Cuando el mayor riesgo para la continuidad del negocio no está dentro de la organización, sino en quienes hacen posible su operación.
Una organización puede invertir millones de dólares en fortalecer sus controles internos, implementar sofisticados programas de ciberseguridad y desarrollar completos planes de continuidad del negocio.
Sin embargo, todo ese esfuerzo puede verse comprometido en cuestión de horas por una falla ocurrida en uno de sus proveedores críticos.
Hoy, pocas organizaciones prestan todos sus servicios utilizando exclusivamente recursos propios. La mayoría depende, en distinta medida, de terceros para operar procesos esenciales, administrar plataformas tecnológicas, procesar información, almacenar datos o brindar servicios especializados.
Esa realidad está cambiando la manera en que las organizaciones entienden la gestión de riesgos.
Durante muchos años, la gestión de proveedores estuvo asociada principalmente a procesos de compras, negociación de precios, cumplimiento de contratos y evaluación del desempeño.
Hoy esa visión resulta claramente insuficiente.
La transformación digital, la tercerización de procesos, la adopción de servicios en la nube y la creciente especialización de las organizaciones han incrementado significativamente la dependencia de terceros para desarrollar actividades esenciales del negocio. Como consecuencia, una parte importante de los riesgos que pueden afectar la continuidad de una organización ya no se encuentra dentro de sus propias instalaciones, sino fuera de ellas.
La pregunta que deberían formularse hoy los Directorios y la Alta Dirección ya no es si la organización tiene identificados a sus principales proveedores. La verdadera pregunta es:
¿Qué ocurriría con nuestra organización si mañana dejara de operar uno de los proveedores que sostiene nuestros servicios más importantes?
Para muchas organizaciones, la respuesta resulta incómoda. No porque desconozcan quiénes son sus principales proveedores, sino porque nunca han evaluado con suficiente profundidad cuánto depende realmente la continuidad de sus servicios de la capacidad de respuesta de esos terceros.
Esa brecha es precisamente la que buscan cerrar los modelos modernos de gestión del riesgo de terceros y de resiliencia operacional.
La resiliencia de una organización nunca será superior a la resiliencia de los proveedores que sostienen sus servicios críticos.
Lo que muestran los estudios internacionales
La gestión del riesgo de terceros ha dejado de ser un asunto exclusivamente operativo para convertirse en una prioridad estratégica.
El Global Third-Party Risk Management Survey 2026 de KPMG identifica que la ciberseguridad, la resiliencia operacional y el cumplimiento regulatorio son actualmente los principales factores que impulsan el fortalecimiento de los programas de gestión de riesgos de terceros.
Asimismo, los estudios de EY muestran que las organizaciones más maduras realizan monitoreo continuo, evalúan escenarios de interrupción, desarrollan estrategias de salida (exit strategies) y consideran también los riesgos asociados a los proveedores de sus propios proveedores (fourth parties).
Estas conclusiones reflejan una tendencia clara: la gestión de terceros ya no consiste únicamente en seleccionar buenos proveedores, sino en comprender cómo su desempeño puede afectar la continuidad de los servicios críticos y el logro de los objetivos estratégicos.
Cuando un proveedor paraliza miles de organizaciones: el caso CrowdStrike
En julio de 2024, una actualización defectuosa del software de CrowdStrike provocó una interrupción masiva en millones de equipos Windows alrededor del mundo.
No fue un ataque cibernético, ni un desastre natural, ni una falla de las organizaciones afectadas. Fue un incidente originado en un proveedor tecnológico crítico.
Las consecuencias fueron inmediatas: miles de vuelos fueron cancelados, hospitales suspendieron procedimientos y entidades financieras registraron interrupciones en algunos de sus servicios.
Este episodio demostró que una organización puede hacer correctamente todo aquello que depende de ella y, aun así, sufrir una interrupción significativa ocasionada por un tercero crítico.
El riesgo que muchas organizaciones no ven
Los riesgos asociados a terceros suelen permanecer invisibles hasta que ocurre una interrupción importante. Un proveedor puede verse afectado por un ciberataque, problemas financieros, conflictos laborales, errores operativos, eventos climáticos, incumplimientos regulatorios o fallas en su propia cadena de suministro.
Gestionar proveedores críticos significa comprender las dependencias que sostienen la continuidad del negocio.
Los costos de una gestión deficiente de proveedores críticos
Las consecuencias pueden ser mucho más amplias que un incumplimiento contractual.
Una interrupción en un proveedor crítico no solo puede afectar la continuidad de las operaciones. También puede comprometer el cumplimiento de compromisos con clientes y reguladores, deteriorar la reputación institucional y, en última instancia, dificultar el logro de los objetivos estratégicos de la organización.
| Impacto | Consecuencia principal |
|---|---|
| Operacional | Interrupción de procesos y servicios críticos. |
| Clientes | Deterioro de la experiencia y pérdida de confianza. |
| Financiero | Pérdida de ingresos, mayores costos y penalidades. |
| Regulatorio | Posibles incumplimientos y sanciones. |
| Reputacional | Afectación de la imagen y credibilidad institucional. |
Precisamente por ello, marcos como la ISO 22301 y regulaciones como el Reglamento para la Gestión de la Continuidad del Negocio (Resolución SBS N.° 877-2020) promueven que las organizaciones identifiquen previamente las dependencias críticas —internas y externas— que sostienen sus servicios importantes para fortalecer la capacidad de respuesta.
Seis prácticas que distinguen a las organizaciones más resilientes
1. Segmentan y clasifican a sus proveedores según su nivel de criticidad
No todos los proveedores representan el mismo nivel de riesgo ni requieren el mismo grado de supervisión.
2. Realizan procesos integrales de debida diligencia antes de contratar
La evaluación incluye aspectos financieros, operativos, tecnológicos, legales, de continuidad del negocio, seguridad de la información y cumplimiento.
3. Incorporan requisitos de gestión de riesgos dentro de los contratos
Los contratos establecen obligaciones relacionadas con niveles de servicio (SLAs), seguridad, continuidad, auditorías, notificación de incidentes y subcontratación.
4. Monitorean continuamente a los proveedores críticos
El riesgo evoluciona permanentemente y debe ser supervisado durante toda la relación comercial mediante indicadores de riesgo (KRIs) y revisiones periódicas.
5. Integran a los proveedores dentro de los ejercicios de continuidad del negocio
La capacidad de respuesta no debe asumirse; debe comprobarse mediante pruebas y ejercicios.
6. Definen estrategias de salida (Exit Strategy)
Preparan escenarios para reemplazar proveedores críticos cuando dejan de cumplir las condiciones esperadas, reduciendo tiempos de recuperación y fortaleciendo su resiliencia.
El Directorio también debería formular estas preguntas
En muchas organizaciones, la discusión sobre proveedores críticos continúa concentrándose en aspectos contractuales u operativos. Sin embargo, cuando un proveedor sostiene procesos esenciales para el negocio, su gestión deja de ser una responsabilidad exclusiva de las áreas de Compras o Tecnología para convertirse en un asunto de gobierno corporativo.
El Directorio debe comprender las principales dependencias externas de la organización y asegurarse de que existen mecanismos adecuados para gestionar los riesgos asociados.
- ¿Tenemos identificados nuestros proveedores críticos?
- ¿Qué proveedor generaría el mayor impacto si dejara de operar mañana?
- ¿Conocemos el nivel de dependencia de nuestros servicios críticos respecto de terceros?
- ¿Evaluamos periódicamente su situación financiera, tecnológica y de ciberseguridad?
- ¿Disponemos de alternativas viables para reemplazarlos?
- ¿Hemos probado estos escenarios mediante ejercicios de continuidad?
Reflexión final
Las organizaciones actuales forman parte de ecosistemas cada vez más complejos e interdependientes. La continuidad de sus servicios ya no depende exclusivamente de la fortaleza de sus procesos internos, sino también de la capacidad de respuesta de los proveedores que participan en su cadena de valor.
En un entorno caracterizado por cadenas de suministro cada vez más complejas, ecosistemas digitales altamente interconectados y una creciente dependencia de servicios especializados, la pregunta ya no es si un proveedor crítico sufrirá una interrupción.
El verdadero desafío para las organizaciones ya no es evitar que un proveedor crítico sufra una interrupción, sino estar preparadas para seguir prestando sus servicios cuando eso ocurra.
¿Quiere fortalecer la gestión de sus proveedores críticos?
En GR&P Consultores ayudamos a organizaciones a diseñar e implementar modelos de gobierno del riesgo de terceros, que incluyen la segmentación por criticidad, procesos integrales de debida diligencia, definición de requisitos contractuales (SLAs), monitoreo continuo mediante indicadores de riesgo (KRIs) y fortalecimiento de la resiliencia operacional, alineados con estándares internacionales y requerimientos regulatorios. Nuestro enfoque integra gestión de riesgos no financieros, riesgo operacional, continuidad del negocio, seguridad de la información, ciberseguridad y resiliencia operacional, con el propósito de fortalecer la continuidad de los servicios críticos y contribuir al logro de los objetivos estratégicos.
Solicitar una reunión