El cuestionario de riesgo de terceros: qué preguntar y por qué
El cuestionario de seguridad es el caballo de batalla de la gestión del riesgo de terceros y, también, su herramienta más abusada. Enviado con criterio, es un filtro rápido que te dice qué proveedores necesitan una mirada más atenta. Enviado como una hoja de cálculo de 300 preguntas a todos los proveedores, produce fatiga, respuestas apresuradas y teatro de garantías. La diferencia está en el alcance y en las reglas de decisión.
Qué preguntar
Relaciona las preguntas con los controles que de verdad predicen el riesgo:
- Tratamiento de datos: a qué datos se accede, dónde se almacenan o tratan, cifrado, retención y eliminación.
- Acceso y autenticación: MFA, mínimo privilegio y separación entre tenants.
- Cumplimiento: SOC 2 Type II, ISO 27001 y las certificaciones regulatorias pertinentes.
- Respuesta a incidentes: plazos y proceso de notificación de brechas.
- Subencargados: de quién dependen y cómo los gobiernan.
- Continuidad del negocio: copias de seguridad y recuperación ante desastres.
Cómo evitar la fatiga de cuestionarios
Ajusta la profundidad al nivel de riesgo del proveedor: un proveedor de bajo riesgo no debería recibir la misma lista que uno que trata datos regulados. Reutiliza marcos estandarizados (SIG, CAIQ) para que los proveedores puedan responder una sola vez, acepta certificaciones recientes (SOC 2, ISO 27001) en lugar de pedir que vuelvan a responder, y dedica tu tiempo de revisión a los proveedores de alto riesgo, donde las respuestas cambian las decisiones.
Para poner a prueba tus preguntas con casos reales, mira cómo una plataforma de formación alojada por un proveedor desembocó en la brecha de datos de PwC de 2026, y cómo unos tokens OAuth robados de dos integraciones expusieron instancias de clientes en la oleada de la brecha de datos de Salesforce.
Las respuestas son afirmaciones, no hechos
Trata las respuestas del cuestionario como autodeclaradas. Para los proveedores de mayor riesgo, exige pruebas (un informe SOC 2 Type II vigente, un certificado ISO 27001, un resumen de una prueba de penetración) que las corroboren. El cuestionario te dice dónde mirar; las pruebas te dicen si puedes confiar.
Convierte las respuestas en decisiones
Decide de antemano qué desencadenan las respuestas: bloqueos, remediación antes de la incorporación, compromisos contractuales o aceptación con monitorización. Unos umbrales acordados previamente convierten un montón de respuestas en aprobar, aprobar con condiciones o rechazar; si no, habrás generado papeleo, no gestión del riesgo.
Estructura la revisión con la herramienta Vendor Risk → y haz el seguimiento de los hallazgos en el Risk Register.
Preguntas frecuentes
¿Qué incluye? Preguntas relacionadas con el tratamiento de datos, el acceso, el cumplimiento, la respuesta a incidentes, los subencargados y la continuidad, ajustadas al nivel de riesgo.
¿Cómo evito la fatiga? Clasifica por niveles y ajusta el alcance, reutiliza SIG o CAIQ, acepta certificaciones y concentra el esfuerzo en los proveedores de alto riesgo.
¿Me fío de las respuestas? Son afirmaciones autodeclaradas: exige pruebas a los proveedores de mayor riesgo.
¿Cómo las convierto en decisiones? Acuerda de antemano qué desencadena cada respuesta: bloquear, remediar, contratar o aceptar con monitorización.
Preguntas frecuentes
¿Qué incluye un cuestionario de seguridad para terceros?
Preguntas relacionadas con los controles que predicen el riesgo: cómo trata y almacena el proveedor tus datos, sus controles de acceso y autenticación, sus certificaciones de cumplimiento (SOC 2, ISO 27001), sus procesos de respuesta a incidentes y de notificación de brechas, la gestión de sus subencargados y su continuidad del negocio. Ajusta la profundidad al nivel de riesgo del proveedor en lugar de enviar a todos la misma lista exhaustiva.
¿Cómo evito la fatiga de cuestionarios?
Clasifica a tus proveedores por niveles y ajusta el cuestionario a cada nivel: un proveedor de bajo riesgo no necesita las mismas 300 preguntas que uno que trata datos regulados. Reutiliza marcos estandarizados (SIG, CAIQ) para que los proveedores puedan responder una vez y reutilizar sus respuestas, acepta certificaciones recientes de terceros (SOC 2, ISO 27001) en lugar de pedir que vuelvan a responder y concentra tu propio tiempo de revisión en los proveedores de alto riesgo, donde las respuestas cambian de verdad las decisiones.
¿Debo fiarme de las respuestas del cuestionario?
Trátalas como afirmaciones autodeclaradas, no como hechos verificados. Para los proveedores de bajo riesgo pueden bastar; para los de mayor riesgo, exige pruebas (un informe SOC 2 Type II vigente, un certificado ISO 27001, un resumen de una prueba de penetración) que corroboren las respuestas. El cuestionario te dice dónde mirar; las pruebas te dicen si puedes confiar.
¿Cómo convierto las respuestas en una decisión?
Decide de antemano qué desencadenan las respuestas concretas: qué carencias bloquean, cuáles requieren remediación antes de la incorporación, cuáles necesitan compromisos contractuales y cuáles son aceptables con monitorización. Un cuestionario sin reglas de decisión solo genera papeleo; el valor está en los umbrales acordados previamente que convierten un conjunto de respuestas en aprobar, aprobar con condiciones o rechazar.