La tercerización dejó de ser una decisión operativa para convertirse en una realidad del día a día de cientos de empresas. Desde plataformas en la nube hasta procesadores de pagos o servicios compartidos dentro de un mismo grupo empresario, cada vez más procesos críticos dependen de terceros. Esa mayor eficiencia también amplía la superficie de riesgo y obliga a las compañías a revisar cómo supervisan actividades que ya no ejecutan de manera directa. En ese contexto, la gestión de riesgos de terceros y el uso de los SOC Reports ganan protagonismo.

“Hoy en día la mayoría de las compañías tienen al menos un servicio tercerizado. Cuando vos tercerizás un proceso, lo que estás haciendo es delegando una actividad y los controles sobre la misma. Pero la responsabilidad final sigue siendo de la compañía”, explica Carolina Fernández, Socia Líder de la práctica de Technology Risk de EY Argentina, y menciona como ejemplos el uso de soluciones de software como servicio (SaaS), proveedores de procesamiento de pagos o áreas compartidas de recursos humanos y tecnología dentro de grupos económicos.

Para Rafael Montañez, Director Ejecutivo de la práctica de Technology Risk de EY Argentina, el fenómeno responde a un cambio más profundo en la forma en que trabajan las empresas. “Las empresas ya no operan aisladas. De hecho, se habla de ecosistema de empresas o de empresas extendidas. Históricamente hablábamos de proveedores, clientes, reguladores u otros socios de negocios, pero con el incremento en la tercerización de servicios, los proveedores de IT cobraron mayor relevancia dentro de ese ecosistema”, sostiene.

El desafío aparece cuando esos proveedores administran procesos sobre los que la empresa contratante ya no tiene control directo. “La compañía termina confiando controles sobre los cuales  tiene poca visibilidad. Entonces empieza a ser un desafío cómo me hago cargo de un riesgo que al final es mío, pero cuyos controles están ejecutados por otro”, resume Montañez.

Ese escenario puede traducirse en impactos concretos sobre la continuidad operativa, el cumplimiento regulatorio o la reputación de una organización. “Podés tener un framework robusto y maduro de control interno, pero si hay una falla en el tercero, al fin del día es parte de tu ecosistema de control. Vemos riesgos vinculados con ciberataques, brechas de seguridad, interrupciones de la operación, incumplimientos regulatorios o problemas en la integridad y calidad de los datos”, advierte Fernández.

SOC Reports: la herramienta clave

A eso se suma un factor que muchas compañías todavía no contemplan con suficiente profundidad: los proveedores también pueden depender de otros proveedores. “Muchas veces las organizaciones de servicio tienen una cuarta parte, es decir, el tercero del tercero. Cuando hacés la evaluación de riesgos no alcanza con controlar al proveedor directo; también tenés que entender qué parte del proceso está delegada en otro y cómo se administra ese riesgo”, señala la especialista.

En ese contexto, los SOC Reports permiten obtener una evaluación sobre los controles que están fuera de la organización. “El SOC Report es una auditoría independiente sobre los controles de las organizaciones de servicio. Les sirve a los clientes y a los auditores porque, como no tienen visibilidad del entorno de control del tercero, esta herramienta les permite acceder a esa información”, explica Montañez.

Sin embargo, ambos especialistas coinciden en que muchas empresas todavía desaprovechan el potencial de esos informes. “Muchas veces las compañías piden el SOC Report, pero no se tiene tan en cuenta el contenido. Hay que analizar que esté considerando el servicio que tenés tercerizado, la geografía correspondiente y también si la opinión vino calificada o no, porque eso puede indicar deficiencias en el control interno del proveedor”, afirma Fernández.

Montañez agrega que uno de los errores más frecuentes es interpretar el reporte como un simple certificado. “A veces se lo trata como un certificado: llegó y ya está. Pero tiene mucha información para analizar y no siempre cubre todo lo que pensamos que cubre. Hay que entender qué controles corresponden al proveedor, cuáles siguen siendo responsabilidad del cliente y, en algunos casos, cuáles dependen incluso del proveedor de infraestructura en la nube. Es como un rompecabezas donde hay que juntar todas las piezas para tener el marco de control completo”.

La irrupción de la inteligencia artificial incorpora una nueva capa de complejidad. “Las compañías están implementando inteligencia artificial, pero los terceros también. El desafío va a ser tener esas conversaciones desde el inicio para entender si el proveedor la está utilizando, cuán relevante es dentro del proceso y qué controles existen”, explica Fernández.

Más allá de la tecnología, los especialistas remarcan que la gestión de riesgos de terceros debe acompañar todo el ciclo de vida de la relación comercial. “Hay que analizar al tercero antes de contratarlo, establecer las cláusulas correspondientes durante la contratación, monitorear el cumplimiento mientras presta el servicio y, cuando termina la relación, controlar cuestiones como la destrucción de datos o la confidencialidad. Hay controles para cada etapa del ciclo de vida”, explica Montañez. Además, sostiene que el proceso debería estar centralizado en un área con visión de riesgo, aunque involucre a equipos legales, compras, auditoría interna y tecnología.

Respecto del nivel de madurez local, ambos consideran que Argentina muestra avances, aunque todavía existen desafíos. “Dentro de la región estamos bien posicionados, en parte porque la regulación ayudó a impulsar estos procesos. Lo que todavía vemos es que falta desarrollar planes de contingencia cuando, por ejemplo, un SOC Report llega fuera de término o presenta observaciones. Las compañías tienen que pensar cómo evaluar ese proceso tercerizado si no cuentan con toda la información esperada”, concluye Fernández. Para Montañez, el próximo paso será extender el monitoreo continuo no solo a los terceros, sino también a las cuartas partes y a los riesgos derivados del uso de inteligencia artificial en toda la cadena de servicios.