¿Qué es la gestión de riesgos de terceros (y por qué le corresponde a la adquisición)?

Cada proveedor y prestador de servicios con el que trabaja tu organización plantea riesgos financieros, operativos, de cumplimiento y reputacionales. Cuando algo sale mal, ese riesgo puede convertirse rápidamente en tu responsabilidad.

La gestión de riesgos de terceros (TPRM) hace que esos riesgos sean visibles y manejables antes de que el error de un proveedor, la filtración de datos o la falta de cumplimiento toque tu puerta.

En esta guía, se explica qué incluye la TPRM, por qué los líderes de adquisición ocupan un lugar central en ella y cómo crear un programa que proteja a tu organización sin dañar las relaciones con los proveedores.

¿Que es la gestión de riesgos de terceros?

La gestión de riesgos de terceros es el proceso de identificar, evaluar y monitorear continuamente los riesgos que surgen de las relaciones de tu organización con proveedores externos y regulares, contratistas y prestadores de servicios.

Los terceros aportan valor real al mismo tiempo que plantean riesgos. La TPRM mantiene ese riesgo visible y proporcional al valor de cada proveedor. A veces se usa de forma intercambiable con la gestión de riesgos de proveedores, aunque la TPRM abarca un conjunto más amplio de relaciones externas.

El trabajo abarca varias funciones: en la adquisición, se gestiona la incorporación de proveedores y el cumplimiento sostenido de políticas; desde seguridad informática, se administra la exposición a la ciberseguridad; el área de asuntos legales supervisa los requisitos contractuales y regulatorios; y el área de finanzas gestiona la estabilidad financiera de los proveedores.

¿Por qué importa la gestión de riesgos de terceros?

El compromiso de terceros puede suponer una exposición costosa para las organizaciones. Según el informe sobre el costo de una filtración de datos realizado por IBM en 2025, el costo promedio global de una filtración de datos fue de $4.99 millones. Para los equipos de adquisición, ese riesgo es importante porque las relaciones con proveedores, vendedores y prestadores de servicios pueden extender la exposición más allá de los propios sistemas de tu organización.

El problema se acrecienta con tu base de proveedores. Desde 2025, una empresa promedio ahora gestiona 286 proveedores, en comparación con los 237 en 2024. Muchas organizaciones gestionan cientos o incluso miles de terceros y cada uno de ellos suma un posible lugar a errores. A medida que esa lista se expande, las comprobaciones informales de riesgo ya no son escalables y un programa estructurado se convierte en la única manera de seguir el ritmo.

El rol de las adquisiciones a menudo se pasa por alto. La mayoría de la cobertura de la TPRM considera la disciplina un problema de ciberseguridad, a cargo del área informática. Pero la exposición suele generarse a través de una orden de compra, un contrato firmado o un proveedor que tu equipo incorporó para cumplir una fecha de entrega.

El área de adquisiciones decide qué proveedores ingresan, en qué términos y qué tan de cerca se supervisan después. Los requisitos como las certificaciones SOC 2, los derechos de auditoría, la cobertura de seguros e informes financieros de los proveedores a menudo se originan durante las adquisiciones y la contratación, por lo que las adquisiciones representan una de las primeras líneas de defensa contra el riesgo asociado a los proveedores.

Tipos de riesgo de terceros

El riesgo de terceros se manifiesta en cuatro formas principales, que se contemplan todas en un programa sólido.

Riesgo de ciberseguridad y datos

Los proveedores con acceso a tus sistemas, datos o redes generan exposición a riesgos de ciberseguridad. Una brecha de su lado puede alcanzar tus sistemas, tus clientes y tu situación normativa.

Esta categoría domina la mayoría de los programas formales de TPRM en la actualidad, aunque solo cubre una parte del panorama completo.

Riesgo operativo y de entregas

Un proveedor que no puede hacer entregas genera una interrupción operativa para tu negocio, ya sea debido a dificultades financieras, capacidad limitada o fallas más serias en su propia cadena de suministro.

La salud financiera del proveedor, el historial de entregas y la capacidad son factores de riesgo para las adquisiciones. Estos requieren un monitoreo continuo, no una verificación única al momento de la incorporación. Un proveedor aparentemente estable al momento de la firma puede tener problemas dos trimestres después y, si dependes de él para un insumo crítico, su problema se convierte en una brecha en tus operaciones.

Riesgo de conformidad y normativa

Los proveedores que incumplen leyes laborales, normas medioambientales o estándares de la industria como HIPAA, PCI DSS o GDPR pueden exponer a tu organización a tener responsabilidad regulatoria, incluso cuando hayas incurrido en falta.

La adquisición desempeñan un rol central. Los contratos que negocia tu equipo, las certificaciones que exiges y las auditorías que llevas a cabo determinan si tu base de proveedores se mantiene en cumplimiento.

Aquí es donde las características de gestión de cumplimiento de Amazon Business pueden ser de ayuda. Los equipos de adquisiciones pueden establecer requisitos de políticas, configurar flujos de trabajo de autorización y aplicar controles de compras en toda la base de proveedores, lo que convierte el cumplimiento en una práctica sistemática en lugar de una carrera contrarreloj en el momento de la auditoría.

Riesgo de abastecimiento responsable y reputacional

Los proveedores que operan con poca ética crean un riesgo reputacional que asciende por la cadena de suministro hasta alcanzarte.

Actualmente, se espera que las comprobaciones debidas en materia de compras socialmente responsables (SRP) sean realizada por inversionistas, clientes y reguladores. El abastecimiento responsable se ha convertido por derecho propio en un requisito para la gestión de riesgos. Las certificaciones que exiges y las prácticas de los proveedores que verificas durante la incorporación ayudan a evitar que los problemas con los proveedores se conviertan en una cuestión reputacional de carácter público para tu organización.

Ciclo de vida de la TPRM

La gestión de riesgos de terceros no es una evaluación única que se realiza durante la incorporación. Los programas efectivos monitorean el riesgo mientras dura la relación con el proveedor. La TPRM abarca toda la vida de la relación con un proveedor, desde la primera evaluación hasta el día en que se lo da de baja. El trabajo se estructura en las siguientes cinco etapas:

• Identificación y determinación del alcance: Define qué terceros están dentro del alcance según acceso, servicios y datos que manejan. No todos los proveedores requieren la misma rigurosidad.

• Diligencia debida: Recopila y evalúa información sobre riesgos antes de la incorporación, incluido estado financiero, certificaciones de cumplimiento, postura en términos de seguridad y referencias de otros clientes.

• Incorporación y contratación: Toma lo que descubriste sobre los riesgos y aplícalo en términos contractuales, acuerdos de manejo de datos, derechos de auditoría y estándares de desempeño.

• Monitoreo continuo: La evaluación de riesgos no termina con la firma. La salud financiera, el estado de cumplimiento y el rendimiento del proveedor necesitan deben revisarse periódica y automáticamente en la medida de lo posible y revisarse a mano cuando el riesgo sea mayor.

• Desvinculación: Cuando una relación se termina, revoca el acceso, recupera o destruye los datos y cierra de forma ordenada cualquier obligación de cumplimiento pendiente.

¿Quién es responsable de la TPRM?

Ningún área se ocupa exclusivamente de la TPRM y es exactamente ahí donde los programas tienen problemas. Cuando el riesgo se divide entre adquisiciones, seguridad informática, asuntos legales y finanzas sin un responsable definido, los proveedores se escapan de las manos: un contrato se firma antes de una revisión de seguridad o los problemas financieros de un proveedor salen a la luz recién cuando las entregas no llegan.

Alguien tiene que coordinar los traspasos. El área de adquisiciones suele estar en mejores condiciones para asumir ese rol, porque maneja cada relación con proveedores desde el primer contrato hasta la desvinculación y observa el ciclo de vida completo como ninguna otra área. La responsabilidad de los riesgos individuales permanece distribuida; todo el programa en su conjunto necesita quedar a cargo de un área. Unir esos hilos es el meollo de la gestión de riesgos para la adquisición.

Analítica de Amazon Business brinda a los equipos de adquisición visibilidad sobre el gasto entre proveedores, lo que proporciona datos que pueden orientar la forma en que se gestiona cada relación. Esto facilita identificar qué proveedores conllevan mayor exposición, dónde se concentra el gasto y dónde el riesgo del proveedor puede superar el valor comercial.

Por ejemplo, si una gran parte del gasto depende de un pequeño grupo de proveedores, el área de adquisición puede identificar esa concentración con anticipación y elaborar planes de contingencia antes de que ocurra una interrupción. Los datos de gastos muestran adónde va tu dinero, no el estado de la relación que hay detrás. Señales como la fiabilidad en las entregas, las tendencias de calidad y la capacidad de respuesta no se ven en los números, por lo que la visibilidad del gasto debe tratarse como un dato más en la gestión de relaciones y no como el panorama completo.

Crear un programa de TPRM a tu medida

Un programa de TPRM funciona mejor cuando el grado de revisión se corresponde con el riesgo. Estas tres prácticas ayudan a mantener un proceso uniforme sin ralentizar las compras de bajo riesgo.

1. Clasificar a tus proveedores según el riesgo

No todos los proveedores merecen la misma rigurosidad. Un proveedor de café para la sala de descanso plantea un riesgo distinto al de un proveedor de SaaS con acceso a datos de empleados o al de un socio logístico conectado a tu red de distribución.

Clasifica a tus proveedores según el nivel de riesgo teniendo en cuenta el acceso a datos, la integración de sistemas, el volumen de gastos y la dependencia operativa. La clasificación te permite hacer comprobaciones en proporción a lo que está en juego, de modo que las relaciones de bajo riesgo no queden atrapadas en el mismo cuello de botella que las de alto riesgo.

2. Estandarizar la diligencia debida por nivel

Elabora cuestionarios estándar, requisitos de certificación y pasos de evaluación para cada nivel. Una diligencia debida, coherente y documentable facilita repetir, auditar y justificar las revisiones.

Calificar proveedores de antemano en función de certificados de seguridad como SOC 2 e ISO 27001, estándares de cumplimiento y estabilidad financiera ayuda a que el área de adquisiciones avance rápidamente en el proceso de incorporación.

3. Incorporar el monitoreo continuo al programa

Una diligencia debida una sola vez durante la incorporación te indica el estado del proveedor en ese momento. El monitoreo continuo te indica su estado actual.

Las herramientas automatizadas que rastrean novedades de proveedores, indicadores financieros, cambios de cumplimiento y calificaciones de seguridad ayudan a los equipos de adquisiciones a anticiparse al riesgo en lugar de reaccionar frente al daño ya causado. Igual de importante es que esa información fluya hacia los sistemas que tu equipo ya utiliza.

Cuando las compras se conectan con tus plataformas ERP y de adquisición electrónica, los datos y gastos de proveedores pueden residir en un solo lugar en vez de estar dispersos entre herramientas. Amazon Business se integra con esos sistemas, lo cual es una forma de mantener esa información consolidada. Anticiparse al riesgo de los proveedores de esta manera también contribuye directamente a desarrollar una resiliencia en la cadena de suministro en general.

La TPRM es una función del área de adquisiciones

La gestión de riesgos de terceros pertenece tanto al área de adquisiciones como al área informática o de asuntos legales. La exposición comienza en el momento en que el área de adquisiciones incorpora a un proveedor a la organización, pero no siempre termina cuando lo da de baja. Una filtración de datos que remite un exproveedor o las repercusiones reputacionales por haber tenido relaciones comerciales con alguien pueden surgir mucho después de que el contrato termine.

Los equipos de adquisiciones que gestionan bien la TPRM la tratan como una práctica estándar: diligencia debida sistemática, monitoreo en función de una clasificación y requisitos de cumplimiento integrados en la relación con cada proveedor desde el primer día.

Descubre cómo las características de Amazon Business pueden ayudar a los equipos de adquisiciones a implementar sus propios requisitos de políticas y supervisar las compras en toda la organización.