En la actualidad, hay muchos datos a nuestra disposición. Debido a la gran cantidad de opciones, determinar exactamente qué métricas de riesgo de terceros hay que medir y sobre cuáles hay que informar puede parecer una tarea abrumadora e interminable. Por tanto, ¿cómo puedes satisfacer a los reguladores sin pasar cada momento del día realizando evaluaciones de riesgos?

Como las directrices actualizadas del Departamento de Justicia recalcan la importancia de la actividad continua y llevan una monitorización del ciclo de vida de las relaciones con los terceros, la evaluación estática no es una opción viable. Según las directrices del Departamento de Justicia, esta es una pregunta importante: «¿La empresa participa en la gestión de riesgos de terceros durante la vida útil de la relación o durante el proceso de incorporación?». La monitorización precisa y continua, así como el énfasis en las actividades de gestión de relaciones de apoyo que son necesarias para ejecutar dichas actividades, son ahora de manera oficial el pilar fundamental.

No importa si eres un profesional experimentado del cumplimiento normativo o si eres totalmente nuevo en el mundo de la evaluación de riesgos, hoy compartiremos contigo los tres pasos clave a la hora de gestionar y medir el riesgo de terceros.

Paso 1: Evaluación de riesgos

El primer paso en la gestión de relaciones con terceros es comprender el panorama de tus terceros de manera específica efectuando evaluaciones de riesgos. Si quieres convertirte en un negocio que se base en la confianza, proteger la reputación de tu marca y garantizar el cumplimiento normativo, tendrás que examinar y monitorizar las relaciones con tus terceros. Pero como es imposible encuestar y supervisar a cada tercero al mismo tiempo (especialmente, cuando los recursos son limitados), primero tendrás que priorizar las relaciones de mayor riesgo. Tómate el tiempo necesario para efectuar una evaluación de riesgos exhaustiva con el fin de clasificar tus relaciones con terceros y respaldar las actividades de diligencia debida.

Gestión de relaciones con terceros

Como los terceros no se rigen por la supervisión de tu organización, la importancia de la gestión de relaciones es crítica. Como primera línea de defensa, las empresas deben comprender los riesgos que presentan sus relaciones con terceros al incorporar la gestión de riesgos en las operaciones generales de la empresa. Inicia este proceso asignando un responsable de relaciones a cada tercero con el que tu organización haga negocios. Este empleado será responsable de la gestión, el mantenimiento, la evaluación y la notificación de la relación entre tu empresa y el tercero, y estas tareas clave serán esenciales para los siguientes dos pasos del proceso de supervisión de los riesgos de terceros y se detallan a continuación. Además, este profesional deberá ser confiable y estar lo suficientemente instruido como para abordar lo siguiente:

• Implementar indicadores clave de rendimiento para medir adecuadamente los objetivos y el éxito de tu equipo de gestión de riesgos a lo largo del tiempo.
• Habilitar indicadores clave de riesgo para medir los riesgos de terceros con el fin de reflejar la exposición real al riesgo.
• Iniciar un contacto regular con el tercero.
• Realizar reuniones anuales con el tercero con objeto de revisar sus obligaciones en materia de cumplimiento normativo.
• Preparar informes anuales que resuman los servicios prestados por el tercero.
• Ayudar a los responsables y al equipo directivo de la empresa con cualquier problema relacionado con terceros.

Paso 2: Diligencia debida inicial y revisión

Como el Departamento de Justicia destacó la necesidad de una «diligencia debida basada en los riesgos», tu evaluación de terceros y los indicadores clave de riesgo nunca podrán estandarizarse para ajustarse a todas las circunstancias. Una vez completada la evaluación de riesgos inicial e identificado tus relaciones de alta prioridad a partir del triaje, puedes comenzar la diligencia debida basada en riesgos de manera oficial. La actualización de 2020 a la evaluación de programas de cumplimiento corporativo establece directrices para priorizar los cuestionarios de diligencia debida y la contratación, lo que requiere que las relaciones de alto riesgo se administren de forma continua.

La actualización del Departamento de Justicia realiza la siguiente pregunta: «¿Cómo se ha ajustado el proceso de gestión de terceros de la empresa a la naturaleza y al nivel del riesgo que esta ha identificado? ¿Cómo se ha integrado este proceso en los procesos de gestión de proveedores y adquisiciones pertinentes?». Si has acabado con un pequeño grupo de terceros de alta prioridad, entonces puedes evaluarlos primero. Pero si acabas con un grupo significativo de terceros de alta prioridad, es posible que quieras volver atrás y reajustar tus criterios en el proceso de clasificación. Recuerda que el Departamento de Justicia examinará tus procesos, por lo que deberás ser capaz de explicar tus acciones y mostrar tu trabajo.

Paso 3: Informes continuos de riesgos de terceros

En EE. UU., algunos anuncios antiguos de teletienda usaban la coletilla de «configúralo y olvídate del resto». Era una frase que se usaba mucho. Desafortunadamente, si tu informe de riesgos de terceros pretende ser exacto y fiable, debe supervisarse y actualizarse de forma constante. La mentalidad de «una vez y listo» no sirve de nada. No se trata solo de un trabajo ajetreado: si se hace bien, acabará siendo la herramienta más valiosa que tendrás a tu disposición. Para determinar de modo objetivo cómo se siguen exactamente tus términos y condiciones de cumplimiento normativo, tu supervisión continua debe ser sistemática, independiente y documentarse de manera sencilla. Informar sobre tus datos se convertirá en algo natural si capturas, detallas y analizas de forma sistemática tus riesgos de terceros. Dicho esto, cualquier base de referencia mínima para la supervisión de terceros debe incluir las siguientes métricas:

• Programas de cumplimiento normativo existentes y efectividad del código de conducta
• El origen y la legitimidad de cualquier fondo que se haya pagado
• Todos los desembolsos que se hayan realizado para o de parte de la empresa
• Todos los fondos que se hayan recibido en relación con el trabajo realizado y los servicios o equipos proporcionados

¿Cómo es una evaluación exhaustiva de los riesgos de terceros?

Más allá de las métricas básicas de supervisión de terceros que se han enumerado con anterioridad, ten en cuenta la siguiente lista para obtener datos adicionales a evaluar:

• Revisión del programa de formación sobre cumplimiento normativo, tanto del contenido del programa como de los registros de asistencia, para determinar la efectividad de este
• Revisión del programa de línea directa de terceros
• Revisión del informe de gastos de los empleados en puestos o países de riesgo elevado
• Límites de gasto en regalos, viajes y entretenimiento que se ofrezcan o acepten funcionarios gubernamentales. ¿Se han excedido las cuantías?

Indicadores clave de rendimiento a tener en cuenta para un programa de gestión de riesgos de terceros exitoso

Recuerda que las métricas no terminan con tus proveedores externos, tus indicadores clave de rendimiento detallarán el éxito de tu programa con el paso del tiempo. Por tanto, es muy importante responsabilizarse del proceso documentando el impacto y la efectividad de tus métricas internas de gestión de riesgos de terceros. A continuación, se enumeran algunos de estos indicadores clave de rendimiento que deben tenerse en cuenta como punto de partida. Adapta tus métricas de gestión de riesgos a tu organización en particular.