Dejan Jasnic · Cofundador & Compliance Lead, Trusty · Más de 20 años en antifraude & compliance · Miembro del consejo del ACFE Swiss Chapter
¿Sabía que el 62% de las brechas de datos se produce a través de proveedores externos?
Además, más del 80% de las empresas comparte datos sensibles con terceros, y el 98% de las organizaciones está conectado con al menos un proveedor que ha sufrido una brecha de seguridad en los dos últimos años.
Estas cifras, extraídas del Data Breach Investigations Report de Verizon, muestran que el verdadero reto de la gestión del compliance, lo que llamamos Compliance 2.0, es ahora la gestión de terceros: proveedores,
socios comerciales y colaboradores externos (como plataformas de cloud computing, centros de datos o procesadores de nóminas) pueden ser a la vez aliados estratégicos y fuentes de riesgo.
Esta relación implica que las empresas deben extender sus esfuerzos de compliance y seguridad a estos terceros para garantizar un entorno de negocio seguro y fiable.
¿Qué es el Compliance 2.0?
El “Compliance 2.0” va más allá de las normas y requisitos internos: representa un enfoque estratégico en el que las empresas no solo buscan cumplir la ley, sino crear un sistema integral de protección y ética que abarque tanto a sus empleados como a todas las partes interesadas externas.
Esto significa que los terceros deben ser supervisados y evaluados con criterios similares a los que se aplican a los empleados internos, ya que pueden tener acceso a sistemas, datos confidenciales y recursos que, de verse comprometidos, pondrían en riesgo la seguridad y la reputación de la empresa.
Tipos de riesgos y la importancia de la seguridad de los terceros.
Una de las principales razones por las que el Compliance 2.0 debe empezar por los terceros es que estos están expuestos a amenazas similares a las de cualquier departamento interno.
Un proveedor con una seguridad digital débil, por ejemplo, puede ser el punto de entrada de ataques o fugas de datos. Además, un fallo ético o normativo de un tercero puede comprometer la reputación y las operaciones de la empresa principal.
¿Y cuáles son los riesgos más comunes al trabajar con proveedores externos?
- Riesgos de ciberseguridad.
- Riesgos de cumplimiento normativo.
- Riesgos financieros.
- Riesgos reputacionales.
- Riesgos operativos.
- Riesgos estratégicos.
En este contexto, gestionar a los terceros significa gestionar la extensión de la seguridad y de la ética empresarial.
Pasos para implantar un Compliance 2.0 eficaz
Entonces, ¿cómo puede ejecutarse el Compliance 2.0 de forma eficaz en una empresa?
- Identificación y evaluación de los terceros críticos
Para implantar un programa de Compliance 2.0 sólido, el primer paso
es identificar a los terceros que representan un mayor riesgo. Pueden
ser proveedores de servicios clave, como empresas de TI o
consultoras, que manejan información sensible.
Es esencial que cada empresa evalúe a sus terceros en términos de
seguridad, ética y capacidad para cumplir la normativa exigida en el
sector. - Supervisión continua y herramientas de evaluación de riesgos
La supervisión y la evaluación de terceros no deben ser procesos puntuales,
sino continuos. A medida que evolucionan las amenazas, también lo hacen
los riesgos asociados a cada proveedor.
El uso de herramientas de software de compliance, como las que ofrece
Trusty, permite hacer un seguimiento continuo de los riesgos asociados a
cada tercero y detectar con rapidez cualquier comportamiento irregular o
incumplimiento. - Cultura, transparencia y comunicación en toda la cadena de suministro
Construir una cultura de compliance eficaz también debe extenderse a los terceros. Esto implica transmitir a proveedores y socios la importancia de respetar las mismas normas y prácticas éticas.
Las empresas pueden fijar requisitos específicos en los contratos y formar a sus socios en buenas prácticas de compliance, seguridad y gestión de datos. Al fomentar una cultura de compliance en toda la cadena de suministro, se garantiza que los terceros entiendan los estándares de la empresa y estén mejor preparados para proteger sus intereses.
Por tanto, ser transparentes con los terceros, comunicarse con ellos de forma regular y realizar evaluaciones periódicas ayuda a prevenir problemas y a promover la confianza mutua, evitando brechas de seguridad.
Beneficios de un Compliance 2.0 centrado en los terceros
Adoptar un enfoque de compliance centrado en los terceros no solo mitiga riesgos, sino que también ofrece ventajas competitivas. Las empresas con programas de compliance sólidos pueden atraer a socios y clientes que valoran la seguridad y el cumplimiento ético. Además, un sistema bien implantado mejora la eficiencia operativa, minimiza el riesgo de sanciones y refuerza la reputación corporativa.
En definitiva, el Compliance 2.0 reconoce que las empresas ya no están aisladas, sino que operan en un entorno interconectado en el que los terceros desempeñan un papel crucial. Gestionar los riesgos de terceros es esencial para proteger los activos, la reputación y el cumplimiento normativo de una empresa.
Las soluciones de Trusty pueden facilitar el proceso de creación de un ecosistema seguro y conforme. Los sistemas de whistleblowing que ofrece Trusty permiten a las empresas implantar políticas claras de ética y compliance, al tiempo que fomentan un canal de comunicación seguro y anónimo. Para la evaluación de terceros, QuickScreen360 aplica este enfoque de Compliance 2.0 siguiendo las buenas prácticas antifraude de la ACFE.
Preguntas frecuentes
Un enfoque estratégico que va más allá de las normas internas. La empresa construye un sistema integral de protección y ética que abarca a sus empleados y a todas las partes interesadas externas, y supervisa y evalúa a los terceros con criterios similares a los que aplica a los empleados internos.
Porque ahí se concentra gran parte del riesgo. El Data Breach Investigations Report de Verizon sitúa el 62 por ciento de las brechas de datos en proveedores externos, más del 80 por ciento de las empresas comparte datos sensibles con terceros y el 98 por ciento de las organizaciones está conectado con al menos un proveedor que ha sufrido una brecha en los dos últimos años.
Riesgos de ciberseguridad, de cumplimiento normativo, financieros, reputacionales, operativos y estratégicos. Un proveedor con una seguridad digital débil puede ser el punto de entrada de ataques o fugas de datos, y un fallo ético o normativo de un tercero puede comprometer la reputación y las operaciones de la empresa principal.
Identificar y evaluar a los terceros que representan un mayor riesgo, supervisarlos de forma continua con herramientas de evaluación de riesgos en lugar de controles puntuales, y extender la cultura de compliance a toda la cadena de suministro mediante requisitos contractuales, formación y una comunicación regular y transparente.
EVALUACIÓN DE RIESGOS DE TERCEROS
QuickScreen360: evalúe los riesgos de compliance de proveedores y socios. Envíe solicitudes de diligencia debida, asigne formaciones y supervise los resultados en una sola plataforma.