Una empresa global de servicios financieros utilizaba un cuestionario de TPRM estandarizado de cuatrocientas preguntas que enviaba a todos los proveedores sin importar su función, su acceso a datos o su perfil de riesgo. El cuestionario se había elaborado a partir de varios marcos del sector (ISO 27001, NIST CSF, criterios del SOC 2) y cubría de forma exhaustiva todos los dominios de seguridad principales. Los proveedores dedicaban en promedio de tres a cuatro semanas a completarlo. Las respuestas confirmaban la existencia de políticas de seguridad de la información, programas de clasificación de datos, procesos de gestión de vulnerabilidades, planes de respuesta a incidentes y marcos de control de acceso. Para un proveedor de análisis de datos en la nube que trataba registros financieros de clientes, el cuestionario produjo una puntuación de postura de seguridad que superaba el umbral para obtener la condición de “proveedor aprobado”. El cuestionario no preguntaba: ¿cuánto tiempo son válidos los tokens de API en las integraciones de análisis? ¿Permite la plataforma de análisis que todos los usuarios autenticados exporten datos de forma masiva? ¿Está incluido el lago de datos de análisis en el alcance del SOC 2? ¿Se han evaluado los modelos de análisis en cuanto a los riesgos de filtración de datos de entrenamiento? La condición de proveedor aprobado se basaba en respuestas precisas a preguntas derivadas de marcos. Los riesgos específicos que crea un proveedor de análisis en la nube que trata registros financieros de clientes no se reflejaban en ninguna de las cuatrocientas preguntas.
Por qué es importante
La fatiga de los cuestionarios es importante para TPRM porque representa el enfoque dominante en la evaluación del riesgo de terceros y rinde sistemáticamente por debajo de lo necesario en la pregunta que la gestión de riesgos más necesita responder: ¿cuáles son los riesgos específicos que crea esta relación concreta con un proveedor y están adecuadamente controlados? Un cuestionario diseñado para cubrir de forma general los dominios de seguridad responde a una pregunta distinta (para qué dominios de seguridad tiene programas este proveedor) y produce una señal de riesgo que, en el mejor de los casos, guarda una relación débil con el riesgo real de la relación.
La dimensión de la manipulación por parte de los proveedores amplifica el problema de la relación entre señal y ruido. Los proveedores que completan decenas de cuestionarios estandarizados al año desarrollan procesos de respuesta eficientes: bibliotecas de respuestas predefinidas, plataformas de gestión de cuestionarios y plantillas de respuesta que permiten completar rápidamente las preguntas estandarizadas. Estas herramientas permiten responder con precisión a las preguntas estándar con un esfuerzo mínimo. También crean una dinámica en la que la capacidad de responder cuestionarios y la capacidad de implementar realmente la seguridad son competencias organizativas que pueden divergir. Un proveedor con un proceso excelente de gestión de cuestionarios y una implementación de seguridad mediocre producirá respuestas que aprueban la evaluación mientras presenta el perfil de riesgo de una organización de seguridad mediocre.
Dónde se equivocan la mayoría de los equipos
La falla más habitual es tratar la cumplimentación de cuestionarios y la alineación con marcos como evidencia de una gestión real de los riesgos, en lugar de como evidencia de la existencia de un programa. Un proveedor que completa un cuestionario de cuatrocientas preguntas con puntuaciones aprobatorias ha demostrado un programa que cubre los dominios evaluados. No ha demostrado que los riesgos específicos de la relación estén controlados. La distinción entre la existencia de un programa y la gestión de riesgos específicos es la brecha que la TPRM centrada en cuestionarios no logra cerrar de forma sistemática.
- Tratar la cumplimentación de cuestionarios como evaluación de riesgos en lugar de como documentación del programa
- Preguntas estandarizadas aplicadas a todos los proveedores sin importar su perfil de riesgo específico
- Puntuación de riesgo que trata todas las preguntas por igual, sin importar su relevancia para la relación específica
- Sin preguntas específicas de la relación que aborden el riesgo real que crea la función específica del proveedor
- Esfuerzo de evaluación no proporcional al riesgo: el mismo esfuerzo para todos los proveedores sin importar su nivel de riesgo
Cómo se ve una buena práctica
Los programas maduros de TPRM combinan un cuestionario básico ligero que cubre la higiene de seguridad fundamental con preguntas específicas de la relación adaptadas al perfil de riesgo real de cada relación con un proveedor: formulan las cuatro preguntas más relevantes para un proveedor de análisis en la nube en lugar de enviar cuatrocientas preguntas generales.
- Cuestionario básico ligero: higiene de seguridad fundamental que cubre los dominios pertinentes para todos los proveedores
- Preguntas complementarias específicas de la relación: preguntas dirigidas a los riesgos específicos de la función y del acceso a datos de cada proveedor
- Profundidad de la evaluación por niveles de riesgo: una evaluación más amplia para las relaciones de mayor riesgo
- Puntuación de riesgo ponderada por relevancia: preguntas ponderadas según su pertinencia para la relación específica
- Solicitudes de evidencia en lugar de preguntas de cuestionario para las relaciones de mayor riesgo: artefactos específicos que demuestren la eficacia de los controles
Herramientas
Plataformas de TPRM: ProcessUnity, OneTrust, Prevalent, Venminder
Las plataformas de TPRM ofrecen gestión de cuestionarios con capacidades de personalización, lo que permite usar conjuntos de preguntas específicos de cada relación junto con un cuestionario básico estándar. Algunas plataformas incluyen puntuación mediante aprendizaje automático que pondera las respuestas según el perfil de riesgo del proveedor. Para los profesionales de TPRM, pasar de un único cuestionario para todos a conjuntos de cuestionarios por niveles de riesgo con preguntas complementarias específicas de cada relación es la principal mejora del diseño de los cuestionarios que permiten las plataformas.
Cuestionarios estandarizados: CAIQ (CSA), SIG (Shared Assessments), VSAQ
Los cuestionarios estándar del sector, como el CSA CAIQ y el SIG de Shared Assessments, ofrecen un vocabulario común para evaluar los programas de seguridad que reduce la carga de cumplimentación para los proveedores. Para los profesionales de TPRM, usar cuestionarios estándar del sector como base y complementarlos con preguntas específicas de la relación combina la eficiencia para el proveedor (las preguntas estándar pueden responderse a partir de bibliotecas) con la especificidad de la evaluación (las preguntas complementarias abordan el perfil de riesgo real de la relación).
Desafíos de gobernanza
El desafío de gobernanza de la TPRM basada en cuestionarios es el problema del volumen. La mayoría de los programas de TPRM gestionan desde decenas hasta cientos de relaciones con proveedores, y personalizar los cuestionarios según el perfil de riesgo específico de cada relación exige un esfuerzo analítico que crece con el número de relaciones. La solución de gobernanza es un diseño de cuestionarios por niveles de riesgo: un cuestionario básico estándar y ligero para todos los proveedores, un conjunto complementario moderado para las categorías de proveedores de mayor riesgo (nube, tratamiento de datos, infraestructura) y una evaluación específica a medida para las relaciones individuales de mayor riesgo.
- Elabore bancos de preguntas complementarias específicas de la relación para cada categoría de riesgo de proveedores
- Aplique el cuestionario básico a todos los proveedores y preguntas complementarias según el nivel de riesgo
- Identifique las cinco preguntas más relevantes para cada relación con un proveedor y priorícelas
- Solicite evidencia en lugar de respuestas para las preguntas de mayor riesgo
- Haga seguimiento de las preguntas específicas que anticiparon problemas en evaluaciones anteriores y priorícelas
Si usted forma parte de un equipo pequeño
En su próxima evaluación de proveedores, añada cinco preguntas específicas de la relación después de enviar el cuestionario estándar. Identifique las cinco preguntas más relevantes para el riesgo específico que crea este proveedor: las preguntas que, si se respondieran de forma desfavorable, más cambiarían su calificación de riesgo. Esas cinco preguntas, formuladas además del cuestionario estándar, aportarán una visión del riesgo más útil para actuar que las cuatrocientas derivadas de marcos que se formulan sin importar la función del proveedor. El cuestionario cubre programas. Las cinco preguntas cubren el riesgo real.
- Identifique las cinco preguntas de riesgo más relevantes para cada relación con un proveedor de mayor riesgo
- Añada preguntas específicas de la relación al cuestionario estándar para los proveedores de mayor riesgo
- Solicite evidencia para las preguntas más relevantes en lugar de aceptar respuestas de sí o no
- Haga seguimiento de qué preguntas han sido más predictivas de hallazgos de riesgo reales
Qué exigir
Pregunte directamente:
“Además de nuestro cuestionario de seguridad estándar, hemos identificado las siguientes como las preguntas de riesgo específicas más relevantes para su función y su acceso a datos en nuestra relación: [lista de cinco preguntas específicas de la relación]. Le rogamos que las responda con evidencia de respaldo en lugar de con respuestas de sí o no.”
Evidencia que debe esperar
- Respuestas a las preguntas específicas de la relación, con evidencia de respaldo
- Reconocimiento del perfil de riesgo específico que crea la relación
- Evidencia de controles que aborden los riesgos específicos identificados
A un proveedor que ha completado un cuestionario de cuatrocientas preguntas se le deben hacer las cinco preguntas que el cuestionario no formuló sobre su función específica. El cuestionario describe el programa. Las cinco preguntas describen el riesgo.
Cómo demostrarlo
- Documentación de preguntas específicas de cada relación para los proveedores de mayor riesgo
- Solicitudes de evidencia para las preguntas de riesgo relevantes
- Documentación de la profundidad de la evaluación por niveles de riesgo
- Registros de complementación de los cuestionarios
Conclusión clave
Cuatrocientas preguntas que cubren todos los dominios de seguridad principales producen respuestas precisas a las cuatrocientas preguntas y pasan por alto las cinco preguntas más relevantes para el riesgo real de la relación. El cuestionario es exhaustivo para los dominios que se diseñó para cubrir. El riesgo específico está en las preguntas que no se diseñó para formular. La fatiga de los cuestionarios es el síntoma de un enfoque de TPRM que optimiza la finalización del proceso de evaluación en lugar de la comprensión del riesgo. El proveedor completó el cuestionario y superó el umbral. El lago de datos de análisis está fuera del alcance del SOC 2. Los tokens de API son válidos de forma indefinida. Los controles de exportación masiva no existen. Nada de eso estaba en las cuatrocientas preguntas. El cuestionario fue exhaustivo. La evaluación no.