Cuestionario de debida diligencia: Información clave, mejores prácticas y ejemplos para el cumplimiento normativo.

El crecimiento empresarial es un término complejo que implica mucho más que el simple aumento de ingresos y la visibilidad de la marca. Las pequeñas y medianas empresas suelen delegar tareas a recursos externos para ahorrar tiempo y dinero, e impulsar las oportunidades de crecimiento.

Sin embargo, esto conlleva un coste compartido y el manejo de datos confidenciales añade riesgos sin precedentes. Pero gracias al cuestionario de diligencia debida, es posible mitigar estos riesgos.

En este artículo, le ayudamos a comprender qué es la debida diligencia en materia de cumplimiento normativo y qué incluye, además de ilustrar algunos ejemplos de DDQ. La evaluación de proveedores utiliza certificaciones, conocimientos normativos y comentarios de los clientes.

¿Qué es la debida diligencia en materia de cumplimiento normativo?

La debida diligencia de proveedores es el proceso de evaluar los controles de seguridad , la experiencia relevante y la estabilidad operativa de un proveedor de servicios . Compartir datos confidenciales con recursos externos conlleva riesgos sin precedentes. Pero gracias al cuestionario de debida diligencia, es posible mitigar estos riesgos. Es un paso crucial para descartar servicios de terceros con prácticas, políticas y controles de seguridad inadecuados o ineficaces.

Algunos de los indicadores clave que se utilizan para evaluar a los posibles proveedores incluyen las certificaciones de seguridad de organismos autorizados, su conocimiento de las normativas aplicables y las opiniones de clientes reales.

¿Qué es un Cuestionario de Diligencia Debida (DDQ)?

Un cuestionario de debida diligencia, o DDQ por sus siglas en inglés, es una lista de preguntas diseñadas para evaluar diversos aspectos de los estándares de ciberseguridad implementados en su organización antes de una inversión, fusión o adquisición importante.

¿Qué debe incluir un cuestionario de diligencia debida?

Un cuestionario de debida diligencia (DDQ, por sus siglas en inglés) puede abarcar áreas clave para evaluar riesgos, como el estado normativo y de cumplimiento, las políticas de seguridad, las medidas de protección de datos, las relaciones con terceros, los servidores y la situación legal de la empresa. 

Aquí hay una lista de aspectos que deben cubrirse en el cuestionario de debida diligencia:

• Políticas de seguridad y gobernanza—Esto incluye las políticas establecidas por las organizaciones que dictan los acuerdos de nivel de servicio (SLA), la cultura, los controles y las medidas de mitigación para la seguridad de los datos. 

• Protección de datos y privacidad Esto incluye evaluar cómo una empresa maneja la información confidencial de los clientes mediante prácticas como el cifrado, los controles de acceso y el cumplimiento del RGPD, la CCPA o la HIPAA.

• Gestión de AccesoLa gestión de accesos impide el acceso no autorizado a datos y sistemas, desempeñando así un papel fundamental en el mantenimiento de la confidencialidad e integridad de los datos. Controles como la autenticación multifactor (MFA) y la aplicación del principio de mínimo privilegio contribuyen a ello. 
  
• Cumplimiento y certificaciones – El cumplimiento de las normas SOC 2, ISO 27001, NIST, CIS o FedRAMP demuestra una sólida postura de seguridad.
   
• Seguridad de redes e infraestructuras Estas medidas protegen el acceso a una red segura. Por ejemplo, cortafuegos, sistemas de detección/prevención de intrusiones (IDS/IPS), protección de endpoints y gestión de parches.
  
• Seguridad de terceros y de la cadena de suministro – Procesos de gestión de riesgos de proveedores, auditorías de seguridad de subcontratistas y políticas de acceso de terceros.
  
• Cumplimiento y certificaciones – El cumplimiento de las normas SOC 2, ISO 27001, NIST, CIS o FedRAMP demuestra una sólida postura de seguridad. 

¿Cómo ayuda el cuestionario de debida diligencia a las organizaciones?

El cuestionario de debida diligencia es un proceso crucial para la selección de proveedores. Ofrece numerosos beneficios, entre los que se incluyen: 

Mitigación de riesgos

Un buen cuestionario de debida diligencia (DDQ) ayuda a mitigar los riesgos, ya que permite a su empresa evaluar y comprender a fondo los riesgos potenciales que debe abordar antes de firmar el contrato de inversión o adquisición.

Durante una adquisición o fusión, nunca se sabe con qué tipo de datos trabaja la nueva empresa que se intenta adquirir.

Un buen proceso de diligencia debida le ayudará a identificar y evaluar los riesgos en categorías como el cumplimiento normativo, la ciberseguridad, las alianzas comerciales, etc.

Fusiones y adquisiciones

Los expertos del sector consideran que el cuestionario es un requisito indispensable para que los compradores evalúen los activos, los pasivos y los procesos de riesgo antes de una posible fusión o adquisición. Les permite recopilar información esencial y decidir si proceden con la operación.

Nuevas inversiones

Los cuestionarios de debida diligencia (DDQ) son una mina de oro para que los inversores evalúen la solidez de una inversión que desean concretar. Sin embargo, recuerde que se trata de un paso inicial en el proceso de debida diligencia, no del último. Los inversores utilizan las respuestas para orientar futuras preguntas y conversaciones con los gestores, así como para verificar la información obtenida de otras fuentes.

Recopilación de datos útiles

¿Conoce las medidas de seguridad y las prácticas operativas de la empresa que podría ser objeto de adquisición? Si no es así, un cuestionario de diligencia debida (DDQ) puede resultarle sumamente beneficioso. 

Facilita la obtención de información valiosa durante el proceso de divulgación, aclarando diversos aspectos de las operaciones y prácticas de la empresa objetivo. Mediante el DDQ, se pueden recopilar datos esenciales para agilizar la toma de decisiones y mitigar los riesgos de incumplimiento normativo.

¿Por qué las organizaciones emiten cuestionarios de diligencia debida?

Las organizaciones emiten cuestionarios de debida diligencia (DDQ) para garantizar la confianza y evaluar la postura de seguridad antes de establecer relaciones comerciales. Estos cuestionarios ayudan a evaluar la seguridad, el cumplimiento normativo, la estabilidad financiera y la integridad operativa de un proveedor, socio o empresa objetivo de adquisición. En ciberseguridad, los DDQ son fundamentales para verificar que terceros cumplan con las normativas del sector, como SOC 2, ISO 27001 o GDPR, lo que reduce el riesgo de filtraciones de datos o incumplimientos normativos. Colaborar con proveedores u organizaciones que no cumplen con la normativa también puede perjudicar el cumplimiento normativo de las empresas y acarrear multas. 

Cuestionario de debida diligencia del proveedor

El proceso de cuestionario de debida diligencia del proveedor incluye la revisión de políticas y componentes que pueden afectar el crecimiento de su negocio, como los registros de la empresa, los comentarios de auditoría, los datos financieros y las certificaciones. Considere evaluar los siguientes factores:

1. Prueba de legitimidad

Cada proveedor de servicios intenta posicionarse como el mejor del sector. Esto dificulta la investigación, sobre todo si el proveedor es nuevo en el mercado. Intente recopilar información sobre su perfil, certificaciones de organismos pertinentes, trayectoria, estructura operativa, cumplimiento normativo y otros protocolos necesarios. 

2. Evaluación de riesgos y continuidad del negocio

Si su servicio requiere compartir información confidencial con terceros, es imprescindible contar con un proceso sólido de gestión de riesgos . Los proveedores potenciales deben disponer de un sistema eficaz para gestionar la eliminación integral de riesgos. Esto incluye categorizar los riesgos según su gravedad y proteger estratégicamente los sistemas en función de su importancia.

3. Adherencia al cumplimiento

Independientemente del tipo de industria y el tamaño de la empresa, las regulaciones gubernamentales o específicas del sector se aplican a todas las organizaciones. Al asociarse con proveedores externos que manejan sus datos, estas leyes se aplican automáticamente a ellos. Por lo tanto, asegúrese de que el cuestionario de debida diligencia del proveedor incluya elementos que permitan comprender su conocimiento de los requisitos legales aplicables.

4. Postura y medidas de seguridad 

Los protocolos de seguridad para mantener la confidencialidad, integridad y disponibilidad de los datos incluyen controles técnicos, físicos y administrativos. Entre las medidas comunes se encuentran el cifrado, el control de acceso, la autenticación de dos factores, el software antivirus, las copias de seguridad de datos, el cortafuegos, entre otras. El sistema debe estar equipado para detectar vulnerabilidades, impedir la entrada de amenazas, eliminar riesgos una vez infectado y contar con una estrategia de recuperación ante desastres. 

5. Resiliencia y recuperación

Para recuperarse de una crisis se requiere una comprensión clara de la respuesta ante ella y un plan de recuperación bien definido. 

Los cuestionarios de diligencia debida desempeñan un papel importante al formular preguntas pertinentes, como la forma en que los proveedores gestionan las crisis y la respuesta que se puede esperar, incluyendo los plazos. Esto contribuye a garantizar la preparación y una gestión eficaz de las crisis.

6. Seguridad de datos

La protección de los datos de los proveedores es una categoría importante de preguntas que abarca el cuestionario de diligencia debida (DDQ). Un buen DDQ cubre temas como las medidas de seguridad que los proveedores o las empresas objetivo implementan para proteger los datos confidenciales.

7. Evaluación de la red

Revise el proceso y las herramientas que utiliza el proveedor. Es recomendable verificar el nivel de visibilidad que tienen de la red, los procesos de monitoreo, las capacidades de generación de informes y la estrategia para la puesta en marcha del sistema de gestión de red. 

Tipos de preguntas de debida diligencia

Si bien las distintas industrias utilizan diferentes tipos de preguntas de debida diligencia, los sectores tecnológico, gubernamental y financiero comparten algunas características comunes. El cuestionario de debida diligencia financiera es la versión más extendida, aunque existen otras variantes.

Algunos de los diferentes tipos son:

• diligencia debida en capital privado
• diligencia debida de terceros
• Debida diligencia del proveedor
• debida diligencia en materia de propiedad intelectual
• Diligencia debida de los fondos de cobertura
• Lista de verificación de diligencia debida del gestor de inversiones
• Debida diligencia técnica
• Diligencia debida ESG
• Debida diligencia fiscal
• diligencia debida en materia de recursos humanos
• Due diligence legal
• Debida diligencia ambiental
• diligencia debida confirmatoria
• Diligencia debida especializada

Aquí hay una lista de las categorías de debida diligencia en las que se basan las preguntas:

• Ingresos y rentabilidad
• Análisis de flujo de caja
• Deudas y pasivos
• Presupuesto y previsión
• Cumplimiento de leyes y regulaciones.
• Litigios o disputas legales pendientes
• Derechos de propiedad intelectual
• Obligaciones contractuales
• Procesos y flujos de trabajo empresariales
• gestión de la cadena de suministro
• Control y garantía de calidad
• Eficiencia operacional
• Tendencias y dinámicas del mercado
• Panorama competitivo
• Preferencias y datos demográficos del cliente.
• Desafíos y oportunidades de la industria
• Datos demográficos de los empleados y tasas de rotación
• Contratos y acuerdos laborales
• Políticas y procedimientos de recursos humanos
• Cultura y moral en el lugar de trabajo
• sistemas e infraestructura TI
• Medidas de seguridad de datos
• Políticas y protocolos de ciberseguridad
• Cumplimiento de TI con los estándares de la industria
• Evaluaciones de impacto ambiental
• Cumplimiento de la normativa medioambiental
• Iniciativas y prácticas de sostenibilidad
• Riesgos y responsabilidades ambientales
• Alianzas y colaboraciones comerciales clave
• Relaciones con clientes y proveedores
• Contratos y acuerdos con proveedores
• Alianzas estratégicas y joint ventures
• Cobertura y pólizas de seguro
• Estrategias de gestión de riesgos
• Planes de evaluación y mitigación de riesgos.
• Cobertura para posibles responsabilidades
• Composición y estructura del consejo
• Políticas de gobierno corporativo
• Normas y prácticas éticas
• Controles internos y mecanismos de cumplimiento

Ejemplos de cuestionarios de debida diligencia

Muchas organizaciones ofrecen plantillas de cuestionarios prellenadas para agilizar el proceso de incorporación de nuevos proveedores de servicios. A continuación, se enumeran algunas de las más populares: 

PRI fondo de cobertura DDQ

Los Principios para la Inversión Responsable (PRI) ayudan a los inversores a comprender, evaluar y analizar cómo los gestores de fondos de cobertura abordan la inversión responsable. El cuestionario puede utilizarse durante los procesos de evaluación de la inversión responsable, para revisar a los gestores o en reuniones con clientes. Abarca las siguientes áreas: 

• Política y gobernanza
• Proceso de inversión
• MAYORDOMÍA
• Informes y verificación
• Información Adicional

Socios limitados DDQ

El Cuestionario de Diligencia Debida (DDQ) de Inversión Responsable en Capital Privado para Socios Limitados (LP) forma parte del DDQ de la Asociación de Socios Limitados Institucionales (ILPA). 

Ayuda a los inversores a evaluar y obtener visibilidad de los procesos que un socio general (GP) utiliza para incorporar riesgos ambientales, sociales y de gobernanza (ESG) importantes en sus prácticas de inversión. Cubre áreas como: 

• Privacidad
• Recaudación de fondos
• Preinversión
• Posterior a la inversión
• Informes y divulgación
• Cambio climático
• Información Adicional

Banca corresponsal DDQ

Creado por Wolfsberg Group, este cuestionario de diligencia debida (DDQ) incluye más de 100 preguntas para inversores financieros que realizan operaciones bancarias transfronterizas o de alto riesgo. Wolfsberg Group recomienda su uso para clientes nuevos y existentes como parte de sus revisiones periódicas. Reduce costes, mejora el cumplimiento normativo en materia de delitos financieros, optimiza los procesos de identificación del cliente (KYC) y mitiga la disminución de las operaciones bancarias corresponsales. 

DDQ de relación comercial MISC

El cuestionario de diligencia debida (DDQ) de Malaysia International Shipping Corporation (MISC) es un cuestionario ético que busca prevenir el soborno y la corrupción. Asimismo, tiene como objetivo minimizar la exposición al riesgo en las actividades que MISC realiza en nombre de sus clientes. 

Lista de verificación de diligencia debida para la salida a bolsa

La DDQ (Diligencia Debida) para la Oferta Pública Inicial garantiza que las empresas cumplan con los requisitos necesarios antes de salir a bolsa. Evalúa los aspectos financieros, legales, operativos, regulatorios y estructurales. Cubre las siguientes áreas:

• Datos organizacionales
• Licencias e impuestos
• Información para la Junta Directiva y los Empleados
• Información financiera
• Información para el cliente/servicio
• Propiedad de la compañia

Obtenga información detallada sobre la evaluación de riesgos con Sprinto.

La evaluación de riesgos de los proveedores es un aspecto crucial del cumplimiento de la seguridad. Una verificación y gestión eficaces ayudan a evaluar y supervisar su cumplimiento.

La solución Sprinto le permite realizar un seguimiento de los proveedores según el tipo de datos compartidos y el marco de cumplimiento seleccionado. Añada tantos proveedores como desee, cree evaluaciones, calcule el perfil de riesgo según el nivel de amenaza y edite los riesgos calculados automáticamente. Además, puede cargar múltiples informes de diligencia debida para cada evaluación, editarla y priorizar los perfiles de riesgo. ¡Solicite una demostración gratuita hoy mismo!

Preguntas frecuentes