Proveedores · Gestión de riesgos de terceros
Sabe qué proveedor tiene acceso a qué y qué te debe cada uno
Hoy vive en correos y en un Excel que nadie actualiza. Almenara lleva la vida de cada proveedor, del alta al aviso de que algo caduca, y tu proveedor responde desde su portal sin pagar nada.
La vida de un proveedor, del alta al aviso
Tu proveedor de nóminas, de principio a fin. En cada paso, lo que ves tú y lo que ve él en su portal.
Datos de ejemplo
Mes 1
Alta
Lo das de alta con su servicio y los datos a los que accede. Trata las nóminas de toda tu plantilla, con datos personales y bancarios: sale de criticidad alta.
- Lo ves tú
- Su criticidad, calculada con lo que has contestado, y la reevaluación cada año.
- Lo ve tu proveedor
- Nada todavía: no necesita cuenta hasta que le llega el cuestionario.
Mes 1
Cuestionario
Le llega un cuestionario de cinco preguntas, elegidas por su criticidad, con 30 días de plazo.
- Lo ves tú
- El estado de cada pregunta, sin perseguir correos.
- Lo ve tu proveedor
- Qué se le pide, por qué y hasta cuándo, en su portal gratuito.
Mes 2
Hallazgo que bloquea
No cifra los datos que guarda. La aprobación queda bloqueada hasta que lo resuelva.
- Lo ves tú
- El hallazgo, ligado a la pregunta y a la evidencia que lo muestra.
- Propone la IA
La política de cifrado cubre los datos en tránsito, pero no dice nada de los datos guardados.Decide una persona
La evaluadora lo confirma y lo marca como hallazgo que bloquea la aprobación. - Lo ve tu proveedor
- Solo vuelve esa pregunta, con la observación de qué falta. El resto se queda como estaba.
Mes 2
Plan de acción
Tu proveedor se compromete a cifrar los datos guardados antes de una fecha, con su responsable.
- Lo ves tú
- La acción con su fecha, y un aviso si se acerca sin cerrar.
- Lo ve tu proveedor
- Su compromiso y la fecha, a la vista en el portal.
Mes 3
Aprobado con condiciones
Lo apruebas mientras el plan siga en fecha. Queda quién lo aprobó, cuándo y con qué condiciones.
- Lo ves tú
- La aprobación y sus condiciones, en el registro de cambios.
- Lo ve tu proveedor
- Que está aprobado y lo que le queda pendiente.
Mes 14
Su certificado caduca
Once meses después de aprobarlo, su certificado ISO 27001 caduca en 30 días. El aviso os llega a los dos antes de que caduque.
- Lo ves tú
- La reevaluación ya propuesta, con lo que estaba validado.
- Lo ve tu proveedor
- Que suba el certificado renovado. Si ya lo validó en el directorio para otro cliente, no lo vuelve a subir.
El mismo cuestionario, desde los dos lados
Así queda el cuestionario del paso 2 tras la primera revisión. Tú ves el estado de cada pregunta y lo que propone la IA; decide una persona. Tu proveedor lo ve en su portal, que es gratuito: qué se le pide, por qué y hasta cuándo.
Datos de ejemplo
SGSI.01
Validada¿Tiene un sistema de gestión de la seguridad de la información certificado?
Evidencia: certificado-iso27001.pdf
Propuesta de la IA · Aceptar: certificado vigente, con el alcance que cubre el servicio de nóminas.
CIF.03
Devuelta¿Cifra los datos en reposo y en tránsito?
Evidencia: politica-cifrado-v3.pdf
Propuesta de la IA · Devolver: la política cubre los datos en tránsito, pero no los datos guardados.
SUB.02
Validada¿Qué subcontratistas tratan nuestros datos?
Evidencia: registro-subencargados.xlsx
Propuesta de la IA · Aceptar: declara dos, con su servicio y su país.
CON.04
En revisión¿Ha probado su plan de continuidad en los últimos doce meses?
Evidencia: prueba-continuidad-2026.pdf
Propuesta de la IA · Revisar: la prueba recupera el cálculo de la nómina, no el envío de los pagos.
INC.01
Sin respuesta¿Nos notificará en menos de 24 horas un incidente que afecte a nuestros datos?
Sin respuesta todavía
Datos de ejemplo
- Tu organización: pulsa para el resumen
- Subcontrata
- Evidencia devuelta
En pantallas estrechas se ven los proveedores de criticidad crítica y alta. La tabla los recoge todos.
40 proveedores · todos
Toda tu cadena de proveedores, y el que necesita atención
Cuanto más cerca del centro, más crítico es el proveedor. Las líneas unen a cada uno con los subcontratistas que declara: los proveedores de tus proveedores. El punto ámbar es el único con una evidencia devuelta.
6 proveedores dependen del mismo proveedor de nube
Si ese proveedor se cae, se caen seis a la vez, aunque ninguno de ellos tenga nada pendiente. La ficha de cada uno dice con cuántos comparte la dependencia.
Los seis
- Velmora Pagos
- Fendril Identidad
- Quintela ERP
- Tarsia Copias
- Marcial CRM
- Nubeda Formación
Datos de ejemplo
Míralo antes de hablar con nadie
Demo
Cae tu proveedor de nube
El aviso de tu proveedor de nube llega a su ficha y, de ahí, a todo lo que depende de él. El caso entero, contado desde la pantalla.
Recorre el caso
Qué hace la plataforma y qué hace nuestro equipo
Con el módulo, el trabajo lo hace tu equipo y la plataforma lo ordena, lo recuerda y lo guarda con su evidencia. Si prefieres delegar una parte, nuestro equipo la hace como servicio de alcance cerrado, que se contrata aparte.
Lo hace la plataforma
- Guarda el inventario de proveedores con su criticidad, incluidos los proveedores TIC que soportan funciones esenciales o importantes
- Envía los cuestionarios y recoge las respuestas en el portal del proveedor, sin coste para él
- Registra la revisión de cada evidencia y devuelve la que no basta con lo que falta
- Avisa antes de que venza una reevaluación, según la criticidad de cada proveedor
- Mantiene el registro de información DORA con los datos que ya gestionas
- Reutiliza los certificados que el proveedor ya validó en el directorio, sin coste
Lo hace nuestro equipo
Revisión inicial de proveedoresAl empezar
Revisamos hasta 50 proveedores y los clasificamos por criticidad para que empieces con el inventario hecho.
Registro de información DORACada año
Preparamos el registro de información de tus acuerdos con proveedores TIC, lo dejamos listo para que lo envíes a tu supervisor y lo ponemos al día cada año.
Plan de salida de un proveedorPor proveedor
Diseñamos cómo dejar a un proveedor crítico sin que se paren los procesos que dependen de él.
Auditoría de un proveedorCuando hace falta
Auditamos en profundidad a un proveedor crítico cuando la evaluación no basta.
Evaluación compartida de proveedorCada año
Para proveedores: te evaluamos una vez al año y compartes la evaluación completa con los clientes que elijas, entre los que usan Almenara.
Con qué se conecta Proveedores
Lo que pasa en este módulo llega a los demás sin volver a introducirlo.
- CumplimientoEl riesgo de cada proveedor entra en el análisis de riesgos y en la Declaración de Aplicabilidad (controles 5.19–5.22) sin copiarlo a mano.Ver las 2 conexiones
- ContinuidadLos proveedores críticos entran en el BIA como dependencias, y sus planes de salida forman parte del plan de continuidad.Ver las 4 conexiones
- IncidentesUn incidente en un proveedor queda ligado a su ficha y revisa su criticidad y su próxima evaluación.Ver las 4 conexiones
Y la misma evaluación de cada proveedor te sirve para ISO 27001, el Esquema Nacional de Seguridad (ENS), DORA, NIS2 o el cuestionario de un cliente.
Míralo con tus propios datos
Pide información o una reunión: en 60 minutos cargamos una muestra de tus datos y lo ves funcionando.