Riesgos de terceros proveedores y auditoría de socios

1) Por qué y para quién

Objetivo: reducir la probabilidad de fallas, fugas e irregularidades regulatorias que se producen a través de proveedores externos y socios.
Cobertura: pasarelas de pago/PSP, CUS/sanciones/RR, antifraude, proveedores de juegos y estudios, redes de afiliados y seguimiento, cloud/CDN/hosting, BI/análisis, herramientas de retén/marketing-SDK, centros de llamadas, así como Los subprocesadores de nuestros vendedores.

2) Categorías de riesgo (mapa de dominio)

Infobesis y privacidad: fugas de tokens PII/KYC/de pago, TOMs débiles, falta de WORM/auditoría.
Cumplimiento: GDPR/UK GDPR/ePrivacy, AML/KYC, zona PCI, requisitos publicitarios/de juego de las jurisdicciones.
Operativo: disponibilidad/SLA, dependencia de un solo proveedor (concentración), BCP/DR débil.
Finanzas: sostenibilidad del proveedor, riesgos crediticios, «chargeback shocks».
Sanciones/geopolíticas: restricciones a la exportación/importación, ubicación de centros de datos, RR/sanciones en estructuras de tenencia.
Reputacional y legal: violaciones de publicidad/juego responsable, derechos IP.
Técnico: vulnerabilidades SDK/API, falta de versionamiento y entornos de prueba.

3) Mapeo de la cadena de suministro

1. Inventario: registro único de todos los vendedores/socios/subprocesadores con el propietario (business owner).
2. Mapa de datos: qué datos/jurisdicciones/volúmenes pasan a través de quién; Banderas PII/Finanzas/Especial.
3. Criticality: clasificado por impacto en dinero/PII/aptime.

4) Tirar de proveedores (criterios de ejemplo)

5) Cribado de riesgo y cribado

Factores: seguridad (políticas, certificación), privacidad (DPA/SCCs/DTIA), cumplimiento (AML/PCI/ISO), sostenibilidad operacional (SLA/BCP/DR), finanzas (auditoría/informes), jurisdicciones/sanciones, historia de incidentes, madurez tecnológica (SDLC/DevSecOps).
Puntuación (ejemplo): 0-5 para cada factor → total ponderado (W) → zona: verde/amarillo/rojo.

• Green: contrato estándar.
• Amber: control/remediación antes de Go-Live.
• Rojo: abandono o piloto con medidas adicionales (segmentation, throttling, read-only, escrow, límites reducidos).

6) Due diligence (qué requerir en la entrada)

• Políticas de seguridad/privacidad, RoPA, registro de subprocesadores.
• Informes de auditoría/certificación (ISO 27001/SOC 2 tipo II/PCI cuando sea aplicable), últimos pentests.
• BCP/DR y resultados de pruebas, RPO/RTO.
• Incidentes-procedimientos (notificaciones de 72 horas), registro de incidentes de 12-24 meses.
• DPA/mecanismo transfronterizo (SCCs/IDTA) + DTIA, localización de datos/claves.
• Seguridad de integraciones: mTLS/OIDC, webhooks firmados, rotación de claves, allow-list IP.
• Registros de acceso/exportación, copias WORM, cadenas hash.
• Política de retiro y desinstalación, confirmaciones de destrucción de backups en offboarding.
• Finstability (informes públicos/certificados), estructura de propiedad (sanciones/RR-verificaciones).

Cuestionario ligero para Tier 2-3: sSIG/CAIQ de nivel (20-60 preguntas).

7) Requisitos contractuales (puntos clave)

SLA/SLO: aptime (por ejemplo, 99. 9%), latencia de P95, tiempo de respuesta a incidentes, créditos de servicio.
Seguridad/Privacidad addendum: cifrado en tránsito, claves/geo, registro, enmascaramiento, prohibición de uso secundario de datos.
DPA + subprocesadores: obligación de notificar la expansión de la cadena; derecho de oposición/auditoría.
Incident & Notification: ventana de notificación ≤ 72 h; acceso a logotipos/artefactos; una sala de guerra conjunta.
BCP/DR: pruebas obligatorias N una vez al año, RPO/RTO.
Pen-test/Audit rights: al menos 1 vez al año (remote/onsite), acceso a los informes.
Control de cambio: notificación de cambios mayores (SDK/API/arquitectura/geografía).
Termination & Exit: exportación de datos (formatos), eliminación/devolución, escrow para integraciones críticas, compatibilidad con migración en X días.
Liability/Indemnity: cap/cublimits, garantías IP, multas por violaciones de SLA/fugas.

8) Onboarding → Monitoring → Offboarding (ciclo de vida)

8. 1 Onboarding

1. Justificación de negocios y owner → tiradas → cuestionario/artefactos.
2. Risk review (Security/Privacy/Compliance/Legal/Finance).
3. Controles hasta Go-Live: segmentación (VPC/tenant), cargas/límites, enmascaramiento/tokenización, flags de características, caja de pruebas.
4. Contrato/integración → piloto → Go/No-Go.

8. 2 Continuous Monitoring

Control técnico: aptime, errores, latencia, presupuesto de riesgo.
Seguridad: alertas SIEM (exportaciones/accesos anormales sin 'purpose'), informes de vendedores, vulnerabilidades SDK.
Privacidad/cumplimiento: cambios en los subprocesadores, ubicaciones, retenciones; Compatibilidad con DSAR.
Finanzas: KPI por conversiones/refund/chargeback, multas SLA.
Revisión trimestral para Tier 1-2 y re-due-diligencia anual.

8. 3 Offboarding

Revocación de claves/accesos, destrucción/devolución de datos y backups, actos, cierre de tickets, actualización de registros y mapas de datos.

9) Procedimientos de auditoría de socios

9. 1 Plan y área

Enfoque: control de acceso, cifrado/claves, registros, incidentes, BCP/DR, procesos DSAR, subprocesadores.

9. 2 Métodos

Entrevistas, revisión de documentos/registros, comprobaciones de muestreo, pruebas técnicas (api-rate-limit/mTLS/firmas), ejercicio de tabletop.

9. 3 Informe y CAPA

Clasificación de hallazgos (Critical/High/Medium/Low), plazos de remediación, control de cierre y retest.

10) Incidentes en el vendedor: playbook

1. Detecto: señal del vendedor/nuestro monitoreo/comunidad.
2. War-room: owners + Security + DPO + Legal + Product.
3. Contenido: restricción de tráfico/desactivación de SDK/claves, límites de tiempo/grupos canarios.
4. Forenzika: registro de llamadas, firmas de webhooks, confirmaciones de WORM, rango de registros afectados.
5. Notificaciones: reguladores/usuarios/bancos (si es necesario), textos conjuntos.
6. CAPA: fixes, plazos, comprobación de rendimiento; revisión de la puntuación y las condiciones del contrato.

11) RACI (ampliado)

12) Métricas (KPI/KRI)

Cobertura:% de los proveedores activos en el Registro con una estimación actualizada ≥ 100%.
Evaluación TTM: mediana de tiempo due diligence Tier 1 ≤ 15 días hábiles.
Remediation SLA: hallazgos críticos cerrados ≤ 30 días (≥ 95%).
Notificación incidental: porcentaje de notificaciones en la ventana 72 h - 100%.
DPA/SCCs/DTIA Coverage: Tier 1-2 tiene un 100% de relevancia.
Concentración Riesgo: participación de tráfico/ingresos en 1 PSP/proveedor ≤ X% (umbral).
BCP/DR Evidence:% Tier 1 con pruebas confirmadas para 12 meses - 100%.
Log Logging: 100% de las exportaciones están firmadas y amarradas.

13) Plantillas y fragmentos

13. 1 Mini cuestionario (Tier 1-2, extracto)

Certificación/auditorías (ISO/SOC2/PCI), fecha de caducidad.
Arquitectura de datos: geo, subprocesadores, claves/CMS, cifrado.
Incidentes de 24 meses (tipo/fecha/medidas).
Accesos y registros (RBAC/ABAC, break-glass, JIT, WORM).
BCP/DR (fechas de prueba, RPO/RTO).
DSAR/retoque, RoPA, CMP/SDK.
Technologies API: mTLS/OIDC, firma de webhooks, rotación de claves, rate-limit.

13. 2 SLA (fragmento)

13. 3 Security & Privacy Addendum (cláusulas de extracto)

"Prohibición del uso secundario de los datos; acceso estrictamente por Need-to-Know; exportar sólo a registros aprobados"

"Registros inmutables (WORM) con firma hash; auditoría previa solicitud una vez al año"

«En la sustitución del subprocesador - notificación ≥ 30 días, derecho de objeción, plan alternativo».

"DTIA en cualquier transferencia transfronteriza fuera de las jurisdicciones adecuadas; claves - en EC/UK (por arreglo)"

14) Hojas de cheques

Antes de Go-Live con el proveedor

• Owner asignado, tira definida
• Cuestionario/artefactos obtenidos y verificados
• DPA/SLA/edición firmada, subprocesadores declarados
• Segmentación/límites/enmascaramiento habilitado, claves separadas
• Prueba de sandbox/píldora de incidente pasado
• Plan de salida/migración y escrow formalizados

Trimestral (Tier 1-2)

• Monitoreo de vulnerabilidades SLA/incidentes/SDK
• Actualización de certificados/informes, registro de subprocesadores
• Prueba DR/BCP confirmada
• Cribado final (sostenibilidad), controles de sanciones
• Rugido de riesgos de concentración y alternativas

Offboarding

• Claves/accesos revocados
• Exportación de datos completada, confirmación de eliminación/respaldo
• Actas de cierre, actualizado Data Mar/Registros

15) Escenarios y medidas modelo

A) Vulnerabilidad en el SDK de marketing

Desconexión inmediata, unidad de recogida de PII, notificación de DPO/reguladores si es necesario, CAPA en el vendedor, retest.

B) PSP se degrada por SLA

Enrutamiento automático de tráfico a PSP de respaldo, reducción de límites, activación de créditos de servicio, revisión de contrato/plan de salida.

C) Fuga del proveedor KYC

Aislamiento de integración, revocación de tokens, mapeo de registros afectados, notificaciones, mano KYC de alto riesgo, auditoría de vendedores, posible reemplazo.

16) Hoja de ruta para la implementación de TPRM

Semanas 1-2: inventario de vendedores, mapa de datos, tiradas, cuestionario básico y registro.
Semanas 3-4: plantillas SLA/DPA/aditivos, proceso onboarding/monitoring/offboarding, integración con SIEM/CMDB/IDP.
Mes 2: piloto de Tier 1-2, lanzamiento de revisiones trimestrales, automatización de comprobaciones de certificados/plazos.
Mes 3 +: zoom, score/dashboards, pruebas de estrés BCP/DR, optimización de riesgos de concentración y rutas alternativas.

TL; DR

Fuerte TPRM = mapa completo de vendedores → tiradas y puntuaciones → tratados duros (SLA/DPA/BCP/DTIA) → segmentación e integraciones seguras → monitoreo y auditoría continuos → exit/remediación rápida. Esto protege el dinero, los datos y las licencias, y mantiene el negocio sostenible incluso cuando los socios fallan.