En una empresa de tecnología financiera, la gobernanza de un proveedor crítico de datos de API estaba repartida entre tres funciones de la organización, cada una con una responsabilidad legítima sobre distintos aspectos de la relación. El equipo de desarrollo de negocio gestionaba la relación comercial: renovaciones de contrato, negociación de precios y revisiones del desempeño comercial. El equipo de integración tecnológica gestionaba la conexión técnica: configuración de API, gestión del pipeline de datos y resolución de problemas técnicos. El equipo de TPRM gestionaba la evaluación de riesgos: cuestionarios anuales, puntuación de riesgos y gestión de hallazgos. El reparto había sido intencionado: cada equipo tenía conocimientos distintos sobre distintas dimensiones de la relación. Cuando el proveedor de API comunicó un incidente de seguridad por correo electrónico al contacto técnico un viernes por la tarde, el retraso de seis horas en la respuesta de la organización que siguió no fue un fallo de ningún equipo concreto: fue la consecuencia previsible de un modelo de gobernanza que había repartido la responsabilidad de cada dimensión de la relación sin designar un único punto de responsabilidad para los incidentes. El contacto técnico reenvió el correo a la dirección de TI. La dirección de TI llamó al responsable de TPRM. El responsable de TPRM preguntó si la unidad de negocio había invocado la cláusula contractual de notificación. La unidad de negocio no había recibido el correo. Cuando se coordinó la respuesta al incidente, habían pasado seis horas desde la notificación del proveedor, horas que, conforme al GDPR, contaban para el plazo de notificación de setenta y dos horas.
¿Qué es realmente la ambigüedad en la responsabilidad de gobernanza?
La ambigüedad en la responsabilidad de gobernanza en las relaciones con proveedores es la ausencia de un único responsable de la relación global con el proveedor: la persona o función encargada de garantizar que la relación funcione según lo previsto, que los riesgos se gestionen en todas las dimensiones y que el escalamiento y la respuesta se coordinen cuando surjan problemas. En la práctica, la mayoría de las relaciones con proveedores están repartidas entre varias funciones de la organización: los equipos comerciales gestionan los contratos, los equipos técnicos las integraciones y los equipos de riesgos las evaluaciones. La ambigüedad surge en los puntos en los que deben coordinarse esas responsabilidades funcionales: la respuesta a incidentes, la evaluación de cambios relevantes, la renovación de contratos con requisitos de seguridad y el escalamiento de la gobernanza.
La brecha RACI es el mecanismo estructural que produce la ambigüedad en la responsabilidad. Las matrices RACI de gobernanza de proveedores especifican quién es responsable de ejecutar, quién rinde cuentas, a quién se consulta y a quién se informa en cada actividad de gobernanza de proveedores. Los marcos RACI bien diseñados definen claramente quién rinde cuentas de cada actividad. La ambigüedad surge cuando distintas actividades de gobernanza tienen distintos responsables y ninguna función rinde cuentas de la integración de esas actividades: de garantizar que el responsable contractual sepa lo que sabe el responsable técnico y que los hallazgos del responsable de riesgos lleguen al responsable comercial cuando se toman las decisiones de renovación del contrato.
El problema de la coordinación de la respuesta a incidentes es la consecuencia operativa más visible de la ambigüedad en la responsabilidad de gobernanza. La respuesta a incidentes requiere una acción rápida y coordinada en las dimensiones comercial (invocar los derechos contractuales), técnica (evaluar el impacto) y de riesgo (determinar las implicaciones regulatorias). Cuando está clara la responsabilidad de cada dimensión, pero no la de la coordinación entre ellas, la respuesta se retrasa el tiempo necesario para coordinar lo que debería haberse definido de antemano. Las seis horas del escenario inicial son un patrón de retraso habitual: no es incompetencia, sino la consecuencia previsible de un modelo de coordinación que nunca se diseñó.
- Ningún responsable único de la relación con el proveedor en su conjunto
- Responsabilidad funcional sin responsabilidad de coordinación: cada dimensión tiene responsable, pero no hay punto de integración
- La notificación de incidentes llega primero al equipo equivocado: un contacto técnico recibe una notificación de carácter comercial
- Sin coordinación de la respuesta predefinida: el flujo de respuesta a incidentes exige coordinar en tiempo real funciones que deberían estar predefinidas
- Vía de escalamiento sin probar: el modelo de coordinación no se valida antes de que un incidente lo requiera
Por qué es importante
La ambigüedad en la responsabilidad de gobernanza es importante para TPRM porque las relaciones complejas con proveedores se enfrentan inevitablemente a situaciones que requieren una respuesta coordinada: incidentes de seguridad, fallos del servicio, consultas regulatorias, disputas contractuales y cambios relevantes en el proveedor. Cada una de estas situaciones requiere que alguien asuma la coordinación de la respuesta en las dimensiones comercial, técnica y de riesgo. La ausencia de un coordinador designado convierte lo que debería ser una respuesta gestionada en una improvisada, y el tiempo necesario para la coordinación puede tener relevancia regulatoria o contractual.
El problema del plazo de notificación regulatoria es la ilustración más clara de por qué el retraso en la coordinación tiene consecuencias tangibles. El plazo de setenta y dos horas del GDPR para notificar una violación de datos empieza cuando el responsable del tratamiento “tiene constancia” de la violación. Una notificación por correo electrónico recibida por un contacto técnico que no es el responsable de la relación global pone en marcha el plazo. El retraso de seis horas hasta que se coordinó la respuesta consumió seis de las setenta y dos horas, y la investigación, la determinación regulatoria y la preparación de la notificación posteriores consumieron más. La claridad en la responsabilidad de gobernanza no evita las violaciones. Evita la pérdida de tiempo adicional que la ambigüedad en la responsabilidad crea al responder a ellas.
Dónde se equivocan la mayoría de los equipos
El error más habitual es confundir la distribución de los conocimientos funcionales con la claridad de la responsabilidad. Repartir la responsabilidad entre equipos según sus conocimientos funcionales es adecuado para la gestión diaria. Se convierte en un problema cuando ninguna función es responsable de garantizar que las piezas encajen, tanto en la gobernanza habitual como en circunstancias excepcionales.
- Confundir la distribución de los conocimientos funcionales con la claridad de la responsabilidad
- Ningún responsable único de la relación con el proveedor en su conjunto
- Coordinación de la respuesta a incidentes no predefinida: la brecha se descubre cuando llega el incidente
- Vía de escalamiento sin probar: no se ha realizado un ejercicio de simulación previo a los incidentes
- RACI sin responsabilidad de integración: cada actividad está definida, pero no hay una función responsable de la relación global
Cómo se ve una buena práctica
Los programas maduros de gobernanza de proveedores designan un único responsable para cada relación con un proveedor, un gestor de la relación con el proveedor que responde de la relación global con independencia de qué equipo se encargue de cada dimensión concreta, con un mecanismo de coordinación predefinido para la respuesta a incidentes y el escalamiento.
- Gestor designado de la relación con el proveedor: único responsable de la relación global
- Coordinación predefinida de la respuesta a incidentes: a quién se notifica, en qué orden y para qué tipos de eventos
- Vía de escalamiento probada antes de necesitarla: ejercicio de simulación o simulacro de respuesta a incidentes de proveedores
- Proceso de recepción de notificaciones: proceso definido para canalizar las notificaciones de seguridad de los proveedores al responsable, sea cual sea el miembro del equipo que las reciba
- RACI con responsabilidad global: la responsabilidad de la relación global se designa por separado de las responsabilidades funcionales
Herramientas
Plataformas de gestión de proveedores: Coupa, Jaggaer, Ivalua
Las plataformas de gestión de proveedores permiten designar responsables de las relaciones con proveedores y mantener un registro de un único responsable junto a los contactos funcionales. Para los profesionales de TPRM, asegurarse de que la plataforma de TPRM o el sistema de gestión de proveedores designe un único responsable para cada relación con proveedores críticos aporta la claridad de responsabilidad de la que carece la responsabilidad funcional distribuida.
Manuales de respuesta a incidentes: plantillas SANS IR, runbooks de PagerDuty
Los manuales predefinidos de respuesta a incidentes de proveedores especifican la secuencia de coordinación cuando se producen eventos de seguridad en un proveedor: a quién se notifica, cuál es su función y cuál es el plazo de cada paso. Para los profesionales de TPRM, desarrollar manuales de respuesta a incidentes específicos para los proveedores de nivel 1 proporciona la coordinación predefinida que una respuesta improvisada no puede ofrecer.
Desafíos de gobernanza
El desafío de gobernanza de la ambigüedad en la responsabilidad es la política organizativa de la rendición de cuentas. Designar un único responsable para una relación con un proveedor de la que varios equipos tienen responsabilidad funcional puede generar disputas de competencias sobre quién tiene autoridad en las decisiones que afectan a varias funciones. La solución de gobernanza requiere el respaldo de la alta dirección al modelo de responsabilidad y una definición clara de dónde empieza y termina la autoridad del responsable en relación con la autoridad de los equipos funcionales.
- Designar un único responsable para cada relación con proveedores de nivel 1 y nivel 2
- Definir la función del responsable en relación con las funciones de los equipos funcionales
- Predefinir la coordinación de la respuesta a incidentes para cada proveedor crítico
- Probar la vía de escalamiento antes de que un incidente la requiera
- Asegurarse de que la canalización de notificaciones llegue al responsable, sea cual sea el contacto que las reciba
Si usted forma parte de un equipo pequeño
Para cada uno de sus cinco proveedores de mayor riesgo, responda una pregunta: si llega una notificación de incidente de seguridad del proveedor un viernes por la tarde, ¿quién es la única persona responsable de coordinar la respuesta? ¿Y sabe esa persona que es la responsable? Si no puede responder con seguridad a la primera parte de la pregunta, tiene una brecha de responsabilidad en la gobernanza. Si la respuesta a la segunda parte es no, tiene la misma brecha con más documentación. Designe al responsable. Asegúrese de que lo sepa. Documente la secuencia de coordinación que pondrá en marcha.
- Designar un único responsable para cada proveedor de mayor riesgo
- Confirmar que el responsable sabe que lo es
- Documentar la secuencia de coordinación de la respuesta a incidentes
- Probar la vía de escalamiento con un escenario de simulación
Qué exigir
Pregunte directamente:
“¿Quién es el único responsable de nuestra relación en su organización, la persona encargada de garantizar que los incidentes de seguridad que afecten a nuestros datos se escalen a nuestro equipo dentro de los plazos contractuales de notificación, independientemente de qué miembro de su equipo reciba primero la notificación?”
Evidencia que debe esperar
- Responsable designado de la relación con el cliente
- Proceso de canalización de las notificaciones de incidentes: cómo llegan las notificaciones al responsable
- Plazo de escalamiento de los incidentes de seguridad hasta la notificación al cliente
- Contactos de escalamiento alternativos si el responsable principal no está disponible
En una relación con un proveedor que tiene tres responsables se debe identificar cuál de los tres responde de la relación global y de la coordinación de la respuesta a incidentes. La responsabilidad funcional distribuye los conocimientos. La rendición de cuentas designa a la persona responsable cuando esos conocimientos deben coordinarse.
Cómo demostrarlo
- Registros de designación de responsables de las relaciones con proveedores críticos
- Manuales de coordinación de la respuesta a incidentes
- Registros de las pruebas de la vía de escalamiento
- Documentación del proceso de canalización de notificaciones
Conclusión clave
Tres equipos gestionan correctamente distintas dimensiones de la relación con el proveedor. Nadie se encargó de coordinar esas dimensiones cuando el incidente lo requirió. Pasaron seis horas entre el correo del proveedor del viernes por la tarde y una respuesta coordinada de la organización. Seis horas que pusieron en marcha el plazo de notificación del GDPR. La claridad en la responsabilidad de gobernanza designa la única función responsable de coordinar las dimensiones cuando deben trabajar juntas: no sustituye a los conocimientos funcionales, sino que designa a quién garantiza que esos conocimientos se apliquen de forma coordinada y a tiempo. Designe al responsable. Asegúrese de que sepa que es el responsable. Documente lo que hará cuando llegue el correo del viernes por la tarde. Pruébelo una vez antes de que llegue.