Confiar en que un proveedor cumplirá no protege tu negocio si dependes de una pieza, un transporte o una materia prima que falla fuera de tu vista. La gestión del riesgo de proveedores y continuidad de la cadena de suministro identifica suministradores que pueden interrumpir tu actividad, los valora por criticidad, probabilidad e impacto, y prepara alternativas antes del fallo.
Controlar proveedores evita paradas y falta de caja
Un proveedor es crítico cuando su fallo paraliza una operación esencial, aunque represente poco gasto anual. En España, puede ser una pieza sin sustituto para un taller de Madrid, un operador logístico de Barcelona o una plataforma de facturación que impide cobrar.
Un proveedor de bajo coste puede ser el más peligroso. Si tarda entre 30 y 90 días en ser sustituido, no tiene equivalente homologado o bloquea una fase esencial, debe recibir controles de proveedor crítico.
Riesgo inherente y residual
El riesgo inherente es el riesgo antes de aplicar defensas. Por ejemplo, depender de una sola fábrica para un componente esencial tiene un riesgo alto aunque todavía no haya ocurrido ningún retraso.
El riesgo residual es lo que queda tras aplicar controles comprobables, como stock de seguridad, una segunda fuente validada, auditorías o un acuerdo de nivel de servicio. No basta con afirmar que existe un plan: hay que probar que funciona en condiciones reales.
La criticidad no depende del gasto
La criticidad se calcula por el daño que causa una ausencia, no por el importe pagado. Un proveedor de 2.000 euros al año puede detener una línea que factura mucho más si aporta una etiqueta legal, un certificado, una licencia o una pieza específica.
La dependencia no se mide por euros comprados, sino por días de actividad que se pierden si ese tercero deja de responder.
Identificar la dependencia es el comienzo. El siguiente riesgo suele estar más abajo en la cadena, donde muchos negocios no miran.
El tier 2 puede inutilizar a un proveedor solvente
Un proveedor directo puede ser solvente y cumplir habitualmente, pero fallar porque su proveedor de segundo nivel no entrega una materia prima, un microcomponente, un embalaje o un servicio tecnológico. Mapear al menos el tier 2, es decir, el proveedor de tu proveedor, evita creer que hay diversidad cuando existe un único punto de fallo.
La práctica demuestra que, en estos casos, la continuidad falla por dependencias compartidas, no solo por insolvencia del proveedor directo. Por eso, para los proveedores críticos, conviene pedir información sobre centros de producción, materias primas, subcontratación, transporte y sistemas digitales esenciales.
El mapa llega hasta tier 2 y tier 3
Un mapa de suministro muestra quién entrega qué, desde dónde y mediante qué ruta. El tier 1 es tu proveedor directo; el tier 2 abastece a ese proveedor; el tier 3 aporta materiales básicos, energía, tecnología o componentes previos.
Pide al proveedor crítico una ficha con país de origen, fábricas, subcontratistas relevantes, materias primas escasas, operador logístico y plazo normal de reposición. Si se niega a informar, esa falta de transparencia es un riesgo que debe quedar registrado.
La concentración oculta invalida el doble origen
Tener dos proveedores solo protege si sus riesgos no coinciden. La diversificación es falsa si ambos usan la misma fábrica, dependen del mismo puerto, compran la misma materia prima o comparten un transportista con capacidad limitada.
Revisa también la ubicación. Una ruta que pasa por Barcelona puede ser adecuada para pedidos habituales, pero no es una alternativa si toda la mercancía depende del mismo almacén, terminal u operador. El riesgo geográfico aumenta cuando una incidencia local afecta a ambas opciones a la vez.
Conocer la cadena no sirve si todos los riesgos reciben la misma atención. La matriz decide dónde gastar tiempo y dinero primero.
Una matriz de tres ejes prioriza al proveedor crítico
Una matriz de criticidad, probabilidad e impacto permite priorizar proveedores con una escala de 1 a 5 por eje y un total entre 3 y 15 puntos. La empresa debe registrar la puntuación antes de aplicar controles y después de aplicarlos, porque una medida solo cuenta si reduce de verdad la exposición.
La criticidad mide cuánto daño causa la falta del proveedor. La probabilidad mide la posibilidad de que falle según señales, historial y dependencia. El impacto estima la pérdida de ventas, margen, servicio, calidad, caja o cumplimiento legal.
Puntuar criticidad, probabilidad e impacto
La probabilidad debe apoyarse en hechos: retrasos, descenso de OTIF, defectos, cambios de fábrica, capacidad reducida o señales de deterioro financiero. OTIF significa entregas completas y a tiempo; es un indicador básico para saber si el proveedor cumple lo prometido.
El impacto debe incluir tesorería. Una parada puede obligar a devolver anticipos, comprar transporte urgente, perder margen o retrasar cobros. Finanzas debe calcular cuánto efectivo se pierde por cada día sin suministro.
Umbrales y riesgo residual
Una puntuación de 3 a 6 permite revisión periódica. Entre 7 y 11 exige un responsable, una fecha y una medida concreta. Entre 12 y 15 requiere plan de continuidad, revisión por dirección y alternativa validada o inventario estratégico.
Tras aplicar controles, vuelve a puntuar el riesgo residual. Si un proveedor tiene un segundo origen probado y dos semanas de stock, la probabilidad o el impacto pueden bajar; si el alternativo solo está en una lista, no deben bajar.
| Criterio | 1 punto | 3 puntos | 5 puntos | Prueba requerida |
|---|
| Criticidad | Sustitución inmediata | Sustitución parcial | Parada operativa | Proceso afectado |
| Probabilidad | Historial estable | Incidencias repetidas | Alerta activa | OTIF y plazo real |
| Impacto | Coste asumible | Pérdida de margen | Pérdida de ventas | Caja y pedidos |
| Control residual | Probado | Parcial | No probado | Simulacro o auditoría |
Una matriz ordena prioridades. Las señales tempranas indican cuándo una prioridad se está convirtiendo en una urgencia.
Los KRIs alertan antes de que falle el suministro
Los KRIs, o indicadores de riesgo, avisan de un posible deterioro antes del incumplimiento; los KPIs miden el rendimiento ya ocurrido. Una pyme debe revisar ambos al menos cada mes para proveedores críticos y cada trimestre para solvencia, cumplimiento y concentración.
Un aumento sostenido del plazo de entrega, pedidos parciales o más defectos puede avisar entre 2 y 8 semanas antes de una rotura seria, según el ciclo de compra y el inventario disponible. El umbral debe adaptarse al plazo máximo que tu cliente acepta.
KRIs frente a KPIs de proveedores
Los KPIs más útiles son OTIF, porcentaje de defectos, plazo de entrega real, pedidos completos y cumplimiento del SLA. Un SLA es un acuerdo que fija niveles mínimos de servicio, como entregar en cinco días o responder una incidencia en cuatro horas.
Los KRIs incluyen crecimiento del lead time, caída de capacidad, concentración geográfica, dependencia de una materia prima, rotación de personal clave y señales de salud financiera. También deben incluir avisos de ciberseguridad cuando el proveedor accede a sistemas o datos.
Umbrales que obligan a actuar
Define tres niveles: verde para control normal, ámbar para investigar y rojo para activar medidas. Por ejemplo, dos entregas tardías seguidas, un aumento del lead time superior al margen de stock o un incumplimiento repetido del SLA deben abrir una revisión formal.
No copies porcentajes de otra empresa. Un 90% de OTIF puede ser aceptable para material no crítico y grave para repuestos sin sustitución. El umbral útil es el que deja tiempo para actuar antes de que se detenga el servicio.
✅
Nuestra recomendación
Un libro práctico sobre gestión de riesgos puede servir para estructurar la primera matriz y preparar una reunión interna de continuidad. Resulta útil si necesitas un método ordenado antes de adquirir una herramienta especializada.
- Ayuda a distinguir riesgo financiero, operativo, digital y de concentración
- Facilita crear un registro de riesgos con responsables y fechas
- Da criterios para revisar contratos y planes de contingencia
Ver disponibilidad →
La alerta solo tiene valor cuando alguien puede exigir una respuesta. Ahí entran el contrato y el reparto interno de responsabilidades.
Contrato y gobernanza hacen exigible la continuidad
Un contrato reduce el riesgo de un proveedor crítico cuando exige pruebas, plazos y consecuencias verificables. Debe recoger el plan de continuidad, la notificación de incidentes, las condiciones de subcontratación, los acuerdos de servicio y el derecho de auditoría cuando el daño potencial lo justifique.
El BCP es el plan de continuidad de negocio del proveedor. El RTO indica el tiempo máximo objetivo para recuperar un servicio, y el RPO señala cuántos datos se pueden perder como máximo. Estos dos últimos son clave para software, nóminas, facturación, logística digital y servicios que manejan información de clientes.
BCP, RTO y RPO verificables
Pedir un BCP no significa pedir un documento bonito. Solicita escenarios cubiertos, responsables, canales de comunicación, frecuencia de pruebas y evidencia de que el proveedor puede operar desde otra ubicación o recuperar sistemas.
Un RTO de 24 horas puede ser adecuado para un servicio secundario y totalmente insuficiente para un sistema que recibe pedidos. El RPO debe fijar cuántas horas de datos puedes asumir perder sin generar errores de facturación, incumplimientos o reclamaciones.
SLA, auditoría y aviso de incidentes
El contrato debe fijar SLA, plazo de aviso, escalado, corrección y pruebas. Para un proveedor crítico, pide aviso de incidentes relevantes dentro de un plazo pactado, información sobre subcontratistas y autorización previa ante cambios que afecten a la entrega.
Compras recopila condiciones y negocia; operaciones define el efecto real; calidad valida especificaciones; finanzas revisa solvencia; legal revisa obligaciones; TI analiza riesgos digitales. Dejar todo en compras es un error porque cada área ve una parte distinta del problema.
El papel lo aguanta todo. La prueba decisiva es comprobar que el proveedor alternativo y el plan de recuperación funcionan fuera del contrato.
La gobernanza funciona cuando cada alerta tiene propietario y plazo de decisión. Compras puede mantener el registro y solicitar información; operaciones debe confirmar el impacto en producción o servicio; calidad valida cualquier cambio de fuente; finanzas revisa la solvencia y la exposición de caja; legal controla las obligaciones contractuales; y TI evalúa los riesgos de acceso, datos y continuidad digital. Para los proveedores críticos, un comité mensual puede revisar KRIs, riesgo residual, avances de planes y excepciones abiertas.
Si un indicador pasa a rojo, dirección debe decidir en un plazo definido si financia stock de seguridad, activa una segunda fuente validada, acepta formalmente el riesgo o cambia las condiciones del suministro.
Un alternativo solo sirve si ya está probado
Un proveedor alternativo solo reduce el riesgo cuando está homologado, ha superado una prueba de calidad o servicio, tiene precios y plazos documentados, y puede aceptar pedidos sin bloqueos administrativos. Una empresa no dispone de una alternativa real si debe empezar la búsqueda cuando ya ha sufrido la interrupción.
La recomendación extendida de tener dos proveedores es incompleta para productos técnicos, sanitarios, regulados o con especificaciones propias. En esos casos, homologar puede tardar entre 30 y 180 días, y cambiar de fuente sin validar puede provocar defectos, devoluciones o incumplimientos.
La homologación documental revisa solvencia, certificados, cumplimiento, calidad, ESG y ciberseguridad. La validación operativa comprueba muestras, pedido piloto, producción, embalaje, trazabilidad y capacidad de entrega.
Pide evidencia de materias primas disponibles, capacidad reservable, ruta logística y compatibilidad técnica. Un proveedor puede cumplir todos los documentos y no tener hueco de producción hasta dentro de seis semanas.
Inventario, transporte y sustitución real
El inventario estratégico es una cantidad adicional guardada para cubrir una interrupción concreta. Funciona mejor cuando el artículo no caduca, ocupa poco, tiene alta criticidad y necesita una homologación lenta.
Incluye rutas, embalajes, almacenes y transportistas en el plan. Un segundo fabricante no resuelve nada si solo puede entregar por el mismo operador que ya está bloqueado.
La alternativa probada reduce la incertidumbre. Ahora falta convertir ese trabajo en un sistema que una pyme pueda mantener sin ahogarse en reuniones.
La due diligence de un proveedor crítico debe ir más allá de recopilar certificados. Conviene usar una lista de comprobación con evidencia y fecha de revisión: cuentas anuales o informes de solvencia para valorar la salud financiera; homologaciones, resultados de auditorías y tasas de defecto para calidad; pólizas, procedimientos de acceso y notificación de brechas para ciberseguridad; sanciones, licencias y trazabilidad para cumplimiento; y datos sobre emisiones, condiciones laborales o materias primas para ESG.
Añade además país de fabricación, puertos, plantas, subcontratistas y porcentaje de capacidad concentrado en cada ubicación. Así, el control de proveedores identifica tanto un incumplimiento documental como una dependencia de proveedores o un riesgo geográfico que podría afectar a varias fuentes a la vez.
En 90 días se puede activar un control mínimo
Una pyme puede poner en marcha un control básico en 90 días si empieza por sus proveedores críticos, asigna responsables y prueba un escenario de fallo. El objetivo no es crear burocracia, sino saber quién decide, qué se activa y cuánto tiempo puede aguantar cada operación.
Este enfoque permite que dirección compare el coste de proteger un suministro con el coste de quedarse sin él. Es una conversación de caja, ventas y servicio, no solo de compras.
Compras no puede gestionar sola el riesgo
Compras reúne datos y negocia; operaciones calcula paradas; calidad aprueba cambios; finanzas revisa solvencia y necesidad de caja; legal controla contratos; TI evalúa accesos y ciberresiliencia. La dirección debe aceptar o financiar los riesgos residuales altos.
La coordinación evita errores caros. Finanzas puede detectar deterioro de pagos, mientras operaciones aún ve entregas puntuales; TI puede advertir de un acceso inseguro antes de que se convierta en una parada.
Durante los primeros 30 días, lista proveedores, gasto, productos afectados, plazos, stock, ubicación, dependencia y responsable interno. Marca de inmediato los que pueden detener ingresos o servicio.
Entre los días 31 y 60, aplica la matriz, revisa documentación de los críticos, solicita datos de tier 2 y define KRIs con umbrales. Entre los días 61 y 90, actualiza contratos, prueba un alternativo o un pedido piloto y simula una interrupción.
Ruta de continuidad para una pyme en 90 días
Días 1-30
Inventario de proveedores, dependencias y plazos tolerables.
Días 31-60
Matriz 1-5, revisión de solvencia, tier 2 y alertas.
Días 61-90
Contrato, alternativa probada, stock y simulacro.
Resultado buscado: cada proveedor crítico tiene responsable, umbral de alerta y una acción posible antes de parar.
No hace falta un programa completo si tu actividad no depende de compras recurrentes ni de terceros críticos. Aun así, conviene una revisión básica si un único proveedor, plataforma digital, transportista o profesional externo puede detener ingresos, cobros o servicio al cliente.
El primer plan no será perfecto, pero sí debe ser comprobable. Prioriza los cinco proveedores que más daño pueden causar y revisa el mapa tras cada incidencia relevante.
Un registro de riesgos de proveedores debe permitir ver la situación sin reconstruirla en cada reunión. Para cada proveedor, anota el producto o servicio afectado, condición de proveedor crítico, nivel de la cadena —tier 1, tier 2 o tier 3—, ubicación, riesgo descrito, puntuación de criticidad, probabilidad e impacto, controles existentes, riesgo residual, KRI asociado, umbral de activación, responsable, fecha objetivo y acción de contingencia. Por ejemplo: “componente X, tier 2 único en Asia, impacto 5, probabilidad 3, stock para diez días, alerta si el lead time supera doce días, responsable de compras, acción: pedido piloto con alternativa homologada”.
Este formato evita que una matriz se quede en una puntuación sin decisión ni seguimiento.
Lo que más preguntan
¿Qué es la gestión del riesgo de proveedores?
La gestión del riesgo de proveedores identifica y reduce los fallos de terceros que pueden afectar a entregas, calidad, datos, ventas o caja. Debe valorar al menos criticidad, probabilidad e impacto con una escala como la de 1 a 5.
¿Cómo sé si un proveedor es crítico?
Un proveedor es crítico si su falta detiene una actividad esencial durante más tiempo del que tu empresa puede soportar. Puede serlo aunque represente menos del 5% del gasto si no existe sustituto homologado.
¿Tener dos proveedores siempre reduce el riesgo?
Tener dos proveedores solo reduce el riesgo si no comparten fábrica, materia prima, región, transporte o plataforma tecnológica. La comprobación debe llegar al tier 2 cuando el suministro sea esencial.
¿Qué indicadores debo revisar cada mes?
Revisa cada mes OTIF, lead time real, defectos, pedidos incompletos, capacidad disponible e incumplimientos de SLA en proveedores críticos. Añade alertas de solvencia y ciberseguridad al menos cada trimestre.
¿Qué debe incluir un plan de continuidad?
Un plan debe incluir responsable, riesgo, umbral de activación, proveedor alternativo, inventario de contingencia, comunicación con clientes y fecha de prueba. Si hay tecnología o datos, añade BCP, RTO y RPO.
Lo esencial:- Prioriza por daño potencial, no por gasto anual.
- Comprueba dependencias compartidas hasta tier 2 en proveedores críticos.
- Usa KRIs para actuar antes del retraso que ya no tiene solución.
- Exige continuidad contractual, pero valida alternativas con pruebas reales.
- Empieza con un plan de 90 días y revisa los riesgos tras cada incidencia.
Para ampliar este trabajo, el siguiente paso lógico es calcular el impacto de una interrupción en la tesorería de la pyme y definir el stock de seguridad que tu actividad puede financiar.
Fuentes de interés
Otros artículos que pueden complementar lo que acabas de leer:
