Después de leerlo, podrá enviar cuestionarios acordes con el riesgo y crear una biblioteca que los responda rápido y con veracidad.
Definición
Los compradores usan sus propias listas o listas compartidas, como el SIG de Shared Assessments o el CAIQ de la Cloud Security Alliance. Las respuestas suelen acabar en el contrato, lo que les da peso.
Por qué importa
Para un comprador es una forma barata de comparar proveedores. Para un proveedor sin nada preparado, puede frenar una venta durante semanas.
Su límite es que las respuestas son autodeclaradas, así que las evidencias y las cláusulas del contrato deben respaldar lo más importante.
Cómo funciona
Si lo envía, ajústelo al nivel: una lista corta para riesgo bajo y la completa solo para proveedores críticos. Pida evidencias sobre los puntos importantes y lea las respuestas.
Si responde, mantenga una biblioteca de respuestas aprobadas, cada una con su evidencia y su responsable, y actualícela tras cada cambio relevante.
Responda exactamente a lo que se pregunta. Si una práctica es solo parcial, dígalo y explique el control compensatorio.
Un caso práctico
Una empresa SaaS de 50 personas recibe unos cuatro cuestionarios al mes, de unas 200 preguntas cada uno. Crea una biblioteca de 150 respuestas aprobadas y una página de confianza con su certificado ISO/IEC 27001.
El tiempo medio de respuesta baja de nueve días a dos, y ventas solo recurre a seguridad cuando una pregunta es nueva.
Buenas prácticas
- Haga que alguien que conozca la práctica apruebe cada respuesta.
- Ponga fecha a sus respuestas y revíselas una vez al año.
- Comparta las evidencias bajo un acuerdo de confidencialidad.
- Convierta las preguntas que se repiten en documentos públicos.
Errores frecuentes
- Responder que sí a todo para cerrar la venta. Esas respuestas pueden volver como cláusulas del contrato.
- Reutilizar una respuesta antigua después de que la práctica haya cambiado.
- Enviar 300 preguntas a un pequeño proveedor de servicios de bajo riesgo.
- Recoger respuestas y no leerlas nunca, lo que hace perder el tiempo a todos.
Preguntas
- ¿Qué es el cuestionario SIG?
- El Standardized Information Gathering questionnaire de Shared Assessments, muy usado en las revisiones de proveedores.
- ¿Qué es el CAIQ?
- El Consensus Assessments Initiative Questionnaire de la Cloud Security Alliance, pensado para proveedores de nube.
- ¿Puede un certificado sustituir a un cuestionario de seguridad?
- Puede acortarlo, sobre todo cuando el alcance encaja. Muchos compradores siguen pidiendo detalles.
- ¿Son jurídicamente vinculantes las respuestas a los cuestionarios?
- Pueden serlo, sobre todo si el contrato se remite a ellas, y una respuesta falsa puede constituir una declaración engañosa.
- ¿Puede la IA rellenar cuestionarios de seguridad?
- Puede redactar un borrador a partir de sus respuestas aprobadas. Alguien que conozca la práctica debe revisarlo de todos modos.