Todos Quieren AI en Gestión de Riesgos, Pero Pocos Están Preparados para Ella

Todos están compitiendo para implementar la IA. Pero en la gestión de riesgos de terceros (TPRM), esa carrera podría ser el mayor riesgo de todos.

La IA depende de la estructura: datos limpios, procesos estandarizados y resultados consistentes. Sin embargo, la mayoría de los programas de TPRM carecen de esas bases. Algunas organizaciones tienen líderes de riesgos dedicados, programas definidos y datos digitalizados. Otras gestionan el riesgo de manera ad hoc a través de hojas de cálculo y unidades compartidas. Algunas operan bajo una estricta supervisión regulatoria, mientras que otras aceptan un mayor riesgo. Ningún programa es igual, y la madurez sigue variando ampliamente después de 15 años de esfuerzo.

Esta variabilidad significa que la adopción de la IA en la TPRM no ocurrirá a través de la velocidad o la uniformidad. Ocurrirá a través de la disciplina, y esa disciplina comienza con ser realista sobre el estado actual de su programa, metas y apetito de riesgo.

Cómo Saber si su Programa Está Listo para la IA

No todas las organizaciones están listas para la IA, y eso está bien. Un estudio reciente de MIT encontró que el 95% de los proyectos de IA generativa están fallando. Y según Gartner, el 79% de los compradores de tecnología dicen que lamentan su última compra porque el proyecto no se planificó adecuadamente.

En la TPRM, la preparación para la IA no es un interruptor que se activa. Es una progresión, y una reflexión de cuán estructurado, conectado y gobernado esté su programa. La mayoría de las organizaciones se encuentran en algún lugar a lo largo de una curva de madurez que va desde lo ad hoc hasta lo ágil, y saber dónde se encuentra es el primer paso hacia el uso efectivo y responsable de la IA.

En las primeras etapas, los programas de riesgos son en gran medida manuales, dependientes de hojas de cálculo, memoria institucional y propiedad fragmentada. Hay poca metodología formal o supervisión consistente del riesgo de terceros. La información del proveedor puede vivir en hilos de correo electrónico o en las cabezas de unas pocas personas clave, y el proceso funciona, hasta que no funciona. En este entorno, la IA luchará por separar el ruido de la perspicacia, y la tecnología magnificará la inconsistencia en lugar de eliminarla.

A medida que los programas maduran, comienza a formarse la estructura: los flujos de trabajo se estandarizan, los datos se digitalizan y la responsabilidad se expande a través de los departamentos. Aquí, la IA comienza a agregar valor real. Pero incluso los programas bien definidos a menudo siguen siendo fragmentados, limitando la visibilidad y la perspicacia.

La verdadera preparación surge cuando esos fragmentos se rompen y la gobernanza se vuelve compartida. Los programas integrados y ágiles conectan los datos, la automatización y la responsabilidad en toda la empresa, permitiendo que la IA encuentre su base — convirtiendo la información desconectada en inteligencia y apoyando una toma de decisiones más rápida y transparente.

Al entender dónde se encuentra y hacia dónde quiere ir, puede construir la base que convierte a la IA de una promesa brillante en un verdadero multiplicador de fuerza.

Por Qué un Tamaño no se Ajusta a Todos, a Pesar de la Madurez del Programa

Incluso si dos empresas tienen programas de riesgos ágiles, no trazarán el mismo curso para la implementación de la IA, ni verán los mismos resultados. Cada empresa gestiona una red diferente de terceros, opera bajo regulaciones únicas y acepta diferentes niveles de riesgo.

Los bancos, por ejemplo, enfrentan requisitos regulatorios estrictos en torno a la privacidad y protección de datos dentro de los servicios proporcionados por los proveedores externos. Su tolerancia al riesgo para errores, interrupciones o violaciones es casi cero. Los fabricantes de bienes de consumo, por otro lado, pueden aceptar un mayor riesgo operativo a cambio de flexibilidad o velocidad, pero no pueden permitir interrupciones que afecten los plazos de entrega críticos.

Cada organización define su tolerancia al riesgo de acuerdo con la incertidumbre que está dispuesta a aceptar para lograr sus objetivos, y en la TPRM, esa línea se mueve constantemente. Eso es por qué los modelos de IA genéricos rara vez funcionan. Aplicar un modelo genérico en un espacio tan variable crea puntos ciegos en lugar de claridad — creando la necesidad de soluciones más personalizadas y configurables.

El enfoque más inteligente para la IA es modular. Desplegar la IA donde los datos son fuertes y los objetivos son claros, y luego escalar desde allí. Los casos de uso comunes incluyen:

• Investigación de proveedores: Utilice la IA para buscar entre miles de posibles proveedores, identificando a los socios con menor riesgo, más capaces o más sostenibles para un proyecto próximo.
• Evaluación: Aplicar la IA para evaluar la documentación, certificaciones y evidencia de auditoría del proveedor. Los modelos pueden marcar inconsistencias o anomalías que pueden indicar riesgo, liberando a los analistas para centrarse en lo que más importa.
• Planificación de resiliencia: Utilice la IA para simular los efectos de onda de una interrupción. ¿Cómo afectaría a su base de suministro una sanción en una región o una prohibición regulatoria de un material? La IA puede procesar datos comerciales, geográficos y de dependencia complejos para modelar resultados y fortalecer los planes de contingencia.

Cada uno de estos casos de uso entrega valor cuando se despliega intencionalmente y se apoya con gobernanza. Las organizaciones que ven un éxito real con la IA en la gestión de riesgos y la cadena de suministro no son las que automatizan más. Son las que comienzan pequeñas, automatizan con intención y se adaptan con frecuencia.

Construyendo Hacia una IA Responsable en la TPRM

A medida que las organizaciones comienzan a experimentar con la IA en la TPRM, los programas más efectivos equilibran la innovación con la responsabilidad. La IA debería fortalecer la supervisión, no reemplazarla.

En la gestión de riesgos de terceros, el éxito no se mide solo por la velocidad con la que se puede evaluar a un proveedor; se mide por la precisión con la que se identifican los riesgos y se implementan medidas correctivas. Cuando un proveedor falla o un problema de cumplimiento hace titulares, nadie pregunta cuán eficiente fue el proceso. Preguntan cómo se gobernó.

Esa pregunta, “cómo se gobierna“, se está convirtiendo rápidamente en global. A medida que la adopción de la IA acelera, los reguladores de todo el mundo están definiendo qué significa “responsable” de maneras muy diferentes. El Acta de IA de la UE ha establecido el tono con un marco basado en el riesgo que exige transparencia y responsabilidad para los sistemas de alto riesgo. En contraste, Estados Unidos está siguiendo un camino más descentralizado, enfatizando la innovación junto con estándares voluntarios como el Marco de gestión de riesgos de IA de NIST. Otras regiones, incluyendo Japón, China y Brasil, están desarrollando sus propias variaciones que mezclan derechos humanos, supervisión y prioridades nacionales en modelos distintos de gobernanza de la IA.

Para las empresas globales, estos enfoques divergentes introducen nuevas capas de complejidad. Un proveedor que opera en Europa puede enfrentar obligaciones de informes estrictas, mientras que uno en EE. UU. puede tener expectativas más laxas pero aún en evolución. Cada definición de “IA responsable” agrega matices a cómo se debe evaluar, monitorear y explicar el riesgo.

Los líderes de riesgos necesitan estructuras de supervisión adaptables que puedan flexionar con las regulaciones cambiantes mientras mantienen la transparencia y el control. Los programas más avanzados están incorporando la gobernanza directamente en sus operaciones de TPRM, asegurando que cada decisión impulsada por la IA pueda ser explicada, rastreada y defendida — sin importar la jurisdicción.

Cómo Comenzar

Convertir la IA responsable en realidad requiere más que declaraciones de política. Significa poner las bases adecuadas: datos limpios, responsabilidad clara y supervisión continua. Esto es lo que se ve.

• Estandarizar desde el principio. Establecer datos limpios y consistentes y procesos alineados antes de la automatización. Implementar un enfoque por fases que integre la IA paso a paso en su programa de riesgos, probando, validando y refinando cada fase antes de escalar. Hacer que la integridad de los datos, la privacidad y la transparencia sean innegociables desde el principio. La IA que no puede explicar su razonamiento o que depende de entradas no verificadas introduce riesgo en lugar de reducirlo.
• Comenzar pequeño y experimentar con frecuencia. El éxito no se trata de la velocidad. Lanzar pilotos controlados que apliquen la IA a problemas específicos y bien entendidos. Documentar cómo funcionan los modelos, cómo se toman las decisiones y quién es responsable de ellas. Identificar y mitigar los desafíos críticos, incluyendo la calidad de los datos, la privacidad y los obstáculos regulatorios, que impiden que la mayoría de los proyectos de IA generativa entreguen valor comercial.
• Siempre gobernar. La IA debería ayudar a anticipar la interrupción, no causar más de ella. Tratar la IA como cualquier otra forma de riesgo. Establecer políticas claras y experiencia interna para evaluar cómo su organización y sus terceros utilizan la IA. A medida que las regulaciones evolucionan en todo el mundo, la transparencia debe permanecer constante. Los líderes de riesgos deberían poder rastrear cada perspicacia impulsada por la IA hasta sus fuentes de datos y lógica, asegurando que las decisiones se mantengan bajo escrutinio de los reguladores, las juntas y el público en general.

No hay un plan universal para la IA en la TPRM. La madurez, el entorno regulatorio y la tolerancia al riesgo de cada empresa darán forma a cómo se implementa y entrega valor la IA, pero todos los programas deberían construirse con intención. Automatizar lo que esté listo, gobernar lo automatizado y adaptarse continuamente a medida que la tecnología y las reglas que la rodean evolucionan. Todo programa debe ser construido con intención. Automatice lo que esté listo, gobierne lo automatizado y adapte continuamente a medida que la tecnología y las reglas que la rodean evolucionan.