicar cláusulas contractuales mínimas, garantizar derechos de auditoría y disponer de planes de salida documentados para proveedores críticos. La entidad sigue siendo responsable aunque externalice, y debe poder demostrarlo ante el supervisor competente.

La gestión de proveedores tradicional se centra en SLA operativos, facturación y desempeño. TPRM añade la dimensión de ciberseguridad y riesgo regulatorio: qué datos trata el proveedor, qué controles aplica, qué subencargados utiliza, qué pasa si sufre una brecha, cómo se sale del contrato si es necesario. Son disciplinas complementarias y un programa maduro las integra.

Depende del marco aplicable. DORA exige cobertura completa del inventario ICT con foco reforzado en los críticos. NIS2 pide proporcionalidad al perfil de la organización. ISO 27001 obliga a tratar todos los proveedores relevantes para la seguridad de la información. En la práctica, un primer barrido honesto suele descubrir entre un 30 y un 60 por ciento más de proveedores de los que la organización tenía inventariados formalmente.

Para empezar y para programas de tamaño medio, una hoja bien estructurada puede sostener el programa los primeros meses. Cuando el inventario supera 50-80 proveedores, cuando hay varias unidades de negocio o cuando la auditoría exige trazabilidad granular, una plataforma GRC ayuda a escalar. Lo importante es el modelo operativo, no la herramienta.

Un plan de salida documenta cómo terminar la relación con un proveedor crítico sin interrumpir el servicio: alternativas técnicas viables, plazos realistas, portabilidad de datos, propiedad de información, costes asociados y responsables. DORA lo exige porque la dependencia tecnológica es un riesgo sistémico: sin plan de salida creíble, una entidad financiera puede estar atrapada con un proveedor que falla o deja de cumplir.

Es una situación frecuente con grandes hiperescalares y proveedores SaaS de mercado masivo. Las opciones reales son: aceptar la limitación documentando el riesgo residual y aplicando controles compensatorios, negociar adendas específicas, evaluar la sustitución del proveedor o, en sectores regulados, escalar la decisión al órgano de gobierno con análisis de impacto.

Reducen el esfuerzo pero no lo sustituyen. Una certificación verifica que existe un sistema de gestión, no que se aplique sobre el servicio concreto que contratas. El due diligence debe confirmar alcance, datos tratados, configuración específica y respuesta ante incidentes — aspectos que la certificación no detalla por sí sola.

Las métricas más útiles son cobertura del inventario, porcentaje de proveedores críticos con due diligence vigente, tiempo medio de revisión, número de hallazgos materiales detectados, proveedores con plan de mejora abierto y proveedores con plan de salida documentado. Indicadores comparables en el tiempo que el comité entiende sin traducción técnica.