Cuarta parte y más allá: el riesgo que tu inventario no ve

El inventario que termina donde empieza el problema

La mayoría de los programas de gestión de terceros están pensados para responder a una pregunta razonable: ¿con quién trabajamos directamente y qué riesgo tiene cada uno? Como punto de partida tiene sentido. Se convierte en una trampa cuando se toma como punto de llegada.

El riesgo de cuarta parte, y en general el de n-ésima parte, es justo lo que ese inventario no recoge: los proveedores de tus proveedores, los subcontratistas de tus subcontratistas, la cadena de dependencias que se extiende varios eslabones más allá de cualquier contrato que hayas firmado. Que no aparezcan en tu registro no significa que no puedan afectarte. Significa que no los verás venir.

En español hay poca literatura técnica sobre este concepto. «Cuarta parte» y «riesgo de n-ésima parte» se usan con poca coherencia, a veces como sinónimos de tercero y a veces como una categoría aparte que nadie se molesta en definir bien. Conviene aclarar la distinción antes de hablar de gestión o de regulación.

Primera, segunda, tercera... y la que nadie vigila

En la terminología habitual de gestión de riesgos, la primera parte es tu propia organización. La segunda es tu cliente. La tercera es cualquier proveedor externo con el que tengas una relación contractual directa: el proveedor de infraestructura en la nube, el desarrollador de software, el procesador de pagos, la empresa que mantiene los sistemas de control industrial.

La cuarta parte es el proveedor de ese proveedor: el subcontratista que presta servicios críticos a tu tercero sin que tú lo sepas, sin contrato y sin visibilidad. La quinta es el proveedor de ese subcontratista. Y así sucesivamente, en una cadena cuya longitud real casi nunca se conoce con precisión.

«N-ésima parte» es el término técnico para cualquier eslabón más allá del tercero, haya los niveles de subcontratación que haya. Lo importante no es cuántos niveles hay, sino que cada uno puede materializar un riesgo real para tu organización aunque no tengas relación formal con ninguno de sus actores.

El caso SolarWinds como anatomía de un incidente de cuarta parte

El ataque a SolarWinds, descubierto en diciembre de 2020, sigue siendo el ejemplo mejor documentado de cómo el riesgo de la cadena de suministro se materializa a través de capas de subcontratación. Los atacantes, atribuidos al grupo APT29, no entraron directamente en las agencias gubernamentales ni en las empresas afectadas. Comprometieron el proceso de compilación de software de SolarWinds, un proveedor de herramientas de gestión de red que usaban miles de organizaciones. Con esa puerta trasera, insertada en actualizaciones legítimas del producto Orion, accedieron a las redes de unos 18.000 clientes.

Para la mayoría de las organizaciones afectadas, SolarWinds era un tercero. Pero el vector de ataque real fue la cadena de suministro de software de la propia SolarWinds. Era un problema de cuarta parte, y ningún cuestionario de evaluación de proveedores estaba pensado para detectarlo. La pregunta correcta no era «¿tiene SolarWinds buenas prácticas de seguridad?» sino «¿qué acceso tienen los proveedores de SolarWinds a su proceso de desarrollo?», y esa pregunta no estaba en el inventario de nadie.

Qué dice el RGPD sobre los subencargados

La regulación europea abordó antes que nadie el problema de la cadena de subcontratación, aunque desde el punto de vista del tratamiento de datos personales. El artículo 28 del RGPD establece con una claridad difícil de superar que un encargado del tratamiento no puede recurrir a otro encargado sin la autorización previa del responsable. La autorización puede ser específica, para cada subencargado, o general. Si es general, el encargado tiene que comunicar cualquier cambio y el responsable puede oponerse.

Lo que convierte el artículo 28.4 en un mecanismo de gestión de cuarta parte es su regla de transmisión: el subencargado tiene que asumir por contrato las mismas obligaciones del contrato principal. Y si el subencargado incumple, el encargado original sigue siendo plenamente responsable ante el responsable del tratamiento. La responsabilidad no se puede delegar a una capa más profunda de la cadena.

La Agencia Española de Protección de Datos ha sancionado usos irregulares de subencargados, con multas de más de 75.000 euros en casos en que el encargado recurrió a subcontratistas sin autorización del responsable. El incumplimiento no es una infracción menor ni difícil de detectar para una autoridad de control con acceso a los contratos.

El Comité Europeo de Protección de Datos publicó en 2024-2025 un dictamen sobre la dependencia de encargados y subencargados. Refuerza la interpretación de que la cadena de obligaciones no puede romperse en ningún eslabón.

La respuesta de DORA: subcontratación como riesgo sistémico

Si el RGPD abordó el problema desde la privacidad, DORA, el Reglamento (UE) 2022/2554 sobre resiliencia operativa digital, lo aborda desde la estabilidad del sistema financiero. El resultado es una regulación más exigente en documentación, gobierno y visibilidad de la cadena de subcontratación.

El artículo 25 de DORA fija las reglas para subcontratar servicios que apoyan funciones críticas o importantes de las entidades financieras. El proveedor TIC que quiera subcontratar partes significativas del servicio necesita la autorización previa y por escrito de la entidad financiera. Cualquier cambio de subcontratista debe comunicarse con antelación suficiente para que la entidad evalúe el impacto y, si procede, se oponga.

Y lo que es más importante: las normas técnicas de regulación sobre subcontratación de DORA introducen tres obligaciones operativas que van más allá de los contratos. La primera es mantener un inventario estructurado de subcontratistas organizado por servicio prestado, no una lista genérica de proveedores. La segunda es trasladar por contrato, hacia abajo en la cadena, las cláusulas relevantes del artículo 30, que fija los requisitos mínimos de los contratos. La tercera es documentar la exposición a la concentración, incluida la dependencia de un único hiperescalador compartido por varios niveles de la cadena.

Esta última obligación enlaza directamente con la forma más frecuente y menos visible del riesgo de n-ésima parte: veinte proveedores distintos que comparten la misma infraestructura en la nube no son veinte riesgos independientes.

El problema del inventario y cómo abordarlo

Ganar visibilidad sobre la cuarta parte no exige, como a veces se dice, mapear la cadena entera hasta el último subcontratista de cada proveedor. Es un objetivo inviable que además distrae del problema real. Lo más eficaz es partir de la criticidad. Identifica qué servicios de terceros son críticos para tus funciones esenciales y, para esos servicios, exige al proveedor un inventario de sus propios subcontratistas y la documentación de las obligaciones que les ha trasladado.

El Financial Stability Board formuló este enfoque en su informe final sobre gestión y supervisión del riesgo de terceros, publicado en diciembre de 2023. Subraya la necesidad de un ciclo de vida de gestión completo que incluya identificar las dependencias sistémicas en proveedores compartidos. La recomendación no es auditar a cada subcontratista de cada tercero, sino conocer el mapa de dependencias críticas lo bastante para saber dónde se concentra de verdad el riesgo.

En la práctica, esto supone añadir a la due diligence de los proveedores críticos unas preguntas concretas: ¿Qué parte del servicio contratado se presta mediante subcontratistas? ¿Qué subcontratistas tienen acceso a sistemas o datos críticos? ¿Tienen esos subcontratistas las mismas obligaciones contractuales que el proveedor principal? ¿Cómo gestionas tú, como proveedor, el riesgo de tus propios proveedores?

Las respuestas no garantizan que no vaya a producirse un incidente de cuarta parte. Pero permiten diseñar controles compensatorios, preparar planes de contingencia realistas y, con DORA, demostrar a la autoridad supervisora que la entidad financiera conoce su mapa real de dependencias.

La concentración como multiplicador de n-ésima parte

Hay un escenario de riesgo de cuarta parte que pide atención propia porque es especialmente difícil de detectar con los métodos habituales: la concentración compartida en infraestructura.

Cuando varios de tus proveedores críticos usan el mismo hiperescalador, una caída de ese hiperescalador no provoca el incidente de un proveedor, sino el de todos a la vez. Tu inventario de terceros puede mostrar diez proveedores distintos con calificaciones de riesgo aceptables por separado. Pero si nueve de los diez funcionan sobre la misma plataforma en la nube, el riesgo efectivo es el de un único proveedor con la criticidad sumada de los nueve.

Es el problema que DORA intenta abordar con su artículo 29 sobre riesgo de concentración, y que el FSB señala como una de las principales fuentes de riesgo sistémico del sector financiero. La Autoridad Bancaria Europea exige a las entidades financieras que documenten y evalúen este riesgo explícitamente antes de iniciar nuevas relaciones con proveedores TIC.

En definitiva, el riesgo de cuarta parte no es una abstracción teórica ni una categoría regulatoria secundaria. Es la brecha estructural entre el perímetro de seguridad que describe tu inventario y el perímetro real de tu exposición. Cerrar esa brecha empieza por reconocer que termina donde empieza el problema.