La interconexión del mercado verdaderamente global, con su consabida externalización de servicios, hace que las grandes organizaciones enfrenten retos para saber cómo gestionar las relaciones con los terceros con los que se alían para hacer negocios.
En este contexto, la elección entre una plataforma GRC o TPRM, es decir, una tecnología de Gobierno, Riesgo y Cumplimiento (GRC) o una solución de gestión de riesgos de terceros (o TPRM, siglas en inglés para Third-Party Risk Management), se convierte en una decisión estratégica crucial.
La dependencia de terceros para operaciones críticas no solo abre un abanico de oportunidades, sino también un espectro de riesgos que pueden comprometer la seguridad, el cumplimiento normativo y, en última instancia, la integridad de la organización.
Echemos luz sobre el tema, para saber con qué tipo de plataforma gestionar a nuestros proveedores y mitigar estos riesgos asociados a los vendors.
GRC o TPRM, poniendo los puntos sobre las íes
¿Qué es GRC?
GRC es el marco integral que engloba el gobierno corporativo o “gobernanza” (voz traducida del inglés “Governance”), la gestión de riesgos y el cumplimiento dentro de una organización.
Su objetivo es asegurar que las estrategias, políticas y controles de la organización estén alineados para gestionar efectivamente tanto los riesgos internos como los externos.
Su acento está en atender los niveles de exposición al riesgo en una organización en general, como los financieros, los operacionales, los legales y los tecnológicos. Y sí, también los de terceros.
¿Y el TPRM?
Por otro lado, TPRM se centra específicamente en la gestión de riesgos asociados a las relaciones con terceros. Esta especialización busca proteger a la organización de las vulnerabilidades externas, garantizando que los socios, proveedores y contratistas cumplan con los estándares requeridos.
Una precisión es necesaria: a pesar de tener en el nombre lo de third o “terceros” en español, dentro de una plataforma como esta, deberías también poder auditar y gestionar a los proveedores de tus proveedores (que bien podríamos llamar “cuartas partes”).
La interrelación entre GRC y TPRM
En un ámbito corporativo cada vez más globalizado, donde más del 60% de las brechas de datos involucran a un tercero, integrar un TPRM en la estrategia de GRC de la organización es esencial.
Como se deduce de las definiciones previas, el campo de acción de GRC contiene al TPRM o la gestión de riesgos de proveedores como una de las tantas tipologías de riesgo que debe vigilar, así que esta inclusión no solo amplía la capacidad de gestión de riesgos para abarcar las amenazas externas, sino que también refuerza el marco de cumplimiento y gobernanza al considerar la cadena de suministro y las redes de socios comerciales.
Es decir, que implementando las prácticas específicas de un TPRM en un marco más amplio de GRC puedes integrar ambos enfoques para una mayor seguridad y resiliencia organizacional. Veamos cómo operativizar ambos enfoques.
Implementación práctica en el contexto internacional
La implementación de estrategias de GRC o TPRM requieren un enfoque que considere las particularidades regionales, como la diversidad de normativas y la dinámica económica. Algunas recomendaciones prácticas incluyen:
- Evaluación de riesgos: identificar y analizar los riesgos específicos que los terceros pueden introducir en la operación.
- Due diligence continua: llevar a cabo re-validaciones periódicas de los terceros para monitorear y gestionar cualquier cambio en el perfil de riesgo.
- Integración tecnológica: utilizar herramientas que permitan una visión integrada de los riesgos, tanto internos como externos, facilitando una gestión más ágil y basada en datos.
- Capacitación y conciencia: fomentar una cultura de gestión de riesgos entre los empleados y socios, enfatizando la importancia de la seguridad y el cumplimiento en todas las etapas de la cadena de suministro.
¿GRC o TPRM…? Ese, es el dilema... ¿o no?
La elección entre GRC y TPRM es, de hecho, una falsa dicotomía: no debería verse como un dilema entre dos alternativas mutuamente excluyentes, sino como la oportunidad de integrar la gestión de riesgos de terceros dentro de un marco de GRC amplio y holístico.
Entendemos que, como tomador de decisión, necesitas algo más que esto para justificar tu postura; pues bien, básala en estos dos factores críticos:
- Tamaño y naturaleza de la organización: grandes corporaciones con operaciones globales podrían beneficiarse más de un sistema GRC integrado que ofrezca una visión completa del panorama de riesgos que, como ya hemos dicho, puede incorporar a los múltiples proveedores (e incluso a sus proveedores, las “cuartas partes”).
- La dependencia de terceros: las organizaciones con una extensa red de socios y proveedores pueden encontrar en las soluciones TPRM una herramienta especializada para abordar riesgos específicos de manera más eficiente, sin perder foco en las otras funciones de GRC, si consideran que el riesgo inherente de sus operaciones es relativamente bajo al no considerar a los proveedores.
Si el o los mayores riesgos que enfrenta tu organización reside en los proveedores, quizás entonces requieras más de un TPRM digamos “aislado” que de una integración más robusta de este enfoque dentro del universo de GRC.
Pero también debes considerar el crecimiento que puede llegar a experimentar la organización, es cuyo caso aumentará su nivel de exposición al riesgo y entonces, quizás sea buena idea adelantarte e ir implementando el enfoque GRC completo.
¿Entonces…?
Lo dicho: la implementación efectiva de estrategias de GRC y TPRM impacta positivamente en la capacidad de las organizaciones para gestionar sus riesgos, asegurar el cumplimiento (de tu organización frente a reguladores, así como de los proveedores con tu organización a nivel contractual). En última instancia, ambos enfoques fortalecen la competitividad y resiliencia organizacional.
Para los directores de gestión de proveedores, tomar una decisión informada sobre si implementar una solución GRC o TPRM es fundamental para navegar con éxito en el dinámico entorno de negocios actual, garantizando la integridad y la sostenibilidad de sus operaciones.
En ORCA, tras 20 años de experiencia en soluciones de Gobierno Riesgo y Cumplimiento, hemos desarrollado un modelo de control de proveedores y, a partir de él, creamos el descargable ¿Qué tan maduro es tu modelo de control de proveedores?, que puede ser una primera aproximación a esta reflexión, para que conozcas grosso modo algunas de las prácticas que caracterizan a las organizaciones en los cinco niveles que identificamos.
Obtenlo haciendo clic abajo, ¡así de fácil!
.svg){kind=small}
.svg){kind=small}
.svg){kind=small}
