Mitigación de Riesgos de Outsourcing: Guía del CIO para Alianzas TI Seguras

Las empresas están entregando cada vez más todas o parte de sus funciones de tecnología de la información a proveedores de servicios externos. Aunque esto puede crear ciertas eficiencias, la organización sigue siendo responsable en última instancia de los riesgos asociados con la disponibilidad y funciones de los servicios de TI, así como del acceso y uso adecuado de los datos de la empresa.

Esto significa que el director de información (CIO) o líder equivalente de TI debe asegurar que los proveedores de servicios seleccionados tengan la estructura adecuada, estabilidad financiera y planes de continuidad para entregar consistentemente los servicios contratados.

También significa que los líderes de TI deben evaluar la efectividad de las políticas y procedimientos del proveedor de servicios, para garantizar la integridad y seguridad de los datos sensibles e información propietaria de la empresa.

Una industria estimada en 1 billón de dólares al año, el outsourcing de TI toma muchas formas. Una organización puede entregar todo su departamento de TI a un proveedor, o contratar uno para realizar operaciones de centro de datos, gestión de red u otras funciones específicas.

Funciones de TI comúnmente externalizadas incluyen:

• Desarrollo de aplicaciones de software,
• Soporte de aplicaciones de software,
• Operaciones de centro de datos,
• Soporte de help-desk,
• Gestión de red,
• Ciberseguridad,
• Plataforma o infraestructura como servicio, y
• Software como servicio.

En el pasado, los CIOs se centraban principalmente en la cadena de suministro de productos físicos. Hoy, sin embargo, deben preocuparse por la cadena de suministro tanto de productos como de servicios.

Evaluar y gestionar el riesgo en proveedores de servicios tecnológicos de terceros puede ser un desafío, ya que porciones significativas de los entornos de servicio están bajo el control del proveedor, y probablemente están fuera del alcance de la organización adquirente. La debida diligencia debe realizarse por adelantado para evaluar los riesgos asociados con la contratación de una parte externa.

Antes de comprometerse con un proveedor de servicios de TI, el CIO debe entender:

• Qué se está externalizando,
• Qué procesos de negocio serán soportados por el servicio,
• Qué datos se almacenarán, procesarán o serán accesibles a través del servicio externalizado, y
• Quién tendrá acceso a sistemas, aplicaciones y datos relacionados con el servicio externalizado.

El proceso puede comenzar con un formulario básico de evaluación de riesgo de servicios de TI, diseñado para capturar respuestas a estas preguntas del personal dentro de la organización. Además, un formulario de pre-evaluación de proveedor puede usarse para recopilar información preliminar de un proveedor potencial. Preguntas comunes para hacer en un formulario de pre-evaluación de proveedor incluyen:

• ¿Ha declarado su empresa quiebra alguna vez?
• ¿Incluye la póliza de seguro de su empresa reclamaciones por errores y omisiones (o responsabilidad general)? Si es así, ¿cuáles son los límites de la póliza?
• ¿Está su empresa involucrada en litigios pendientes?
• ¿Ha sido su empresa parte de una investigación regulatoria alguna vez?
• ¿Tiene su empresa una política de privacidad?
• ¿Tiene su empresa un programa de seguridad documentado?
• ¿Aceptará su empresa completar un cuestionario sobre sus programas de seguridad de la información y privacidad?
• ¿Tiene su empresa un informe de Controles de Organización de Servicios (SOC)?
• ¿Tiene su empresa un plan integral de continuidad del negocio para abordar la continuidad de operaciones en caso de incidentes que interrumpan las operaciones normales?

Estos formularios de evaluación deberían proporcionar información suficiente para determinar si se necesita diligencia adicional. Basado en el nivel de riesgo potencial, esta diligencia adicional podría incluir requerir al proveedor que responda a un cuestionario más detallado; revisar en detalle el informe SOC del proveedor, o comprometer la función de auditoría interna de la organización o una firma de auditoría externa calificada para realizar una evaluación del proveedor.

Realizar estas evaluaciones es crítico al establecer una relación con un nuevo proveedor. También es importante continuar revisando cada proveedor de forma continua. La frecuencia y el alcance de esas revisiones deben basarse en los riesgos asociados con los servicios que se proporcionan.

Estas evaluaciones están orientadas hacia proveedores de servicios, pero los conceptos pueden adaptarse para proveedores clave de productos tecnológicos también. Lo principal es que el CIO entienda los riesgos potenciales de comprometerse con un proveedor, y tenga una comprensión de cómo cada proveedor gestiona sus riesgos de negocio. De esta manera, el CIO estará mejor capacitado para anticipar el impacto de los riesgos de outsourcing en la organización.

Las evaluaciones de proveedores de servicios pueden asignarse a varias funciones dentro de una organización, incluyendo TI, gestión de riesgos o auditoría interna. Las evaluaciones también pueden ser realizadas por un tercero calificado.

Sin embargo, es responsabilidad del CIO o líder equivalente de TI revisar la información recopilada de las evaluaciones, y determinar si comprometerse con el proveedor de servicios tecnológicos propuesto está alineado con los objetivos y niveles de tolerancia al riesgo de la organización. Una evaluación exhaustiva hoy ayudará a evitar problemas mayores en el futuro.

Robert Neill es director de Servicios de Asesoría CIO para Weaver, una firma nacional de CPA y asesoría.