El programa de TPRM de una empresa global de productos de consumo tenía una documentación de gobernanza madura: una matriz RACI para cada relación con proveedores de nivel 1, un documento de marco de gobernanza que especificaba los derechos de decisión, un procedimiento de escalamiento con plazos definidos y una política de gestión de proveedores aprobada por el consejo de administración. Cuando un proveedor crítico de plataforma de comercio electrónico comunicó a las 7 p. m. de un martes una violación que afectaba a los datos de pedidos de los clientes de la empresa, la respuesta de gobernanza estructurada que prometía la documentación se sustituyó por un escalamiento circular de tres horas. La unidad de negocio responsable de la relación con el proveedor escaló al equipo de TI porque la violación afectaba a sistemas. El equipo de TI escaló al equipo de GRC porque la notificación de violaciones era una obligación de cumplimiento. El equipo de GRC preguntó a la unidad de negocio si la cláusula contractual de notificación exigía un aviso con treinta días de antelación o una notificación inmediata. La unidad de negocio no lo sabía: el contrato estaba en el sistema de gestión documental del equipo jurídico y nadie tenía las credenciales de acceso. El contacto de emergencia del equipo jurídico no estaba disponible. A las 10 p. m., tres horas después del inicio del incidente, la organización no había determinado su obligación de notificación, no había llamado al proveedor para escalar y no había informado al CISO. La matriz RACI describía las funciones con precisión. Ninguna de las personas que ocupaban esas funciones tenía el conocimiento, la autoridad ni el sentido personal de responsabilidad para actuar con decisión sin esperar a que otro diera el primer paso.
¿Qué son realmente las brechas de responsabilidad en la gobernanza?
La responsabilidad en la gobernanza es el sentido personal de obligación y pertenencia, que siente una persona concreta, de garantizar que una relación con un proveedor se gobierna con eficacia, que los riesgos se gestionan y que, cuando algo sale mal, se actúa con decisión sin esperar permiso ni instrucciones. Es distinta de la gobernanza documentada, que especifica funciones, responsabilidades, procedimientos de escalamiento y derechos de decisión en marcos y matrices. La gobernanza documentada dice a las personas qué hacer. La responsabilidad personal las motiva a hacerlo a las 11 p. m. de un martes sin tener delante una matriz RACI.
El problema de la documentación sin interiorización es la brecha. Los marcos de gobernanza, las matrices RACI y los procedimientos de escalamiento los crean equipos que entienden los requisitos de gobernanza y los documentan con cuidado. Las personas a las que asignan funciones los leen, si es que los leen, en el contexto de una formación sobre gobernanza, no en el contexto operativo de una violación en un proveedor. Cuando se produce la violación, las personas con funciones documentadas plantean preguntas al marco de gobernanza en lugar de actuar a partir de una responsabilidad interiorizada. Se consulta el marco. La consulta retrasa la acción.
El problema de la dilución de la responsabilidad distribuida agrava la brecha documental. Cuando la responsabilidad de gobernanza se reparte entre varios equipos (unidad de negocio, TI, GRC, área jurídica), cada equipo tiene una responsabilidad parcial y plena capacidad para escalar a otro equipo. La dilución de la responsabilidad que la sociología describe en los contextos de grupo se aplica directamente a la gobernanza documentada: cuando todos son responsables de una parte del problema, nadie se siente plenamente responsable del resultado global. La unidad de negocio escala porque afecta a sistemas. TI escala porque afecta al cumplimiento. GRC escala porque el contrato es con la unidad de negocio. Tres horas de escalamiento no producen ninguna acción.
- Documentación sin interiorización: funciones RACI asignadas pero no asumidas personalmente
- Responsabilidad distribuida que facilita la dilución: varios responsables parciales que permiten escalarlo todo
- Contrato inaccesible durante el incidente: el conocimiento de gobernanza no está disponible en la práctica
- Ninguna persona responsable de la relación en su conjunto: todos responden de una parte, nadie del conjunto
- Procedimiento de escalamiento que sustituye a la acción decidida: se consulta el marco en lugar de ejercer la responsabilidad personal
Por qué es importante
Las brechas de responsabilidad en la gobernanza son importantes para TPRM porque una gestión eficaz del riesgo de proveedores, sobre todo en situaciones de alto impacto como los incidentes de seguridad en proveedores, requiere personas que asuman personalmente el resultado y actúen con decisión. Los exámenes regulatorios de los programas de gobernanza de proveedores preguntan cada vez más no solo si existen marcos de gobernanza, sino si producen una supervisión eficaz: si las personas con funciones de gobernanza las ejercen activamente y si los incidentes se gestionan con la urgencia adecuada. Un programa con una documentación perfecta y un escalamiento circular de tres horas ante una violación ha demostrado la brecha entre ambas cosas.
La consecuencia sobre los plazos de notificación es el costo operativo más tangible de las brechas de responsabilidad. El plazo de setenta y dos horas para notificar violaciones del GDPR, los requisitos de notificación de incidentes de los servicios financieros y las obligaciones contractuales de notificación tienen plazos concretos que empiezan con eventos desencadenantes definidos. Un período de escalamiento de tres horas en el que no se toma ninguna medida sustantiva consume una parte significativa de esos plazos. La responsabilidad personal que habría producido una acción inmediata (alguien que hubiera llamado al CISO desde el estacionamiento) es la realidad de gobernanza que ningún marco puede crear a base de documentarla.
Dónde se equivocan la mayoría de los equipos
El error más habitual es creer que la gobernanza documentada es una gobernanza eficaz. La documentación especifica. La responsabilidad ejecuta. Ambas son necesarias. Ninguna sustituye a la otra. Los programas que producen una documentación de gobernanza excelente sin comprobar si existe realmente la responsabilidad que esa documentación presupone son programas con gobernanza sobre el papel y brechas en la práctica.
- Creer que la gobernanza documentada es una gobernanza eficaz
- La responsabilidad no se pone a prueba antes del incidente que la requiere
- Contrato inaccesible en la práctica para los responsables de gobernanza
- Procedimiento de escalamiento como sustituto de la responsabilidad personal
- Ninguna persona responsable de la relación en su conjunto
Cómo se ve una buena práctica
Los programas maduros de responsabilidad en la gobernanza complementan la documentación con responsables designados que han revisado personalmente el contrato, conocen las obligaciones de notificación y han ejercitado las vías de escalamiento en ejercicios de simulación antes de que un incidente real las requiera.
- Responsable designado que ha leído personalmente el contrato
- Ejercicio de simulación que comprueba si la gobernanza documentada produce una acción real
- Contrato accesible en la práctica: el responsable tiene acceso directo en todo momento
- Sesión informativa sobre responsabilidad personal: los responsables reciben una explicación de sus responsabilidades en lenguaje sencillo, no solo la matriz RACI
- Resumen de la obligación de notificación en un documento que el responsable pueda encontrar en cinco minutos durante un incidente
Herramientas
Manuales de respuesta a incidentes: manuales de IR específicos de cada proveedor con resúmenes accesibles del contrato
Los manuales de respuesta a incidentes específicos de cada proveedor que incluyen las obligaciones contractuales de notificación, los contactos de escalamiento y resúmenes de la autoridad de decisión, accesibles para el responsable sin tener que navegar por sistemas de gestión documental, proporcionan el conocimiento práctico de gobernanza que las matrices RACI describen pero no hacen accesible en la práctica. Para los profesionales de TPRM, crear para cada proveedor de nivel 1 una ficha de incidentes de una página que resuma el responsable, la obligación de notificación y la vía de escalamiento proporciona el ancla de responsabilidad accesible que la documentación no ofrece.
Programas de ejercicios de simulación: orientaciones de FEMA sobre ejercicios de simulación, plataformas de simulación de crisis
Los ejercicios de simulación de escenarios de violación en proveedores comprueban si las funciones de gobernanza documentadas se traducen en una acción decidida real, y revelan los bucles de escalamiento, las carencias de conocimiento y la dilución de la responsabilidad que la documentación oculta. Para los profesionales de TPRM, realizar ejercicios de simulación anuales de violaciones en proveedores que pongan a prueba específicamente los procedimientos de escalamiento documentados proporciona la validación de la responsabilidad que la revisión documental no puede ofrecer.
Desafíos de gobernanza
El desafío de gobernanza de las brechas de responsabilidad es que son invisibles en una revisión documental. Una revisión de la matriz RACI confirma que las funciones están asignadas. Solo las pruebas de respuesta a incidentes revelan si quienes ocupan esas funciones tienen el conocimiento, el acceso y el sentido de pertenencia personal para ejercerlas sin alguien que les guíe en materia de gobernanza durante un incidente real. La inversión en ejercicios de simulación y en sesiones informativas sobre responsabilidad personal es la que revela y cierra la brecha antes de que el incidente lo exija.
- Designar un único responsable para cada relación con proveedores de nivel 1
- Informar personalmente al responsable, no limitarse a asignarle la función en la matriz RACI
- Asegurarse de que el responsable ha leído el contrato y conoce las obligaciones de notificación
- Crear una ficha de incidentes de proveedores de una página: responsable, obligación de notificación, contactos clave
- Realizar ejercicios de simulación anuales: comprobar si la gobernanza documentada produce una acción real
Si usted forma parte de un equipo pequeño
Elija a su proveedor de mayor riesgo y realice una prueba de responsabilidad de diez minutos. Haga dos preguntas a la persona que la matriz RACI designa como responsable: ¿cuál es la obligación de notificación de su contrato con este proveedor si sufre una violación que afecte a nuestros datos? ¿Y a quién llamaría primero en la organización del proveedor si se comunicara una violación esta noche a las 7 p. m.? Si alguna de las respuestas es “tendría que comprobarlo” o “no estoy seguro”, ha encontrado la brecha de responsabilidad. La solución no es más documentación: es una conversación de treinta minutos con el responsable, acceso al contrato y una ficha de incidentes de proveedores que pueda encontrar sin credenciales de acceso.
- Realizar una prueba de responsabilidad de diez minutos: obligación de notificación y primera llamada de escalamiento
- Crear una ficha de incidentes de una página para cada proveedor de nivel 1
- Asegurarse de que el responsable ha leído el contrato y conoce las obligaciones de notificación
- Realizar un ejercicio de simulación anual que ponga a prueba los procedimientos de gobernanza documentados
Qué exigir
Pregunte directamente:
“¿Quién es la persona de su organización que responde personalmente de nuestra relación como proveedor, la que llamaría directamente a nuestro responsable si a las 7 p. m. de un martes se descubriera una violación que afectara a nuestros datos, y la que se aseguraría de que se cumple la obligación contractual de notificación sin esperar a que concluya un escalamiento interno?”
Evidencia que debe esperar
- Persona designada responsable de la relación en su conjunto
- Datos de contacto directo: número de celular para notificar incidentes fuera del horario laboral
- Confirmación de que conoce las obligaciones contractuales de notificación
- Procedimiento de escalamiento que empieza por la responsabilidad personal y no por el procedimiento documentado
A un proveedor con un marco de gobernanza bien documentado se le debe pedir que nombre a la persona que hace la llamada de las 11 p. m. El marco describe la estructura. La persona que hace la llamada es la responsabilidad.
Cómo demostrarlo
- Registros de designación de responsables
- Documentación de la ficha de incidentes de proveedores
- Registros de los ejercicios de simulación
- Documentación de las sesiones informativas sobre responsabilidad
Conclusión clave
Las brechas de responsabilidad en la gobernanza son el espacio entre lo que el marco dice que debe ocurrir y lo que realmente ocurre a las 11 p. m. de un martes, cuando llega la notificación de la violación y nadie tiene las credenciales para acceder al contrato. La matriz RACI asignó correctamente las funciones. El procedimiento de escalamiento describía los pasos con precisión. La política aprobada por el consejo expresaba claramente la intención. Ninguno de esos documentos contenía el sentido personal de pertenencia que habría producido una sesión informativa al CISO a las 7:05 p. m., una llamada al director ejecutivo del proveedor a las 7:15 p. m. y una revisión del contrato a las 7:30 p. m. Designe al responsable. Infórmele personalmente. Dele el contrato. Dele la ficha de incidentes de una página. Ponga a prueba la responsabilidad antes de que el incidente la requiera. La gobernanza documentada describe lo que debería ocurrir. La responsabilidad personal produce lo que realmente ocurre. Ambas importan. Solo una puede ponerse a prueba antes de que se necesite.