Auditorías bloqueadas por riesgo

Un fabricante mexicano de componentes electromecánicos para la industria automotriz, con 3.200 empleados y plantas en tres estados, exporta el 70% de su producción al mercado americano y a Alemania. Sus clientes son ensambladoras Tier-1 con estándares NIST 800-171 y TISAX. Una tarde, el director de calidad recibió un correo del segundo cliente más grande de la compañía: "En su próxima auditoría necesitamos evidencia de monitoreo continuo de riesgo cibernético de sus proveedores directos, no solo el cuestionario anual". Adjunto venían las especificaciones. La auditoría era en once semanas.

Cuando el equipo de seguridad revisó los otros contratos activos, encontró cuatro auditorías más con requisitos similares en distintas etapas de aprobación. Tres estaban bloqueadas esperando respuesta. Una había vencido y estaba en riesgo de generar una nota de incumplimiento contractual. La compañía tenía un programa de TPRM basado en un archivo Excel de 340 filas actualizado en enero de cada año con las respuestas de un cuestionario de 87 preguntas por proveedor. Nadie miraba ese archivo el resto del año.

El punto de partida real

La primera reunión con el equipo de seguridad, procurement y calidad tenía dos objetivos: entender qué esperaban los clientes exactamente y qué recursos podía asignar la compañía. Los cuatro clientes que exigían el nuevo estándar coincidían en tres cosas: querían un rating externo verificable (que ellos pudieran auditar), querían monitoreo en continuo (no anual), y querían priorización por criticidad (los 214 proveedores no valen lo mismo).

Del lado de la compañía, la restricción principal era tiempo. El equipo de seguridad tenía tres personas y ya estaba ejecutando el programa de cumplimiento ISO 27001 en paralelo. Meter una plataforma nueva no podía sumar más carga operativa que la que ya había. El Excel, por más artesanal que fuera, se manejaba en dos semanas al año. Cualquier reemplazo tenía que costar menos horas humanas, no más.

Con eso encima de la mesa sugerimos tres cosas concretas. Primero, mantener el Excel como registro legal del proceso contractual (procurement lo firma, no toca esta pieza). Segundo, sumar una capa de rating externo continuo sobre los 214 proveedores directos usando Black Kite como plataforma. Y tercero, dejar el cuestionario anual solo para los proveedores clasificados como críticos según el rating, no para todos. El resto quedaría en modo monitoreo silencioso con alertas por umbral.

La implementación por olas

El despliegue se hizo en cuatro semanas por olas de criticidad. La primera ola cubrió a los 38 proveedores marcados como críticos por procurement (tienen acceso a redes internas, procesan datos técnicos de producto, o son single-source de piezas exportadas). Se cargaron por API con sus dominios raíz, subsidiarias declaradas y direcciones IP conocidas. En 72 horas la plataforma ya devolvía scoring técnico verificable de cada uno.

La segunda ola incorporó a los 91 proveedores de segundo nivel (acceso a sistemas de procurement, contacto con datos financieros de la compañía pero sin acceso a producto). La tercera ola, los 85 restantes. Al final del mes uno, los 214 proveedores estaban en monitoreo continuo con un rating actualizado cada 24 horas.

Un ajuste importante que sugerimos hacer, y que el equipo del cliente adoptó, fue no publicar los ratings hacia adentro de la compañía. La visibilidad se limitó al comité de proveedores y a la dirección de seguridad. La razón fue evitar dinámicas de "el rating de este proveedor bajó a 65, dejemos de comprarles" sin analizar el contexto del hallazgo. Un rating bajo no siempre indica un proveedor problemático: a veces es una nueva vulnerabilidad publicada esa mañana que aún no ha sido parcheada. El rating es señal, no veredicto.

Los resultados en las revisiones de cliente

La primera auditoría bloqueada se cerró en la semana ocho, tres semanas antes del deadline. El auditor del cliente verificó los ratings en línea, cruzó dos alertas con la evidencia de mitigación aportada por procurement, y firmó el reporte. Las otras tres auditorías siguieron el mismo camino en las semanas nueve, diez y doce. Cero auditorías bloqueadas por TPRM al cierre del cuarto mes.

Un resultado colateral inesperado fue el contrato con un cliente europeo que estaba en fase de precalificación y había puesto como uno de los requisitos la visibilidad TPRM en tiempo real. Con la nueva arquitectura, esa capacidad ya existía. El contrato se firmó en el quinto mes y representa un volumen anual del orden del 8% de la facturación exportadora de la compañía.

El otro dato relevante fue tiempo de onboarding de un proveedor crítico nuevo. Antes tomaba entre cinco y seis semanas (envío de cuestionario, esperar respuesta, revisar con seguridad, aprobar). Con el rating externo automático, la primera evaluación técnica está disponible en menos de 48 horas. El equipo de procurement todavía firma el marco contractual, pero la parte técnica de la decisión se toma con datos verificables en cinco días.

Lo que no sugerimos y por qué

Un detalle relevante: no sugerimos reemplazar el cuestionario anual con Black Kite. El rating externo mide superficie observable desde internet (certificados TLS, patch cadence pública, exposición de servicios). No mide política interna, controles físicos, ni prácticas de RRHH. El cuestionario sigue siendo necesario para los críticos, pero ahora se aplica sobre 38 proveedores en vez de 214, y el equipo lo puede procesar en dos semanas de trabajo profundo en vez de tres meses de trabajo superficial.

Tampoco sugerimos integrar el rating con el ERP de compras. La conversación surgió y decidimos no ir por ahí porque hubiera automatizado decisiones que en este contexto necesitan criterio humano (relaciones con proveedores estratégicos, contratos plurianuales, dependencias técnicas específicas). El rating alimenta el comité de proveedores; el comité decide.

Cada caso es distinto. Este fue el de este une empresa en México. El tuyo probablemente tenga otras variables. Si quieres conversarlo, puedes hablar con un especialista por 30 minutos sin obligación. [fluentform id="7"]