El registro de riesgos de proveedores de una empresa de tecnología había crecido considerablemente a lo largo de tres años de maduración del programa de TPRM. Cada ciclo de evaluación añadía hallazgos al registro. El registro mostraba todos los hallazgos en uno de tres estados: abierto (remediación no iniciada), en remediación (el proveedor lo ha reconocido y ha comenzado a abordarlo) o aceptado (aceptado formalmente con la firma del responsable de negocio). Durante una revisión de gobernanza, el CISO solicitó los elementos abiertos actuales de alta prioridad que requerían atención inmediata. El equipo de riesgos filtró el registro por elementos abiertos de alta prioridad: cuarenta y siete entradas. Al preguntar cuántos llevaban más de seis meses en el registro, la respuesta fue treinta y uno. Más de doce meses: diecinueve. Más de dieciocho meses: once. Al preguntar cuántos se habían cerrado (totalmente remediados y retirados del registro) en los últimos doce meses, la respuesta fue cero. El registro nunca había tenido un proceso de cierre. Los elementos se añadían cuando las evaluaciones encontraban problemas. Los elementos se actualizaban cuando los proveedores informaban avances en la remediación. Los elementos se aceptaban cuando los responsables de negocio firmaban. Nada se había cerrado ni retirado formalmente nunca. El registro documentaba con exactitud todos los hallazgos añadidos desde el inicio del programa. No representaba con exactitud el panorama actual de riesgos de proveedores.
¿Qué es realmente el problema de la exactitud del registro de riesgos?
Un registro de riesgos es el inventario de referencia de los riesgos identificados que se están gestionando actualmente: el panorama de riesgos activos que los procesos de gobernanza utilizan para priorizar la remediación, asignar recursos e informar a la dirección. La exactitud del registro de riesgos es el grado en que el registro refleja el entorno de riesgos actual y no el historial de todos los riesgos identificados alguna vez. Un registro de riesgos exacto crece cuando se identifican nuevos riesgos y se reduce cuando los riesgos se remedian, se aceptan con la revisión adecuada o quedan superados por circunstancias que han cambiado el perfil de riesgo. Un registro que solo crece no mantiene con exactitud la imagen del riesgo actual: acumula hallazgos sin validar que sigan siendo relevantes.
La brecha en el proceso de cierre es la falla estructural que produce registros que crecen sin reducirse. Los registros de riesgos tienen procesos de incorporación bien definidos: los hallazgos de las evaluaciones se documentan, se categorizan y se añaden mediante flujos de trabajo definidos. La mayoría de los registros de riesgos tienen procesos de cierre mal definidos o totalmente ausentes: los criterios para confirmar que un riesgo está remediado y retirarlo del registro activo, la evidencia necesaria para confirmar el cierre y la aprobación de gobernanza necesaria antes de cerrar un hallazgo. Sin un proceso de cierre definido, los hallazgos se acumulan indefinidamente, se haya abordado o no el riesgo subyacente.
El problema de la inflación de estados es el segundo modo de falla de la exactitud. Los hallazgos que llevan seis, doce o dieciocho meses en estado 'en remediación' sin un avance verificado se han estancado realmente o se están notificando como en curso sin un avance significativo. En cualquiera de los casos, el estado 'en remediación' ofrece una imagen engañosa: da a entender que se está llevando a cabo una remediación activa cuando, en realidad, el hallazgo se ha convertido en una aceptación a largo plazo disfrazada de trabajo en curso. Un estado 'en remediación' auténtico requiere validar periódicamente que la remediación avanza, no solo que el proveedor ha reconocido el hallazgo.
- Sin proceso de cierre: hallazgos añadidos sin un proceso definido para retirarlos cuando se remedian
- Inflación de estados: hallazgos en estado 'en remediación' durante períodos prolongados sin avance verificado
- Confusión con un archivo histórico: el registro mezcla riesgos activos actuales con entradas remediadas, obsoletas y superadas
- Sin cierre basado en evidencia: los proveedores informan la remediación sin que se verifique la evidencia antes del cierre
- El tamaño del registro oculta la prioridad: el número creciente de entradas dificulta identificar los elementos de alta prioridad realmente actuales
Por qué es importante
La exactitud del registro de riesgos importa para TPRM porque el registro es la herramienta principal para la toma de decisiones de gobernanza: priorizar los recursos de remediación, monitorear los elementos de alto riesgo e informar a la dirección sobre el riesgo actual. Un registro que mezcla riesgos activos actuales con entradas obsoletas y hallazgos con estados inflados produce decisiones de gobernanza basadas en una imagen inexacta del riesgo. La dirección que revisa un registro con cuarenta y siete elementos abiertos de alta prioridad puede alarmarse con razón, pero si diecinueve de esos elementos llevan abiertos más de un año y once más de dieciocho meses, la alarma está justificada solo en parte y en parte es consecuencia de la acumulación en el registro más que de un riesgo activo de alta prioridad.
La brecha de rendición de cuentas respecto del SLA de remediación es la consecuencia operativa directa. Cuando los hallazgos del registro de riesgos no tienen SLA de remediación ni consecuencias definidas por permanecer abiertos durante mucho tiempo, el registro se convierte en un repositorio donde los hallazgos se acumulan sin presión de gobernanza para abordarlos. Un proveedor que reconoce un hallazgo y pasa al estado 'en remediación' ha cumplido su obligación mínima de gobernanza: puede permanecer en ese estado indefinidamente si no existe un mecanismo definido de rendición de cuentas que escale cuando no se cumplen los plazos de remediación.
Dónde se equivocan la mayoría de los equipos
La falla más constante es no diseñar un proceso de cierre cuando se crea el registro de riesgos. Los procesos de incorporación de hallazgos se diseñan al inicio del programa. Meses o años después se descubre que faltan los procesos de cierre, cuando el registro ha crecido hasta un tamaño que oculta su utilidad como imagen del riesgo actual.
- No se diseñó un proceso de cierre cuando se creó el registro
- No se exige un cierre basado en evidencia: se acepta la autodeclaración del proveedor para las actualizaciones de estado
- Sin SLA para la remediación: hallazgos abiertos indefinidamente sin escalamiento
- Actualizaciones de estado aceptadas sin validar el avance
- La revisión del registro no incluye una evaluación de la relevancia actual
Cómo se ve una buena práctica
Los programas maduros de registro de riesgos definen los criterios de cierre al inicio del programa: qué evidencia se requiere para cerrar un hallazgo, quién aprueba el cierre y con qué frecuencia se valida el avance real de los hallazgos en remediación.
- Criterios de cierre definidos: qué evidencia se requiere y quién aprueba antes de retirar un hallazgo
- Acuerdos de nivel de servicio de remediación: tiempo máximo en remediación antes del escalamiento
- Validación periódica de los hallazgos en remediación: se exige evidencia del avance a intervalos definidos para los hallazgos en remediación
- Revisión de la relevancia actual: revisión periódica de los hallazgos antiguos para determinar si el riesgo subyacente sigue vigente
- Métricas de higiene del registro: seguimiento de la duración en estado abierto, la tasa de cierre y el cumplimiento del SLA de remediación
Herramientas
Plataformas GRC: ServiceNow GRC, Archer, MetricStream
Las plataformas de GRC con funciones de gestión del registro de riesgos permiten flujos de trabajo de cierre: definen los requisitos de evidencia, encaminan las aprobaciones de cierre y dan seguimiento al cumplimiento del SLA de remediación. Para los profesionales de TPRM, preguntar si la plataforma de GRC del proveedor impone un cierre basado en evidencia con aprobación de gobernanza ofrece una pregunta concreta sobre la exactitud del registro.
Plataformas de TPRM con seguimiento de la remediación: ProcessUnity, Prevalent
Las plataformas de TPRM con funciones de seguimiento de la remediación monitorean el avance de la remediación de los proveedores, señalando los hallazgos que no han avanzado más allá del reconocimiento inicial y escalando los hallazgos que han superado los acuerdos de nivel de servicio de remediación. Para los profesionales de TPRM, utilizar el seguimiento de la remediación de la plataforma de TPRM en lugar de actualizaciones manuales del registro proporciona un monitoreo y escalamiento automatizados del SLA.
Desafíos de gobernanza
El desafío de gobernanza de la exactitud del registro de riesgos es la inversión en la evidencia de cierre. Cerrar un hallazgo requiere evidencia de que el riesgo subyacente se ha abordado, lo que exige aceptar la autodeclaración del proveedor (baja calidad de la evidencia) o realizar una verificación (mayor calidad de la evidencia, pero con un uso intensivo de recursos). El equilibrio entre los requisitos de evidencia para el cierre y la eficiencia del proceso de cierre determina si el proceso de cierre se utiliza o se elude.
- Definir ahora los criterios de cierre y los requisitos de evidencia, si aún no están definidos
- Fijar acuerdos de nivel de servicio de remediación para todos los hallazgos abiertos: tiempo máximo en cada estado antes del escalamiento
- Exigir un cierre basado en evidencia: la evidencia de remediación del proveedor se revisa antes del cierre
- Realizar revisiones periódicas de la relevancia actual del registro: se evalúa si los hallazgos antiguos siguen siendo aplicables
- Dar seguimiento a la tasa de cierre como métrica de salud del programa junto con la tasa de incorporación de hallazgos
Si usted forma parte de un equipo pequeño
Filtre su registro de riesgos por los hallazgos que llevan más de doce meses en cualquier estado. Para cada uno, haga dos preguntas: ¿sigue siendo relevante hoy el riesgo subyacente, o ha cambiado algo que haya abordado o transformado el riesgo? Y, para los hallazgos en remediación: ¿qué evidencia se ha recibido de que la remediación avanza realmente? Esas dos preguntas separarán los riesgos abiertos realmente actuales de la acumulación en el registro. Los hallazgos que superan ambas preguntas son los que realmente requieren atención de gobernanza en la actualidad.
- Filtrar el registro por hallazgos con más de doce meses de antigüedad y evaluar su relevancia actual
- Solicitar evidencia para todos los hallazgos en remediación con más de seis meses de antigüedad
- Definir criterios de cierre e implementar un proceso de cierre
- Fijar acuerdos de nivel de servicio de remediación para todos los hallazgos abiertos
Qué exigir
Pregunte directamente:
"En el caso de los hallazgos que llevan más de seis meses en estado de remediación, ¿pueden proporcionar evidencia del avance de la remediación, en concreto, qué se ha completado desde que se reconoció el hallazgo y qué queda por hacer, con una fecha objetivo de finalización?"
Evidencia que debe esperar
- Evidencia de los pasos de remediación completados en los hallazgos de larga duración
- Pasos de remediación pendientes con fechas objetivo de finalización
- Causa raíz del retraso si la remediación va atrasada respecto del calendario
- Reconocimiento del escalamiento si la remediación se ha estancado
A un proveedor con hallazgos en estado de remediación durante más de seis meses se le debe solicitar evidencia del avance y un plazo de finalización. 'En remediación' describe un estado. La evidencia indica si el estado es exacto.
Cómo demostrarlo
- Documentación del proceso de cierre del registro
- Registros de seguimiento del SLA de remediación
- Registros de cierre basado en evidencia
- Registros de revisión de la relevancia actual de los hallazgos antiguos
Conclusión clave
Un registro de riesgos que crece sin reducirse es un archivo, no una imagen del riesgo. Noventa y tres entradas añadidas en tres años sin ningún cierre reflejan un programa que ha identificado riesgos de manera constante y que, de manera igualmente constante, no ha completado el ciclo de gobernanza que comienza con la identificación y termina con la remediación verificada y el cierre formal. El proceso de incorporación funciona. El proceso de cierre no existe. Una imagen del riesgo actual requiere ambos: hallazgos que se añaden cuando se identifican y se retiran cuando se remedian con evidencia. Los hallazgos que son realmente riesgos abiertos actuales merecen atención de gobernanza. Los hallazgos que llevan dieciocho meses en remediación merecen un escalamiento o una reclasificación honesta. Diseñe ahora el proceso de cierre.