Toda organización grande manda cuestionarios de seguridad a sus proveedores. Cincuenta preguntas, a veces doscientas, una hoja de cálculo que vuelve contestada y un expediente que se archiva. Al año siguiente se repite. Cuando alguien pregunta qué cobertura tiene el riesgo de terceros, la respuesta suele ser el número de cuestionarios enviados.
Ese número no dice casi nada. Un cuestionario contestado es una declaración de una parte sobre sí misma, sin verificar y sin consecuencia. En el lenguaje del oficio es una manifestación, no una prueba. Sirve para abrir una conversación y para dejar constancia de que se preguntó. No sirve para concluir que el control existe.
Conviene decirlo sin cinismo. El cuestionario es una herramienta razonable y con varios cientos de proveedores es la única que cabe. El problema no es mandarlo, es tratar la respuesta como si fuera evidencia.
Un cuestionario prueba que preguntaste. No prueba nada de lo que te contestaron.
Lo que pide la norma
NIS2 incluye la seguridad de la cadena de suministro entre las medidas mínimas de gestión de riesgos y la define como los aspectos de seguridad de la relación entre la entidad y sus proveedores directos. En esa misma lista, y esto se cita mucho menos, están las políticas y los procedimientos para evaluar la eficacia de las medidas de gestión de riesgos.
Evaluar la eficacia y recoger una declaración no son la misma actividad. Esa diferencia es justo lo que separa un expediente de un control.
Seis cambios
- Segmenta antes de enviar. No todos los proveedores merecen el mismo cuestionario. Ordénalos por lo que sostienen, por los datos que tratan y por el tiempo que la organización aguanta sin ellos. Tres niveles bastan.
- Pide el artefacto, no la respuesta. Cambia «¿Hacen copias de seguridad?» por «Indique la fecha de la última restauración probada y quién la firmó». Una pregunta que se contesta con un documento vale por diez que se contestan con un sí.
- Aprovecha el informe de tercero donde exista. Si hay una certificación o un informe de auditoría en vigor, léelo, mira el alcance y las excepciones, y quita del cuestionario lo que ese informe ya evidencia. Ahorra trabajo a los dos lados y concentra el tuyo donde no hay nada.
- Verifica una muestra. Si el cien por cien de los cuestionarios se archiva sin comprobar, el control es nominal. Elige unos pocos proveedores críticos al año y contrasta contra el original lo que declararon. Una muestra pequeña y verificada dice más que doscientas hojas sin abrir.
- Escribe la consecuencia antes de enviar. Qué ocurre si el proveedor no contesta, si contesta que no y si contesta que sí y la comprobación falla. Sin consecuencia escrita, el cuestionario es una encuesta.
- Guarda el expediente como un papel de trabajo. Quién lo mandó, cuándo volvió, quién lo revisó, qué concluyó y qué se hizo con lo que salió. Lo que no está registrado, en una revisión no existe.
Qué prueba el auditor
La revisión no consiste en contar cuestionarios. Consiste en coger tres proveedores críticos y seguir el rastro entero. Que estén en el inventario, que su nivel corresponda a lo que sostienen, que exista el cuestionario del ciclo, que alguien lo revisara, que las excepciones tengan dueño y fecha, y que la consecuencia escrita se aplicara cuando tocaba.
Si en ese recorrido hay un tramo sin rastro, ahí está el hallazgo, y casi siempre aparece en el mismo sitio, entre la respuesta que volvió y la persona que tenía que leerla. La obligación llega igual, antes por contrato que por boletín, como contamos en NIS2 y la cadena de proveedores.
