Las empresas que operan con terceros, ya sean proveedores o contratistas, han experimentado en los últimos años cómo un error en la cadena puede salpicar a sus compañías.
Ya no basta con controlar lo que ocurre dentro de la compañía: hay que saber con quién se trabaja, qué riesgos introduce cada tercero y cómo controlar esos riegos durante toda la reación.
Para dotar al mercado de una obra de una solución comprimida en un tomo, ECIX TECH ha elaborado la obra ‘Gestión del Riesgo de Terceros: Cómo aplica la diligencia debida en el control de la cadena de suministro. Régimen jurídico y claves prácticas para las organizaciones’, siendo el vicepresidente y socio de ‘Risk & Compliance’ de la firma, Carlos Alberto Sáiz Peña, quien ha editado dicho libro.
El vicepresidente de ECIX Tech se sienta con Confilegal para adelantarnos los detalles del nuevo libro que lanzan desde la firma.
¿Cómo surgió la idea del libro?
La idea surge de una manera muy práctica. Durante estos últimos tres o cuatro años estábamos viendo de manera recurrente en muchos clientes la dificultad de gestionar y controlar su cadena de suministro, cumplir con los requisitos regulatorios, y además de mitigar los riesgos de manera real.
Ver esta situación todas las semanas, y a la vez, cómo van surgiendo normativas que regulan el fenómeno de la diligencia debida y la gestión de riesgo de terceros, hizo que me animara a coordinar esta obra.
¿Cuál es la idea central que quieren transmitir con esta obra?
La obra tiene tres ideas principales. El primero diría que es explicar el régimen jurídico de la diligencia debida y el detalle de las normativas que regulan determinadas obligaciones de control en la cadena de suministro. El siguiente es definir cuáles son los elementos y los pilares del llamado TPRM o sistema de gestión de riesgo de terceros (Third Party Risk Management) —una metodología que controla los riesgos inherentes al uso de terceros externos a la empersa como proveedores de servicios o contratistas—.
Y, por último, adentrarse en las metodologías prácticas y tecnologías que ayudan a las organizaciones a implantar de manera efectiva este tipo de sistemas para cumplir las normas y mitigar sus riesgos.
¿A qué tipo de profesionales está dirigida principalmente? ¿Quién lo tiene que leer?
Creo que la obra puede resultar interesante para los profesionales del mundo jurídico, especialmente en el entorno regulatorio, digital y compliance, y también para profesionales del mundo tecnológico y de riesgos, como especialistas de ciberseguridad, ciberriesgos, áreas de control y auditoría…
Sin duda, el fenómeno del control de la cadena de suministro afecta a muy diferentes áreas dentro de las organizaciones, especialmente en las grandes empresas.
Una obra que aborda disciplinas tan distintas como compliance, ciberseguridad, inteligencia artificial, privacidad y Derecho exige una visión multidisciplinar. ¿Cómo ha sido el proceso de elaboración del libro y qué perfiles y especialistas han participado en su desarrollo?
Efectivamente, hemos intentado que el libro tenga un enfoque multidisciplinar, y por eso los participantes en la obra son profesionales que conocen muy bien el fenómeno del TPRM desde muy diferentes puntos de vista.
Todos ellos son actualmente o han sido compañeros en Ecix. No quería que fuera una obra de capítulos sueltos, escritos por especialistas, pero que no tuvieran un hilo conductor.
Y en ese sentido creo que ha sido un acierto enfrentar el reto con compañeros a los que conozco bien y tengo cerca, ya que le han dado un sentido y una orientación muy coherente y homogénea, para que resulte una obra útil.
Además, hemos decidido autoeditarla desde Ecix, ya que somos muy conscientes de que es un tema muy dinámico y sobre el que habrá modificaciones normativas frecuentes en los próximos años, por lo que queríamos tener el control de futuras actualizaciones y próximas ediciones en adelante.
«Un incidente que suceda en la infraestructura de uno de los principales proveedores puede tener una afectación enorme para una compañía», señala Sáiz Peña.
Como hemos mencionado, la publicación aborda conjuntamente cumplimiento normativo, ciberseguridad, inteligencia artificial y privacidad. ¿Ya no tiene sentido gestionar estos riesgos de forma separada?
Existen varios modelos de gestión en las compañías para enfrentar esta realidad, algunos más centralizados, y otros más atomizados.
Las áreas de compras o procurement suelen tener la responsabilidad y el contacto con los proveedores, su proceso de homologación, la gestión de pedidos y facturas, las condiciones de compra…
Pero la aparición de normativas que obligan a conocer de forma previa a una contratación el nivel de garantías que un proveedor puede ofrecer, en términos de privacidad, ciberseguridad, compliance, derechos humanos, IA, etc., ha hecho que resulte necesaria la intervención de figuras especialistas como el DPO, CISO, Compliance Officer, Asesoría Jurídica o Sostenibilidad/ESG.
Por otro lado, es muy importante definir qué es un “tercero” para una compañía. Está claro que los proveedores son una figura que encaja claramente, pero en muchas industrias y sectores, existen otros terceros sobre los que es necesario realizar esta labor de diligencia debida y gestionar su riesgo, por ejemplo los agentes para una compañía de seguros, los partners comerciales para una empresa tecnológica, o las franquicias para el sector de retail o restauración.
¿Hasta qué punto ha cambiado en los últimos años la responsabilidad de las empresas sobre lo que ocurre en su cadena de suministro?
Vivimos un momento donde es más importante que nunca conocer con qué organizaciones nos relacionamos.
La globalización económica, la externalización de servicios a compañías en cualquier lugar del mundo, la dependencia tecnológica y energética, la gestión de la soberanía operacional y autonomía para la continuidad de nuestros servicios ante elementos adversos, entre otros, han impulsado la aparición de nuevas obligaciones normativas para que las compañías vean esa diligencia debida, no como una buena práctica, sino como un requisito regulatorio.
Un ejemplo que vemos todas las semanas es como los incidentes de seguridad y las brechas de datos se suceden en empresas que forman parte de la cadena de suministro de grandes corporaciones.
Los procesos y los clientes de esa gran corporación se ven afectados, en cambio, el propio incidente ha ocurrido en una infraestructura que no es suya y no gestiona, sino que es de un proveedor que le presta un servicio. De esa realidad surgen obligaciones en normativa como DORA, NIS2, el propio RGPD o el AI Act.
Uno de los conceptos centrales de la obra es la diligencia debida. ¿Qué significa realmente aplicar una diligencia debida eficaz sobre proveedores y terceros?
Precisamente esa es una de las grandes preguntas que se abarcan en la obra: ¿hasta dónde debe llegar esa diligencia debida?
Creo que todo el mundo sabe ya que firmar un buen contrato es necesario, pero no suficiente. Las organizaciones que toman este reto en serio necesitan implantar un sistema que equilibre el cumplimiento de los requisitos normativos, con una real mitigación de los riesgos que se asumen en cada relación con un tercero.
En el libro profundizamos en diferentes metodologías para poder medir los riesgos con cada uno de los terceros, y de esta manera poder aplicar sistemas de control proporcionales a ese riesgo.
«No solo basta con inventariar los sistemas de inteligencia artificial que se compran y utilizan por los empleados: también hay que detectar cómo los proveedores hacen uso de la IA», explica el vicepresidente de ECIX TECH.
La implantación de un sistema de TPRM tiene que conjugar todas esas características: diferentes niveles de riesgos por diferentes proveedores, diferentes obligaciones legales ante diferentes realidades de servicios que nos prestan, montar un sistema que no paralice el negocio, pero que no sea un absurdo requisito administrativo que no aporte un valor real, aplicar automatizaciones y obtener información en tiempo real, tener una trazabilidad de todas las acciones de ese proceso para poder actuar rápidamente, cuando suceda, un incidente o problema, etc.
La inteligencia artificial está entrando también en las relaciones con proveedores y prestadores de servicios. ¿Qué nuevos riesgos introduce y qué controles deberían empezar a incorporar las empresas para conocer cómo utilizan sus terceros estas tecnologías?
Sin duda, este es uno de los grandes temas de moda, que se ha colocado en la agenda de la gestión de riesgos globales en las compañías.
En pocos meses las organizaciones se han dado cuenta de que no solo basta con inventariar los sistemas de inteligencia artificial que se compran y utilizan por los empleados, sino también en detectar cómo los proveedores, de todo tipo, hacen también uso de sus sistemas de IA a la hora de prestar servicios a la empresa.
Estamos viendo que de hecho es un tema que afecta a todo tipo de ámbitos en relación con la cadena de suministro: servicios tecnológicos, legales, comerciales, de marketing, operacionales, de atención, a clientes, consultoría, etc.
El reglamento europeo de IA ya incorpora diversas obligaciones para proveedores de modelos y sistemas de IA a la hora de venderlos a sus clientes, denominados responsables de despliegue.
Pero existen riesgos más allá de esta realidad, cuando lo que se contrata es un servicio, en cuya prestación es muy posible que se haga uso de algún sistema de IA. La transparencia, la explicabilidad, la confidencialidad y la seguridad de la información son elementos clave para formalizar un sistema de garantías entre proveedor y cliente en estos casos para preservar sus derechos e intereses.
Han querido que el libro tenga también una vertiente práctica. ¿Qué herramientas, metodologías o claves encontrará el lector para trasladar el marco jurídico y de cumplimiento a la gestión cotidiana de una organización?
El libro contiene de manera muy desarrollada gran parte de los aprendizajes que hemos tenido durante estos años, y se explica fase a fase qué aspectos prácticos deben considerarse para definir e implantar un sistema de control de cadena de suministro por cualquier organización.
Asimismo, ponemos diversos ejemplos de qué metodologías y herramientas pueden ser útiles para lograr que ese sistema no solo cumpla la normativa, sino que además sea eficiente, y esté alineado con los procesos del negocio de la entidad.
Además, hacemos especial mención a cómo la tecnología y la IA son un auténtico aliado para hacer frente a este fenómeno de la gestión del riesgo de terceros.
Según Sáiz Peña, actualmente «firmar un buen contrato es necesario, pero no suficiente».
Después de trabajar en esta obra, ¿cuál diría que es la principal conclusión que deberían extraer los consejos de administración, responsables de Compliance, departamentos jurídicos y responsables de ciberseguridad sobre la gestión de terceros?
Considero que la principal conclusión es que el perímetro de control que una organización debe llevar a cabo está más allá de las propias paredes de la organización.
Sin lugar a dudas, las relaciones con terceros y el control de la cadena de suministro se han convertido en uno de los principales dominios de la gestión de riesgos global de una compañía.
No solo existen posibles sanciones administrativas y económicas para las empresas en caso de no cumplir las obligaciones legales de diligencia debida, sino que además, pueden existir responsabilidades para los propios directivos, en el caso de no tomar decisiones y poner los medios para llevar a cabo estos sistemas de control.
En todo caso, la afectación que puede tener para una compañía un incidente que suceda en la infraestructura de uno de sus principales proveedores, puede ser enorme, en términos de reputación, continuidad de los servicios, resiliencia ante un hecho adverso, confidencialidad ante brechas de datos…
