Cada vez más procesos críticos ya no ocurren dentro de tu empresa: nómina tercerizada, facturación electrónica, pasarelas de pago, almacenamiento en la nube, mesas de ayuda, analítica y software por suscripción. Esto acelera el negocio, pero mueve el riesgo: parte del control interno queda en manos de terceros. Y cuando un tercero se equivoca (o es atacado), el impacto te pega a ti: datos expuestos, operaciones detenidas, sanciones, reputación y costos inesperados. 

Para auditoría interna, este tema está en auge porque suele ser un punto ciego. Según las Normas Globales de Auditoría Interna del IIA, auditoría interna debe evaluar la efectividad de la gobernanza, la gestión de riesgos y los controles de la organización, lo que incluye riesgos relevantes que se trasladan a proveedores cuando se tercerizan servicios. (Según el IIA en las Normas Globales, el alcance de auditoría interna cubre gobernanza, riesgos y controles, no solo procesos “internos”).  

1) El error típico: contratar bien, gobernar mal 

Muchas organizaciones hacen un buen proceso de compra (precio, funcionalidad, tiempos), pero luego operan el proveedor “en automático”: sin revisiones periódicas, sin control de cambios, sin evidencia de controles y sin claridad sobre quién responde internamente. Ahí nace el riesgo: el tercero se vuelve una extensión del proceso, pero sin el mismo rigor de control interno. 

En seguridad de la información, esto no es nuevo. ISO/IEC 27001 incluye controles para relaciones con proveedores, porque la información puede quedar expuesta si no se define y supervisa cómo el tercero la protege y trata. (Según ISO/IEC 27001, el control de seguridad debe extenderse a la cadena de suministro y proveedores cuando tratan información de la organización).  

2) Qué riesgos de terceros deberían preocuparle a auditoría interna 

No todos los proveedores son iguales. Los críticos suelen compartir dos características: tocan datos sensibles o afectan procesos esenciales. En la práctica, los riesgos más relevantes son: 

• Confidencialidad: fuga de datos de clientes, empleados, contratos o precios. 

• Integridad: datos alterados (intencional o accidentalmente) que terminan en reportes, pagos o decisiones. 

• Disponibilidad: caídas del servicio que detienen operación o generan incumplimientos. 

• Dependencia: no poder cambiar de proveedor sin trauma (“encierro” tecnológico o contractual). 

Marcos como el NIST Cybersecurity Framework resaltan que el riesgo de terceros y cadena de suministro debe gestionarse como parte integral de la ciberseguridad, no como un tema administrativo. (Según NIST, la gestión del riesgo de ciberseguridad incluye dependencias con terceros que influyen en la capacidad de proteger y responder). 

3) Señales rojas comunes (y muy auditables) 

Estas señales aparecen más de lo que parece: 

• Señal roja 1: nadie es dueño del proveedor internamente. Si no hay responsable de negocio y técnico, nadie gobierna incidentes, cambios o renovaciones.
• Señal roja 2: contrato “genérico”. Hay confidencialidad, pero no tiempos de notificación de incidentes, subcontratistas, evidencias, continuidad ni reglas claras de eliminación/devolución de datos.
• Señal roja 3: accesos amplios para soporte. Cuentas compartidas o privilegios permanentes “para que no se caiga”.
• Señal roja 4: no existe plan de salida. No está definido cómo se recuperan datos y cómo se eliminan copias al terminar.
• Señal roja 5: cambios del proveedor sin evaluación de impacto. Actualizaciones, integraciones y subcontratistas nuevos sin análisis de riesgos. 

4) Un enfoque de auditoría interna práctico en 5 pruebas 

Para que no se vuelva eterno, funciona empezar con pocos proveedores críticos y pruebas directas: 

• Inventario y clasificación de terceros críticos. Lista corta (por ejemplo 10–20) y prioriza por impacto y acceso a datos. 
• Mapa de datos por proveedor. Qué datos recibe, dónde se almacenan, quién accede y cuánto tiempo se retienen. 
• Revisión contractual enfocada en control. Incidentes, evidencias, subcontratistas, continuidad, devolución/eliminación de datos y niveles de servicio. 
• Accesos y trazabilidad. Quién entra, con qué permisos y qué registros quedan. Si no hay registros, investigar un incidente será casi imposible. 
• Continuidad probada, no en papel. Evidencia de respaldos, pruebas de recuperación y tiempos de respuesta. 

Este enfoque se alinea con el mandato del IIA de evaluar y mejorar controles y gestión de riesgos, priorizando según criticidad. (Según las Normas Globales del IIA, la auditoría interna debe adoptar un enfoque sistemático y basado en riesgo para evaluar controles). 

Conclusión 

Tercerizar no elimina el riesgo: lo cambia de lugar. Auditoría interna aporta valor cuando convierte el “punto ciego del proveedor” en un esquema controlado: dueños internos claros, datos mapeados, contrato auditable, accesos gobernados y continuidad probada. Con eso, el proveedor deja de ser una amenaza silenciosa y se vuelve una parte gestionada del control interno.