Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento

Listados de proveedores críticos, matrices de clasificación de proveedores, registros de puntos de contacto operativos, contratos con responsables designados o capturas del sistema de gestión de compras que permitan verificar que cada proveedor tiene un referente operativo identificado.  

Copias de SLAs firmados, tickets de gestión contractual, reportes de cumplimiento de niveles de servicio, planillas de revisión de SLA o actas de negociación que permitan constatar que los proveedores críticos cuentan con acuerdos firmados con metas de servicio definidas. 

Matrices de riesgo de terceros, planillas de evaluación de proveedores, listas de verificación de revisión de antecedentes, reportes de seguimiento o flujos de aprobación que evidencien que existen mecanismos formales para identificar y gestionar riesgos vinculados a proveedores de servicios críticos. 

Contratos firmados con cláusulas específicas, extractos contractuales, reportes de auditoría contractual, validaciones legales o plantillas de contrato que evidencien que se obliga a los proveedores a notificar incidentes confirmados o sospechados de forma oportuna. 

Contratos vigentes, plantillas de términos y condiciones, actas de aprobación legal, cláusulas de confidencialidad y seguridad o reportes de revisión contractual que permitan verificar que los proveedores críticos tienen responsabilidades explícitas sobre la protección de la información. 

Documento de política vigente y aprobado que establezca los criterios, roles y lineamientos para la selección, vinculación, seguimiento y desvinculación de proveedores, con énfasis en aquellos que impactan activos y servicios críticos. 

Procedimientos documentados, diagramas de flujo de procesos, formularios usados en cada etapa, registros de aplicación del procedimiento o herramientas de seguimiento que permitan confirmar que se gestiona el ciclo completo del proveedor (selección, contratación, seguimiento y finalización).  

Registros de evaluación previa a la contratación, planes de seguimiento durante la prestación, auditorías periódicas a proveedores, planes de salida o revisión de continuidad que evidencien que la gestión de riesgos se aplica desde la adquisición hasta el fin del vínculo.  

Pliegos de compra, formularios de requerimiento, lista de verificación de evaluación técnica, condiciones contractuales estándar o capturas del sistema de compras que evidencien que las adquisiciones de soluciones o servicios incluyen requisitos mínimos de seguridad de la información.  

Listados de KPIs definidos, tableros o dashboards de seguimiento, reportes de desempeño o planillas de control que permitan verificar que se han establecido métricas para evaluar la gestión y seguridad de los proveedores. 

Extractos de contratos, plantillas legales, minutas de negociación, tickets de revisión o validaciones jurídicas que evidencien que los acuerdos con proveedores críticos contemplan cláusulas de ajuste ante cambios en el servicio, tecnología o normativa aplicable.  

Calendarios anuales de evaluación, cronogramas aprobados, matrices de seguimiento o procedimientos internos que permitan confirmar que existe una periodicidad definida para evaluar a los proveedores.  

Informes de evaluación de desempeño, actas de revisión de proveedores, reportes de cumplimiento de requisitos o formularios de evaluación con criterios de seguridad que permitan verificar que se registran los resultados de las evaluaciones de desempeño de forma estructurada. 

Bitácoras de incumplimientos, tickets de incidentes relacionados a proveedores, actas de reuniones de seguimiento, planes de mejora o evidencias de penalizaciones que evidencien que los desvíos contractuales se documentan y gestionan adecuadamente. 

Actas de revisión contractual, informes de adecuación, tickets de actualización de contratos o matrices de cambios normativos que permitan constatar que los contratos son revisados regularmente para mantener su alineación con las necesidades actuales.   

Matrices de evaluación de proveedores basadas en criticidad, reportes de clasificación de riesgos, flujos de aprobación o criterios de selección que evidencien que se evalúa a los proveedores en función del impacto en el negocio y el riesgo asociado al servicio. 

Registros de decisiones de compra basadas en evaluaciones anteriores, tickets de actualización de condiciones contractuales, minutas de comité de compras o comparativas históricas de desempeño que permitan verificar que los resultados de evaluación inciden en futuras contrataciones o renovaciones.