Gestión de riesgos de terceros (TPRM).

Disciplina integral de identificar, evaluar, contratar, monitorizar y desvincular terceros para que los riesgos ciber, operativos y de cumplimiento que aportan se mantengan dentro del apetito. Pertenece a la categoría de Cumplimiento y marcos en ciberseguridad.

Disciplina integral de identificar, evaluar, contratar, monitorizar y desvincular terceros para que los riesgos ciber, operativos y de cumplimiento que aportan se mantengan dentro del apetito.

TPRM abarca toda relación en la que la organización depende de un tercero —proveedores, prestadores de servicios, plataformas cloud, socios fintech, n-ésimos proveedores— para entregar resultados de negocio. Un ciclo típico incluye categorización por riesgo inherente, due diligence (cuestionarios de seguridad, SOC 2, ISO 27001, auditorías in situ), salvaguardas contractuales (derecho de auditoría, notificación de brechas, cláusulas de datos), monitorización continua (ratings, inteligencia de amenazas, atestaciones), gestión de incidentes y desvinculación. Reguladores financieros (DORA, OCC, FFIEC), sanitarios (HIPAA) y de privacidad (RGPD) imponen exigencias cada vez más prescriptivas. Los programas modernos integran TPRM con ERM, compras, legal y operaciones de ciberseguridad y prestan especial atención a la concentración y a la cadena de suministro.

Las defensas contra Gestión de riesgos de terceros (TPRM) combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: TPRM, Riesgo ciber de terceros.