Monitorización de riesgo de proveedores: inteligencia de riesgo externo y vigilancia continua

¿Qué es la monitorización de riesgo de proveedores?

La homologación dice que un proveedor era aceptable el día que lo aprobaste. La monitorización dice si lo sigue siendo. Consiste en vigilar a los proveedores homologados por si cambia algo que afecte a tu suministro o a tu cumplimiento, decidir qué cambios importan según lo que le compras a cada uno y hacer llegar cada cambio a quien gestiona al proveedor con contexto suficiente para actuar.

En un fabricante, la pregunta detrás de cada aviso es la misma: ¿qué le pasa a mi producción si este proveedor quiebra, es sancionado o hay que sustituirlo? Por eso el dato externo hay que leerlo junto a tus datos de gasto, calidad, entregas y fuentes alternativas.

¿Qué riesgos externos debe vigilar un fabricante?

No todos los proveedores necesitan todas las dimensiones. La ciberseguridad importa en los proveedores conectados a tus sistemas o que guardan tus datos; para las entidades incluidas, la Directiva NIS2 cita la seguridad de la cadena de suministro entre las medidas de gestión de riesgos de su artículo 21. La exposición a trabajo forzoso y la evidencia de subproveedores están en las guías de diligencia debida en Tier 2 y Tier 3 y de trabajo forzoso.

¿De dónde salen los datos de riesgo de un proveedor en España?

De cuatro sitios. Los proveedores de datos que contratas: informes comerciales y de solvencia (Informa D&B, Axesor, Creditsafe, Moody's), calificaciones ESG (EcoVadis), ratings de seguridad. Las fuentes públicas: el Registro Mercantil (cuentas anuales depositadas, administradores, apoderados), el BORME (nombramientos, ceses, cambios de domicilio, disoluciones), el Registro Público Concursal, las listas de sanciones y la prensa. El propio proveedor: cuentas, certificados, cuestionarios y evidencias de auditoría. Y tus sistemas: gasto, pedidos, recepciones, calidad y entregas en el ERP y en el sistema de calidad.

Muchos equipos ya tienen contratado un informe comercial y los datos internos, pero los tienen separados: el rating en una herramienta, el gasto en el ERP, los 8D en calidad. El valor está en leerlos juntos, proveedor a proveedor.

¿Cómo debe funcionar el cribado de sanciones y PRP después del alta?

Criba a la empresa, a sus titulares reales y a sus administradores en el alta, y de nuevo cada vez que cambian las listas o la titularidad. En España aplican directamente las medidas restrictivas de la UE. Si tienes negocio con EE. UU., añade la lista SDN de OFAC: las entidades participadas al 50% o más, individualmente o en conjunto, por personas bloqueadas también quedan bloqueadas, aunque no aparezcan por su nombre.

Una posible coincidencia va a una persona con la evidencia: el nombre designado, los campos que coinciden y las diferencias. Las personas con responsabilidad pública (PRP, definidas en el artículo 14 de la Ley 10/2010) se tratan de otra forma: no están sancionadas, pero el GAFI las considera de mayor riesgo y pide reforzar la diligencia debida. En los dos casos decide cumplimiento.

¿Cómo se combinan datos externos e internos en una sola puntuación?

Primero los filtros eliminatorios: una coincidencia confirmada en sanciones no se compensa con un buen nivel de servicio. Después, cada dimensión se puntúa en tu escala, con tus pesos, y con el motivo de cada punto a la vista. La parte interna suele incluir:

El mismo rating no significa lo mismo en un fundidor que es fuente única que en un proveedor de material de oficina. La exposición convierte una señal en una prioridad. Cómo entran la calidad y el estado PPAP en el expediente se explica en la guía de homologación técnica y de calidad.

¿Cómo es la monitorización continua en la práctica?

1. Decidir a quién se vigila y con qué intensidad

   Segmenta la base de proveedores por exposición: los proveedores únicos y de alto gasto de material productivo reciben todas las señales; un proveedor de indirectos de bajo riesgo quizá solo necesite sanciones y caducidades.

2. Fijar qué cuenta como cambio

   Para cada dimensión, deja por escrito el umbral que debe llegar a una persona: una puntuación por debajo de un valor de tu escala, cualquier coincidencia nueva en sanciones, noticias adversas de ciertas categorías, una bajada de calificación.

3. Vigilar las fuentes de forma continua

   Vuelve a cribar contra las listas de sanciones cuando cambian, actualiza los datos financieros y ESG cuando el proveedor de datos los actualiza, y revisa el BORME, el Registro Público Concursal y la prensa vinculada a la empresa y a sus socios.

4. Enviar el cambio a su responsable con contexto

   El aviso dice qué proveedor, qué ha cambiado, la fuente, la fecha, el valor anterior y qué está expuesto por tu lado: gasto, pedidos abiertos, referencias sin segunda fuente.

5. Decide una persona

   El responsable de categoría o del proveedor decide: nada, vigilar, pedir información al proveedor, empezar a homologar una alternativa, frenar pedidos nuevos o escalar a cumplimiento o a jurídico. La decisión y su motivo quedan en el expediente del proveedor.

6. Cerrar el circuito con el proveedor

   Si el proveedor tiene que explicar una inscripción, enviar cuentas actualizadas o aportar evidencias sobre una denuncia, la petición va por correo y se reclama hasta que responde.

Esto es lo que lleva un aviso. Ejemplo ilustrativo con datos de muestra, no es un registro de cliente.

¿Cómo se detecta el riesgo de proveedor único y de concentración?

Con tus datos, no con un feed externo. Lista cada referencia o material con los proveedores homologados para suministrarlo y crúzala con pedidos y gasto. El resultado muestra las referencias con una sola fuente homologada, las familias donde un proveedor concentra la mayor parte del gasto y los proveedores para los que eres una parte grande de su facturación. Para cada referencia de fuente única con exposición alta, una persona decide si acepta el riesgo, mantiene stock de seguridad u homologa una alternativa, y esa homologación empieza como cualquier otra.

Errores frecuentes

• Cribar al proveedor una vez en el alta y no volver a hacerlo.
• Cribar a la empresa pero no a sus titulares reales ni a sus administradores.
• Pagar un informe comercial que nadie lee, o que avisa igual de todos los proveedores sin tener en cuenta la exposición.
• Puntuar con datos externos sin los tuyos: un rating flojo en un proveedor al que compras poco no es lo mismo que en una fuente única.
• Avisos que llegan a un buzón compartido sin responsable, sin contexto y sin registro de la decisión.
• Hablar con el proveedor por canales que no dejan rastro. Peticiones y respuestas van al expediente del proveedor.

¿Qué hace Traza en el riesgo de proveedores y dónde decide una persona?

Traza es una suite de compras source-to-pay operada por agentes de IA. Funciona como tu suite y sistema de registro, o sobre el SAP, Ariba, Coupa u Oracle que mantengas. En el riesgo de proveedores, Nora trabaja sobre el mismo expediente que construye en la homologación:

• Datos: el feed de datos de riesgo propio de Traza, más los proveedores de datos que ya tienes contratados, como Informa D&B, Creditsafe, Moody's o EcoVadis. Qué fuentes se conectan se acuerda al definir el piloto.
• Puntuación: los datos externos combinados con tus datos de gasto, calidad, entregas, cumplimiento y dependencia en una puntuación en tu escala, con tus filtros eliminatorios y el motivo de cada punto.
• Monitorización: los proveedores homologados se vigilan de forma continua, se vuelven a cribar contra listas de sanciones y PRP, y los cambios financieros, ESG y de noticias adversas se recogen cuando se publican.
• Avisos: cada cambio llega al responsable del proveedor en Microsoft Teams o Slack, con la fuente, el valor anterior y tu exposición.
• Seguimiento: cuando el proveedor tiene que explicar algo o aportar evidencias, Nora se lo pide por correo y lo reclama hasta que responde.

Una persona decide qué significa cada cambio: mantener, vigilar, pedir información, homologar una alternativa, frenar pedidos nuevos o escalar. Las coincidencias en sanciones van a cumplimiento. El estado del proveedor en tu ERP no cambia hasta que esa persona lo aprueba. Para la aprobación al inicio de la relación, consulta la guía de homologación de proveedores; para trabajar con proveedores sin portal, la guía de gestión de proveedores sin portal.

Para ver tu base de proveedores puntuada con tus propios datos, reserva una llamada.

Preguntas frecuentes

Este artículo es informativo y no sustituye al asesoramiento legal. Las referencias normativas corresponden a España; comprueba los requisitos que aplican a tu caso.