Cómo navega la IA por el riesgo de terceros en un panorama de riesgos que cambia rápidamente

Las funciones de TPRM necesitan nuevas formas de operar para hacer frente a las presiones contrapuestas del nuevo entorno de riesgo, el creciente número y complejidad de las relaciones con terceros y la necesidad de hacer más con menos. La transformación del TPRM es un viaje, desde la búsqueda de ganancias marginales de eficiencia en el extremo cercano, hasta la transformación fundamental en el otro. Las empresas llevan tiempo en este camino, sobre todo con el impulso hacia una mayor centralización. La aparición de la IA brinda la oportunidad tanto de acelerar la centralización como de transformar el TPRM.

La centralización del TPRM ha iniciado a las empresas en el camino hacia una mayor eficiencia

Siguiendo una pauta de varios años, la encuesta de 2025 muestra una tendencia hacia una mayor centralización de la gestión de los recursos humanos en los países en desarrollo. Un número cada vez mayor de organizaciones utiliza programas de TPRM centralizados para toda la empresa (57 % en 2025, frente a 54 % en 2023).

La centralización del TPRM ofrece muchas ventajas. Reduce los puntos de fricción; en lugar de ponerse en contacto con el mismo tercero varias veces, a menudo con solicitudes duplicadas y parcialmente redundantes, la divulgación puede hacerse una sola vez y de forma coordinada y racionalizada. Los datos de la encuesta sugieren que muchas organizaciones podrían beneficiarse de esa racionalización. A la hora de realizar evaluaciones de control, aproximadamente cuatro de cada diez empresas (43 %) siguen utilizando varios cuestionarios para distintos ámbitos de riesgo. Envían a terceros una media de 55 cuestionarios. Si a esto se añade la carga de cumplimiento que supone cada cuestionario adicional (45 % de los encuestados afirman que los cuestionarios de evaluación del control tienen entre 101 y 200 preguntas, mientras que otros 36 % tienen entre 201 y 350 preguntas), resulta evidente que hay mucho margen para un enfoque centralizado que reduzca la carga de cumplimiento y los puntos de fricción con terceros.

Fundamentalmente, el TPRM centralizado permite una mejor coordinación y una evaluación de riesgos más holística. "Un enfoque centralizado de TPRM permite a una organización conectar los puntos a través de verticales y ver el panorama general", dice Rohit Mathur, EY Global Risk Consulting Strategy Leader y EMEIA Risk Consulting Leader, "Por ejemplo, el equipo de Ciberseguridad de una organización puede estar monitoreando a un tercero con respecto al riesgo cibernético. Ese tercero podría tener controles cibernéticos robustos y puntuar alto con respecto al riesgo cibernético. Pero, al mismo tiempo, esta parte puede estar sufriendo una hemorragia de dinero, con una alta probabilidad de quiebra en los próximos seis meses, lo que obviamente pondría en peligro su capacidad para invertir en controles cibernéticos en el futuro. Si la organización no conecta los puntos entre el riesgo cibernético y el financiero, se perdería el panorama general".

Los beneficios de la centralización son visibles en los datos de la encuesta. El 92 % de las organizaciones con una estructura centralizada de TPRM han invertido directamente en mejorar y optimizar las capacidades y la eficacia del programa. Entre las principales ventajas que se atribuyen a esta maduración figuran una mejor experiencia para el usuario (56 %), una mayor comprensión de los riesgos durante el proceso de toma de decisiones (52 %), la exhaustividad y exactitud de los datos (51 %) y la normalización (51 %). 

Las estructuras centralizadas de TPRM también muestran una mayor madurez en varias áreas clave en comparación con las estructuras híbridas. Son más maduros en inventario de terceros (58 % centralizado frente a 39 % híbrido), modelos de riesgo (51 % centralizado frente a 36 % híbrido), metodología de evaluación (49 % centralizado frente a 33 % híbrido), políticas y normas (46 % centralizado frente a 31 % híbrido), y gobernanza y supervisión (43 % centralizado frente a 29 % híbrido).

La IA es un catalizador de valor y una oportunidad para reinventar el TPRM

La IA tiene un enorme potencial para disrumpir el TPRM, permitiendo no sólo una mayor eficiencia, sino también un enfoque fundamentalmente diferente para identificar, supervisar y gestionar los riesgos de terceros.

Los primeros casos de uso adoptados por las empresas se centrarán a menudo en utilizar la IA para automatizar los procesos manuales existentes y generar eficiencias operativas. Esto incluye agilizar las tareas repetitivas —como la recopilación de datos, las evaluaciones iniciales de riesgos y la incorporación de proveedores— y acelerar las evaluaciones de riesgos. Más allá de esto, el verdadero potencial de la IA no está tanto en automatizar los procesos existentes como en desplegarla para crear valor llevando a cabo el TPRM de formas fundamentalmente diferentes.

Considera cómo la IA podría crear eficiencias significativas y reinventar las formas tradicionales de trabajo, a través de las diferentes etapas del ciclo de vida del TPRM:

• Identificación de proveedores: en lugar de compilar manualmente las listas de proveedores, la IA utiliza algoritmos para escanear las bases de datos e identificar a los proveedores basándose en criterios predefinidos, lo que hace que el proceso sea más rápido y exhaustivo.
• Evaluación de riesgos: los modelos de IA evalúan los riesgos basándose en datos históricos y analítica predictiva, proporcionando puntuaciones de riesgo objetivas.
• Diligencia debida: la IA sustituye las lentas y laboriosas revisiones manuales de documentos por la recopilación y el análisis automatizados de la documentación de los proveedores, como los registros financieros y de cumplimiento.
• Negociación de contratos: la IA analiza los términos contractuales mediante el procesamiento del lenguaje natural (NLP, por sus siglas en inglés) para identificar riesgos y sugerir mejoras basadas en las mejores prácticas.
• Incorporación: la IA agiliza el proceso de incorporación mediante flujos de trabajo y listas de comprobación automatizados, al tiempo que consolida el cumplimiento de los requisitos.
• Monitoreo: la IA supervisa continuamente el rendimiento de los proveedores mediante analítica de datos en tiempo real y alerta de cualquier anomalía o problema de cumplimiento.
• Gestión de incidentes: la IA utiliza análisis predictivos para identificar posibles incidentes antes de que se produzcan y realiza análisis de escenarios para prever riesgos de "efecto dominó" que pueden quedar ocultos en enfoques más lineales y aislados.
• Formación y concienciación: la IA proporciona módulos de formación personalizados basados en las necesidades individuales de los empleados y en sus estilos de aprendizaje.

A pesar de su potencial, la adopción de la IA en el TPRM sigue siendo relativamente baja. Sólo el 13 % de las empresas han optimizado la tecnología y la automatización dentro de sus programas TPRM (o han alcanzado el "Nivel 5" de madurez).

"El uso de la IA está en pañales", afirma Gennarini. "Hasta ahora, la mayoría de las funciones de TPRM sólo están desplegando la IA a baja escala y están utilizando capacidades que existen desde hace mucho tiempo, como el reconocimiento óptico de caracteres (OCR, por sus siglas en inglés) en la búsqueda de documentos".

La nueva generación de modelos de IA, incluida la IA agencial, pasará de buscar eficiencias operativas incrementales a llevar a cabo el TPRM de formas fundamentalmente diferentes. Por ejemplo, en lugar de limitarse a utilizar OCR y NLP para revisar los términos contractuales, un mundo de agentes de IA podría permitir a los agentes trabajar directamente con agentes de terceros para negociar contratos basados en datos de mercado, objetivos empresariales y requisitos de gobernanza/reglamentarios. Tras la revisión humana, los acuerdos finalizados podrían codificarse como contratos inteligentes en blockchain, lo que garantizaría la transparencia y la seguridad, así como la supervisión automatizada del cumplimiento y la ejecución de los pagos por hitos.

La buena noticia es que las funciones de TPRM tienen el deseo de invertir en IA y analítica de datos. El principal impulsor de la inversión futura en programas de TPRM es la "capacidad de IA/ML para mejorar la diligencia debida y la ejecución/supervisión de contratos" (31 % de los encuestados), mientras que el "enfoque basado en datos para supervisar a terceros" ocupa el segundo lugar (28 %) y la "automatización de la diligencia debida con fines de eficiencia y mayor gestión de riesgos" el tercero (27 %).

La IA y la centralización pueden catalizarse mutuamente

Varios factores dificultan una adopción más amplia de la IA y la centralización en el TPRM.

Las estructuras organizativas fragmentadas y los incentivos desalineados conducen a un enfoque desarticulado e impiden alcanzar todo el potencial de valor de la centralización. El TPRM no suele estar dirigido por un directivo del C-level, sino que se sitúa unos niveles por debajo de la C-suite. A menudo está disperso entre los líderes de las unidades de negocio, que sólo tienen competencias, incentivos y presupuesto para abordarlo dentro de su vertical, en lugar de alinearse con otras unidades de negocio y abordarlo de forma holística en toda la empresa.

Aunque los factores responsables de la baja adopción de la IA varían de una empresa a otra, los desafíos comunes incluyen consideraciones de costos, falta de experiencia y preparación de los datos. Además, la amplitud y complejidad del proceso TPRM dificulta la integración de las soluciones de IA en los procesos y flujos de trabajo TPRM existentes.

La relación simbiótica entre la centralización y la IA puede ayudar a superar algunas de estas barreras y acelerar la adopción. Por ejemplo, un pilar clave del TPRM centralizado es armonizar y centralizar los datos en todos los verticales de la organización, pero esto también es un requisito previo clave para la IA, por lo que podría ayudar a superar la barrera de la preparación de los datos y acelerar la adopción de la IA. Del mismo modo, la IA puede catalizar la centralización, al proporcionar a los responsables del TPRM la capacidad de supervisar los datos en tiempo real en toda la empresa y en el ecosistema de terceros. 

Los líderes empresariales y de riesgo pueden estas tres acciones para acelerar la transformación del TPRM y alcanzar todo el potencial de valor de la centralización y la adopción de la IA:

1. Centrarse en la empresa

El TPRM se lleva a cabo en diferentes verticales de la empresa, que están estructurados e incentivados para centrarse en diferentes métricas. Adquisiciones puede realizar un seguimiento del cumplimiento de los contratos y del rendimiento de los proveedores. La ciberseguridad puede centrarse en el tiempo de respuesta a los incidentes y en el costo de las brechas. La cadena de suministros puede preocuparse por el cumplimiento de los proveedores y las métricas de resiliencia.

Sin embargo, para aprovechar todo el potencial de la IA y la centralización es necesario comprender sus obligaciones a nivel empresarial —como las normativas, los imperativos de la junta directiva o los imperativos de los inversores—, así como la forma en que éstas se traducen en riesgos para terceros y se conectan con las métricas de las unidades de negocio individuales. Si sólo tiene en cuenta riesgos específicos, en lugar de cómo su ecosistema de terceros podría afectar al negocio en general, está limitando su visión y puede predisponerse a una toma de decisiones subóptima.

Ya hemos escrito anteriormente sobre el concepto de "administrador de riesgos", alguien encargado de priorizar los requisitos de gestión de riesgos en todos sus silos organizativos y de impulsar un enfoque de gestión de riesgos conectado y proactivo. El TPRM es una verdadera horizontal que atraviesa toda la empresa, en la que cada función interna tiene un impacto espejo en terceros. Se beneficiaría enormemente de un enfoque de gestión de riesgos.

2. Invertir en la preparación para la IA

Las respuestas a la encuesta muestran que la adopción de la IA en el TPRM es baja, pero que las organizaciones tienen la ambición de aumentar su adopción en los próximos años. Para salvar esa brecha y alcanzar esa ambición es necesario invertir en la preparación para la IA.

Esto incluye una evaluación exhaustiva de los actuales procesos, herramientas y prácticas de gestión de datos de TPRM para identificar brechas y áreas de mejora como preparación para la integración de la IA. Incluye la inversión en la preparación de los datos para mejorar su calidad, la normalización de los formatos de datos y la aplicación de la gobernanza de datos. Incluye la preparación de la fuerza laboral, cerrando las brechas de cualificación e invirtiendo en formación y mejora de las cualificaciones.

Fundamentalmente, incluye el seguimiento de las tendencias, tanto para seguir el ritmo de las mejores prácticas emergentes en TPRM, como para prepararse para las próximas oleadas de IA.

3. Cuestionar los supuestos y acelerar los puntos de inflexión

"Hace una década, la mayoría de las empresas tenían políticas que prohibían que sus datos tocaran nunca la nube pública, por el factor miedo a la tecnología", afirma Kawther Haciane, EY MENA Digital Risk Leader. "Hoy, el guión ha cambiado. Las empresas de todo el mundo son "cloud first", todo ha migrado a la nube, y las excepciones tienen que justificar por qué no deberían estar en la nube. ¿Qué pasó? Alcanzamos un punto de inflexión, los supuestos y la economía dieron un vuelco y se desencadenó la adopción masiva".

De hecho, la tecnología está repleta de ejemplos de tales puntos de inflexión, mientras que el nuevo entorno de riesgo está acelerando el ritmo del cambio no lineal, haciendo que los puntos de inflexión sean cada vez más probables. Considera cómo el lanzamiento de ChatGPT puso patas arriba las suposiciones sobre las capacidades de la GenAI y los plazos en los que podrían alcanzarse. O considera algo más cercano para las funciones de TPRM: cómo la pandemia de COVID transformó algunos componentes de TPRM casi de la noche a la mañana, ya que el cambio al trabajo a distancia eliminó la capacidad de realizar auditorías in situ, obligando a las organizaciones a adoptar la tecnología a escala.

Puede que ahora nos estemos acercando a un punto de inflexión similar para la adopción de la IA en el TPRM. A medida que el número y la complejidad de las relaciones con terceros han aumentado en los últimos años, también lo han hecho la fricción, el dolor y el costo de realizar manualmente las evaluaciones de riesgos de terceros. Pero esto también está cambiando la economía de la adopción de la IA. Una vez que se realizan evaluaciones a mayor escala —de miles en lugar de cientos— se tiene un mayor incentivo financiero para invertir en IA, así como la ampliación de la escala con la que recuperar esas inversiones.

Un punto de inflexión aún mayor puede ser inminente en el avance de la tecnología. La nueva generación de modelos de IA —incluidas la IA agencial, la IA multimodal, la IA de razonamiento y la IA de automejora— están aportando capacidades revolucionarias, y combinarlas podría suponer un cambio de juego para el TPRM. Esto podría desafiar los cálculos de costo-beneficio y hacer irresistible la propuesta de valor de la IA.

Los puntos de inflexión analizados anteriormente tienen algo en común: tomaron a la mayoría de las empresas por sorpresa, obligándolas a apresurarse y a elaborar una respuesta a menudo apresurada. Pero hay otro camino. Anticipándose a un punto de inflexión, puedes preparar a tu organización para ello. Aún mejor, puedes acelerar el cambio dando los pasos identificados anteriormente, para invertir en el futuro, arreglar los incentivos desalineados y realinear las estructuras organizativas.

TPRM existe para garantizar que el resto de la organización no se vea sorprendida por disrupciones externas. Ahora, más que nunca, puede que necesite aplicarse ese enfoque a sí misma.