Auditoría de proveedores

Un documento de seguridad de un proveedor vale por lo que cubre. Un informe independiente sobre la infraestructura base de un proveedor no dice nada del servicio concreto que tú contratas si este corre en otra capa o en otros sistemas. Y una autodeclaración, aunque honesta, es la palabra del proveedor, no la comprobación de un tercero. Por eso la primera pregunta ante cualquier evidencia es doble: ¿quién la emite y qué alcance abarca?

Lee la nota de la tabla evidencias_recibidas sobre la columna cubre_el_servicio_contratado.

El derecho a pedir evidencia o a auditar debe estar en el contrato antes de necesitarlo. Sin esa cláusula, lo que el proveedor te entregue es voluntario. En un proveedor de baja criticidad puede aceptarse; en uno crítico, que además maneja datos sensibles, es una brecha de gobierno que se corrige en la próxima renovación o con un anexo.

Cruza en proveedores la criticidad con el derecho a auditar.

Hay una trampa frecuente: el proveedor presenta un informe reciente, con buen aspecto, pero sobre otro ámbito, por ejemplo la nube sobre la que corre y no su propia aplicación. La fecha parece correcta y la lista de hallazgos está vacía. Lo que falta es el alcance, que es lo que se debe leer primero.

Busca en evidencias_recibidas el proveedor cuya evidencia es reciente pero no cubre el servicio contratado y no es una autodeclaración.

Una evidencia caduca. Los sistemas cambian, aparecen vulnerabilidades y un informe de hace más de un año describe un sistema que ya no existe. Para decidir cuándo pedir otro, mide los días. La fecha de la revisión es el 7 de octubre de 2026.

Calcula los días desde la fecha del informe más antiguo entre los proveedores de criticidad alta.

Con cinco proveedores y recursos limitados, no se audita todo a la vez. Se prioriza por criticidad y por el estado de la evidencia, se piden documentos concretos con plazo y se aprovecha la renovación de contrato para añadir lo que falta. Una auditoría de proveedores bien hecha termina con acciones, fechas y dueños, no con un cuadro de colores.