El riesgo del proveedor

No se audita igual a todos los proveedores. El que hospeda la base de clientes o integra por API con el portal es criticidad alta: cuestionario, evidencias de sus controles, cláusulas y monitoreo. El que solo tiene una herramienta interna con poco dato es medio. La cafetería del edificio es bajo: registro y poco más. Pedir un informe de controles completo a la cafetería es ruido; pedir solo un logo de «cumple una norma» a quien guarda tus clientes es negligencia. El esfuerzo sigue a la criticidad, igual que en el inventario propio.

Clasificar al tercero por lo que toca es lo que dirige el due diligence: sin eso, se pide demasiado a quien no importa y muy poco a quien lo es todo.

El SaaS de analítica de Cumbre, MetricaViva, tiene acceso por API a la base de clientes para leer eventos del producto. Al pedir el contrato de tratamiento de datos —el que fija qué puede hacer con esos datos, dónde los guarda y qué pasa si hay un incidente— resulta que no existe: la integración se montó y nadie firmó nada. Un tercero con acceso a datos de clientes y sin contrato que lo gobierne es un riesgo alto sin tratar: si MetricaViva sufre una fuga, Cumbre responde por datos que entregó sin ninguna condición escrita.

El acceso técnico ya está concedido; lo que falta es el marco que dice qué puede y qué no. Ese vacío es el hallazgo, no un trámite pendiente.

La decisión sobre un tercero tiene tres salidas. Go: el riesgo es aceptable como está. No-go: el riesgo es inaceptable y no se contrata o se corta —por ejemplo, un proveedor que exige admin global en el sistema de identidad sin MFA ni registros—. Go con condiciones: se sigue, pero atado a requisitos —contrato firmado, sin datos sensibles en los eventos, aviso de incidente en un plazo, derecho a cuestionario anual—. Para MetricaViva, la salida sensata no es cortar a ciegas ni seguir como está: es condicionar.

Registrar la decisión con fecha y con quién la patrocina es lo que la vuelve auditable: un «go con condiciones» sin las condiciones escritas es un «go» disfrazado.

La verificación del módulo no se aprueba leyendo: se aprueba sacando un dato del registro. Abre el registro de terceros de Cumbre y aísla el proveedor crítico que tiene acceso a datos de clientes y no tiene contrato de tratamiento firmado. La fila de ese proveedor lleva anotado un código de la sala.