La gestión de proveedores en los tiempos del Covid-19

El trabajo es complejo, pero para nada resulta imposible. Para todo ello, existen metodologías, normas, buenas prácticas, estándares internacionales que han demostrado robustez a quien ha conseguido implantarlos de una manera efectiva. En estas metodologías no solo se consideran eventos como una pandemia, sino otras eventualidades de poca probabilidad, pero mucho impacto, tales como desastres naturales, ataques informáticos, accidentes, sabotajes, guerras, fallos energéticos, etc.

Y el perímetro sobre el que debemos aterrizar todo ello no son sólo nuestros propios procesos internos en la organización, nuestros trabajadores, accionistas y clientes, sino que adquiere especial relevancia nuestra relación con terceros.

Pensemos en la cantidad de negocios cuya continuidad tiene un alto nivel de dependencia en terceros, y por supuesto, en las garantías, integridad, reputación, robustez de tecnología, cumplimiento de plazos y calidad de esos terceros. Más aún, si cuando hablamos de terceros tenemos en consideración agentes comerciales, socios de negocio, UTE´s y Joint Ventures, colaboradores, franquiciados, etc.

8 consideraciones a tener en cuenta sobre la gestión de proveedores

Pero centrémonos ahora únicamente en la gestión con proveedores. A continuación recojo algunas consideraciones importantes que hemos aprendido en esta época sobre los procesos de diligencia debida a proveedores, que sirven a las compañías para mejorar la toma de decisiones en entornos tan importantes como la Continuidad, la Calidad, la Privacidad, los compromisos contractuales, la Ciberseguridad, el Compliance, etc.:

1. Nivel de preparación de nuestro proveedor para afrontar una crisis de este tipo. Será necesario conocer si tenía un Plan de Continuidad de Negocio, si ha activado su Plan de Crisis, conocer qué medidas ha tomado, en qué nos puede afectar una eventual disminución de sus capacidades, etc. Una buena unidad de medida homogénea podría ser la ISO 22301 sobre Sistemas de Gestión de Continuidad de Negocio – Seguridad y Resiliencia.

2. Aspectos concretos de la normativa de Prevención de Riesgos Laborales, tanto los generales, como los aspectos concretos en el momento de crisis sanitaria actual. Es decir, sería necesario conocer si el proveedor tiene empleados infectados, si han prestado servicios en nuestras instalaciones, qué porcentaje de la plantilla continua su actividad en teletrabajo, o presencialmente si está en alguno de los casos que la norma del estado de alarma permite, etc.

3. Flexibilidad, agilidad y apoyo de proveedores. Hemos de ser conscientes de que hay proveedores que no son meros suministradores de bienes o productos, sino auténticos partners y compañeros de viaje, cuyo apoyo es primordial para conseguir los objetivos de nuestra compañía. Pensemos en todas las compañías que están haciendo esfuerzos extraordinarios para dar soporte a sus clientes, acortando plazos, produciendo en 24×7, adaptándose a nuevos pedidos, alargando horarios, diseñando en tiempo récord nuevas soluciones, etc.

4. Garantías legales. A pesar de la excepcionalidad de la situación y la urgencia, hemos de ser cautos y tomar decisiones informadas respecto a contratación de terceros, ampliación de contratos, resolución de otros… para evitar comportamientos no éticos, anticompetitivos, fraudulentos o corruptos. Precisamente son estos momentos donde una relajación de nuestro Sistema de Compliance y de algunos controles se podrían transformar en vulnerabilidades que podrían aprovechar aquellos que conocen el sistema y cómo sortearlo en su propio interés.

5. Necesidad de acreditar el Compliance en esas relaciones con terceros. Recordemos que existen normativas que incorporan obligaciones muy determinadas entre una compañía y sus proveedores, no sólo la necesidad de incorporar clausulas específicas en los contratos, sino también ejercer controles concretos en la operación de dicho tercero. En ese sentido podemos inventariar el cumplimiento de normativa general (protección de datos, Compliance Penal y modelos de prevención de delitos, etc.) y también de normativa sectorial (Ley de Protección de Infraestructuras Críticas, Esquema Nacional de Seguridad, Outsourcing informático para entidades financieras, etc.).

6. La diligencia debida como proceso continuo. No podemos entender como un cumplimiento completo de las obligaciones de diligencia debida únicamente la gestión del “alta” de un proveedor en el proceso de homologación en una entidad. En muchas ocasiones esa obligación es continua y requiere de un cierto seguimiento y monitorización, especialmente en situaciones como las circunstancias actuales de crisis sanitaria y modificaciones legislativas y fácticas continuas.

7. Es necesario un sistema de gestión digital de la diligencia debida. Sin duda, resulta nuclear contar con un sistema que permita una gestión central, ágil, digital y sistematizada de toda esta información para obtener los indicadores y las métricas adecuadas para la correcta toma de decisiones y capacidad de demostrar el cumplimiento debido. En los casos donde esa información se obtiene de diversas fuentes no sistematizadas (informes web, informes ofimáticos, adjuntos en correos electrónicos, etc.) la gestión de la diligencia debida será muy manual, poco homogeneizada y sin poder obtener información global en un dashboard de situación completo. Una vez más contar con herramientas específicas profesionales puede ayudar en este proceso.

8. Revisión de las cláusulas donde se regulan los casos excepcionales, los casos fortuitos, las causas de fuerza mayor, etc. ya que casi siempre obedecen a fórmulas primigenias de un copia-pega de otros contratos, y quizá ahora, más que nunca, merezca la pena estudiar bien esta cuestión y regularlo en los nuevos contratos de una manera locuaz y práctica.

Como conclusión, existen muchos aprendizajes de esta situación que tienen que hacer replantearnos toda nuestra política de relaciones con terceros y procesos de diligencia debida en las organizaciones, tanto públicas como privadas, sabiendo que los puntos de partida para regular tales relaciones, por lo civil-mercantil, o en el contexto de derecho administrativo, son muy diferentes.

Si estás interesado en soluciones de gestión de riesgo de terceros, pincha aquí:

https://www.ecixgroup.com/landingetpc/

Carlos Alberto Saiz Peña

Socio de Ecix Group