Tratar a todos los proveedores por igual consume tiempo y deja sin vigilancia los riesgos que pueden parar tu actividad. Un proveedor con una compra anual pequeña puede ser más crítico que otro de mayor importe si suministra una pieza sin alternativa, concentra un servicio esencial o incumple requisitos legales.
Gestión del riesgo: clasifique antes de pedir datos
Clasifica por criticidad, dependencia y posibilidad real de sustitución antes de solicitar información o aplicar cuestionarios.
La criticidad operativa mide cuánto daño causa que un proveedor falle, la dependencia indica cuánto depende tu empresa de él y la sustituibilidad responde a una pregunta concreta: ¿puede otra empresa entregar lo mismo, con la calidad exigida, dentro del plazo que tu negocio aguanta?
Cinco datos para segmentar proveedores
Clasifica cada proveedor con una escala de 1 a 5; el 1 significa exposición baja y el 5, exposición muy alta.
- Criticidad: puntúa 5 si su fallo detiene ventas, producción, atención al cliente o una obligación legal.
- Dependencia: puntúa 5 si concentra una parte decisiva del suministro o del conocimiento técnico.
- Sustituibilidad: puntúa 5 si no existe alternativa validada en menos de 30 días.
- Impacto económico: puntúa 5 si el fallo puede generar pérdidas, penalizaciones o compras urgentes relevantes.
- Exposición geográfica: puntúa 5 si depende de una zona, ruta, puerto o país con riesgo concentrado.
Cuándo un sustituto no es real
Un proveedor alternativo solo cuenta si se ha comprobado su capacidad, calidad, plazo de entrega, precio y condiciones de pago.
Un proveedor debe tratarse como crítico cuando su ausencia puede detener una actividad esencial durante más de 24 a 72 horas y no existe una alternativa validada dentro de ese plazo.
Riesgos que debe medir antes de homologar
La homologación debe revisar riesgos operativos, financieros, legales, tecnológicos y geográficos con pruebas proporcionales al daño posible.
Para un proveedor crítico que trate datos, fabrique un componente esencial o acceda a sistemas internos, pide evidencias de solvencia, seguridad, continuidad y trazabilidad; para uno no crítico pueden bastar datos fiscales, referencias básicas y aceptación de condiciones.
Las seis familias de riesgo
El riesgo operativo incluye retrasos, baja calidad, falta de capacidad, errores de trazabilidad o ausencia de stock. El riesgo financiero aparece cuando existen problemas de liquidez, dependencia de un único cliente o cambios repentinos en los plazos de cobro.
El riesgo de cumplimiento cubre sanciones, fraude, protección de datos, licencias y obligaciones contractuales. El riesgo de ciberseguridad importa si el tercero accede a correo, ERP, tienda online o datos de clientes.
Pruebas según el nivel de riesgo
A un proveedor crítico pídele información financiera, seguros vigentes, certificados exigibles, plan de continuidad, ubicaciones productivas y relación de subproveedores esenciales. Para uno de nivel bajo, exige identificación mercantil, condiciones de servicio y confirmación de cumplimiento básico.
La due diligence debe funcionar como un ciclo y no como un cuestionario de alta. En la homologación de proveedores, empieza por identificar a la sociedad, sus beneficiarios reales cuando corresponda, sus licencias, su solvencia financiera, su capacidad operativa y sus requisitos de cumplimiento. Antes de contratar, documenta la aprobación, los controles exigidos y las cláusulas sobre auditoría, protección de datos, continuidad y comunicación de incidentes. Durante la relación, actualiza la evaluación ante un cambio societario, una sanción, una caída de calidad, una variación relevante del riesgo geográfico o la incorporación de subproveedores esenciales.
La baja también debe controlarse: revoca accesos, recupera datos o activos, cierra obligaciones pendientes y conserva la evidencia de la decisión.
Matriz con umbrales para decidir qué hacer
Una matriz de riesgos solo es útil si transforma la información en una acción obligatoria, con responsable y fecha.
Usa una escala de 1 a 5 para cada criterio, multiplica la nota por su peso y suma el resultado final. Cuando no hay sustituto, el impacto debe pesar más que la probabilidad: un fallo poco probable puede exigir medidas costosas si bloquea la facturación durante varios días.
| Criterio | Peso | Nota 1 | Nota 5 | Evidencia |
|---|
| Continuidad operativa | 30% | Parada inferior a 24 h | Parada superior a 7 días | Plan y stock |
| Dependencia y sustitución | 25% | Dos alternativas validadas | Sin alternativa real | Pruebas de homologación |
| Solvencia | 15% | Cobros y pagos estables | Señales de tensión | Cuentas y referencias |
| Calidad y entregas | 15% | Incidencias aisladas | Fallos repetidos | Albaranes y reclamaciones |
| Cumplimiento y seguridad | 15% | Controles documentados | Incumplimiento grave | Contratos y auditorías |
Umbrales que activan una decisión
Entre 0 y 39 puntos, acepta el riesgo y revisa anualmente. Entre 40 y 59, aplica una mejora y revisa cada seis meses. Entre 60 y 74, exige un plan fechado, busca alternativa y revisa trimestralmente. Entre 75 y 100, suspende nuevas compras o accesos hasta corregir el problema, salvo aceptación documentada de dirección.
Cinco respuestas posibles al riesgo
- Aceptar: mantener el proveedor cuando el riesgo está dentro del límite aprobado.
- Mitigar: pedir mejoras, aumentar stock de seguridad o validar una segunda fuente.
- Transferir: usar seguros, avales, garantías o cláusulas contractuales.
- Sustituir: mover compras a una alternativa ya homologada.
- Suspender: detener pedidos, accesos o pagos cuando exista sanción, fraude o incumplimiento grave.
⭐
Selección para ti
Un libro práctico sobre riesgos de proveedores ayuda a diseñar una matriz y a preparar preguntas de auditoría sin empezar desde cero. Puede ser útil si la pyme necesita formar a compras, administración u operaciones.
- Ejemplos para convertir incidencias de entrega y calidad en controles medibles
- Modelos de preguntas para revisar solvencia, continuidad y dependencias
- Apoyo para documentar decisiones ante proveedores de riesgo alto
Ver en Amazon →
Por ejemplo, un proveedor de un componente sin alternativa recibe un 5 en continuidad operativa, un 5 en dependencia y sustitución, un 4 en solvencia, un 3 en calidad y entregas, y un 2 en cumplimiento y seguridad. Para expresar el resultado sobre 100, calcula cada aportación como nota dividida entre 5 y multiplicada por su peso: 30 + 25 + 12 + 9 + 6 = 82 puntos. Aunque sus incidencias de calidad sean moderadas, el proveedor entra en riesgo alto por la dependencia y por la falta de sustitución.
La decisión coherente es no aumentar la exposición, validar una segunda fuente, fijar stock de seguridad y revisar mensualmente el plan de mitigación hasta reducir la criticidad.
Mire más allá del proveedor directo
El proveedor de primer nivel no siempre controla el riesgo principal de la cadena.
La trazabilidad permite seguir un producto o servicio hacia atrás: quién lo fabrica, de dónde sale, qué componente necesita y qué empresas intervienen. Debe aplicarse a los artículos y servicios que paralizarían el negocio.
Qué pedir a los proveedores críticos
Pide una lista de subproveedores esenciales, plantas de fabricación, países de origen y rutas logísticas, además del tiempo estimado de recuperación tras un incendio, ciberincidente, huelga, corte energético o falta de materia prima.
El control extendido no es opcional siempre
El análisis profundo tiene sentido cuando existe dependencia, tratamiento de datos, importación compleja, requisitos ambientales o un suministro difícil de sustituir; pedirlo a proveedores no críticos consume tiempo sin reducir un riesgo relevante.
Tres proveedores comerciales no reducen el riesgo si los tres compran al mismo fabricante. La diversidad útil se mide en fuentes reales, no en facturas distintas.
Un plan de continuidad de negocio solo aporta resiliencia si se prueba con escenarios concretos. Para cada proveedor crítico, define qué suministro o servicio se perdería, cuánto tiempo puede operar la empresa sin él, quién autoriza compras de emergencia y qué alternativa se activará. Ensaya, al menos una vez al año, una interrupción de transporte, una indisponibilidad de sistemas, una pérdida de capacidad de la planta o un bloqueo derivado de un riesgo geográfico.
La prueba debe incluir a los subproveedores esenciales cuando compartan fábrica, país, puerto o infraestructura tecnológica. Registra el tiempo real de respuesta, los pedidos que no pudieron atenderse y las brechas encontradas; después, actualiza el stock, los contratos, las rutas o la homologación de alternativas.
Alertas, revisiones y un plan de 30 días
La monitorización continua revisa señales tempranas para detectar deterioro antes de una parada, una reclamación grave o un impago.
Un KPI de proveedores mide desempeño, como las entregas a tiempo, mientras que un KRI señala una amenaza posible, como el aumento de entregas parciales durante tres meses. Revisa trimestralmente a los proveedores críticos y asigna una acción fechada cuando superen un umbral.
Señales que merecen una alerta
Vigila retrasos repetidos, entregas incompletas, devoluciones, cambios de cuenta bancaria, plazos de cobro más cortos, cambios societarios, sanciones y vulnerabilidades informáticas sin corregir.
Para una pyme, bastan cinco indicadores iniciales: porcentaje de entregas a tiempo, incidencias de calidad, días de cobertura de stock, puntuación total de riesgo y planes de mejora vencidos.
Orden de trabajo para los próximos 30 días
Durante la primera semana, lista y clasifica a todos los proveedores. En la segunda, aplica la matriz a los diez más críticos y pide evidencias. En la tercera, valida alternativas para las dependencias extremas y define stock de seguridad. En la cuarta, fija responsables, fechas de revisión y alertas abiertas.
Un sistema extenso de due diligence no es proporcional para compras ocasionales, no críticas y fácilmente sustituibles; en esos casos basta un control básico. Tampoco reemplaza las revisiones legales, fiscales, de protección de datos o sectoriales que correspondan a actividades reguladas.
Preguntas comunes
¿Qué es la gestión de riesgos de proveedores?
La gestión de riesgos de proveedores identifica, puntúa y controla fallos que pueden causar paradas, sobrecostes o incumplimientos. Incluye homologación inicial, revisión periódica y respuesta ante alertas.
¿Cómo evalúo el riesgo de un proveedor?
Evalúa criticidad, dependencia, sustitución, solvencia, calidad y cumplimiento con notas de 1 a 5. Aplica pesos, suma el resultado y vincula cada rango a aceptar, mitigar, sustituir o suspender.
¿Cada cuánto debo reevaluar a un proveedor?
Un proveedor crítico debe revisarse cada trimestre y uno de riesgo medio, cada seis o doce meses. Revisa antes si hay retrasos repetidos, cambios financieros, sanciones o incidentes de seguridad.
¿Qué hago si solo tengo un proveedor crítico?
Reduce el daño con stock, contrato, seguros y un plan de continuidad probado. Busca una alternativa aunque tarde entre 45 y 90 días en homologarse, porque será útil ante una crisis larga.
Proteja la cadena con decisiones documentadas
Una pyme necesita saber qué proveedor puede detenerla, qué evidencia falta y quién actúa cuando aparece una alerta.
Empieza por la dependencia y no por el cuestionario; después utiliza una matriz con pesos, umbrales y fechas, revisa subproveedores esenciales y aplica una frecuencia proporcional al riesgo.
Lo esencial:- Clasifica primero por criticidad, dependencia y sustitución real, no solo por gasto anual.
- Convierte la puntuación en una acción obligatoria con responsables y fechas.
- Revisa el origen, los subproveedores y las concentraciones que no aparecen en la factura.
- Vigila pocas alertas útiles y revisa con mayor frecuencia a quien puede parar tu actividad.
