Coreografía: due diligence de terceros en masa

La empresa tiene tres mil doscientos proveedores activos, y la política dice que todos necesitan due diligence anual contra lista de sanción, persona expuesta políticamente y estructura societaria sospechosa. Al ritmo manual se pueden revisar unos quince por día, en el mejor de los casos, lo que tomaría casi un año para cubrir la base entera una vez. Subes los tres mil doscientos a la IA y le pides algo específico: no concluyas nada, solo enciende nombre que coincida (aunque sea parcialmente) con lista de sanción, socio que aparece en más de una empresa del mismo grupo económico, y noticia adversa en los últimos dos años. Revisa todo en horas y devuelve ciento diez proveedores marcados. La mayoría es homónimo sin ninguna relación, falso positivo que cuesta solo tu tiempo de descartar. Tres son serios: uno tiene un socio en una lista de sanción internacional desde hace seis meses y nadie lo había notado.

Le pides a la IA que cruce el registro de mil doscientos proveedores con dato público de salud financiera (protesto, quiebra, atraso fiscal) antes de la renovación anual de contratos. Revisa todo y marca noventa proveedores; la mayoría es atraso puntual ya regularizado, falso positivo que se descarta al instante. Cuatro, sin embargo, muestran un proveedor crítico de la cadena en proceso de quiebra recién iniciado, riesgo de continuidad que nadie había visto porque la verificación financiera de proveedor se hacía solo en la contratación, nunca después.

Le pides a la IA que revise los contratos de cuatrocientos proveedores en busca de cláusula de indemnización que se aleje del estándar que el área jurídica aprueba. Revisa todo en minutos y señala veintidós contratos. La mayoría es variación de redacción sin efecto práctico, falso positivo descartado rápido. Dos, sin embargo, tienen cláusula de indemnización ilimitada que expone a la empresa a un nivel que la política nunca autorizaría, hallazgo que nadie detectaría releyendo contrato por contrato manualmente en una base de ese tamaño.

Le pides a la IA que revise los doscientos influencers socios de la marca en busca de controversia pública reciente o discurso que contradiga los valores de la empresa. Revisa todo y marca dieciocho perfiles; la mayoría es polémica antigua ya resuelta, falso positivo descartado rápido. Dos, sin embargo, tienen una controversia de los últimos treinta días que nadie del equipo de marketing había visto, porque el monitoreo de reputación de socio siempre se hacía solo en la firma del contrato, una vez.

Le pides a la IA que revise los doscientos proveedores de servicio tercerizado de mano de obra en busca de historial de sanción laboral grave en los últimos dos años. Revisa todo y marca veinticinco proveedores; la mayoría es sanción menor ya subsanada, falso positivo descartado con una verificación rápida. Dos, sin embargo, tienen sanción por condición análoga a la esclavitud registrada hace ocho meses, riesgo que el proceso de contratación original nunca habría detectado porque la verificación de compliance laboral se hacía solo una vez, al ingreso del proveedor.

Le pides a la IA que revise los ciento cincuenta proveedores de tecnología que procesan dato personal de usuarios en busca de certificación de seguridad vencida o incidente de filtración reportado públicamente. Revisa todo y marca doce proveedores; la mayoría es certificación renovada pero todavía no actualizada en el registro interno, falso positivo que se resuelve con un correo. Uno, sin embargo, tuvo un incidente de filtración reportado hace tres meses que nadie del área de producto supo, porque el monitoreo de proveedor de dato personal se detenía en la firma del contrato original.

Le pides a la IA que revise los ochocientos distribuidores activos en busca de operación en país de alto riesgo de corrupción sin due diligence reforzada registrada. Revisa todo y marca cuarenta distribuidores; la mayoría ya tiene la due diligence reforzada archivada en un sistema separado, falso positivo que se resuelve cruzando el registro correcto. Tres, sin embargo, operan en país de alto riesgo sin ninguna due diligence reforzada nunca hecha, brecha que nadie había visto porque la verificación original, en la contratación, no distinguía nivel de riesgo por país.

Le pides a la IA que revise los seiscientos proveedores logísticos en busca de vehículo o conductor que aparezca en más de una sanción ambiental grave en el último año. Revisa todo y marca treinta y cinco proveedores; la mayoría es sanción leve y aislada, falso positivo descartado con una verificación rápida. Dos, sin embargo, concentran sanción recurrente que apunta hacia una práctica sistemática de descarte irregular, riesgo ambiental que ninguna auditoría puntual de proveedor habría capturado en ese volumen.

Le pides a la IA que cruce la base de dos mil socios comerciales con listas de persona expuesta políticamente actualizadas semanalmente, tarea que la verificación manual solo hacía una vez al año, en la renovación del contrato. Revisa todo y marca sesenta y cinco socios; la mayoría es coincidencia de nombre común, falso positivo descartado en minutos. Uno, sin embargo, tiene un socio que asumió un cargo público hace cuatro meses, y el contrato sigue corriendo sin la aprobación adicional que la política exige para ese tipo de relación. La ganancia no es leer mejor que el equipo de compliance, es revisar toda la base cada semana, algo que el ritmo manual nunca alcanzaría.

Le pides a la IA que revise los doscientos proveedores de software en busca de dependencia con vulnerabilidad crítica recién divulgada o certificado de seguridad vencido. Revisa todo y marca veintidós proveedores; la mayoría ya corrigió la vulnerabilidad pero el registro interno no fue actualizado, falso positivo que se resuelve rápido. Uno, sin embargo, sigue con una falla crítica sin corrección hace más de sesenta días, riesgo real que la verificación anual de seguridad de proveedor nunca detectaría a tiempo.

Le pides a la IA que revise los noventa proveedores de investigación con usuario en busca de cláusula de consentimiento que no cumpla el estándar de protección de dato de la empresa. Revisa todo y marca quince proveedores; la mayoría usa un término levemente distinto pero equivalente, falso positivo descartado rápido. Uno, sin embargo, recolecta dato de participante sin base legal clara, riesgo que solo apareció porque la IA cruzó el contrato de todos los proveedores de investigación a la vez, algo que la verificación manual nunca hizo fuera de la contratación inicial.

Le pides a la IA que revise las cien empresas objetivo de una lista de posibles adquisiciones en busca de vínculo societario con persona o empresa sancionada internacionalmente. Revisa todo y marca siete empresas; la mayoría es vínculo indirecto y antiguo, falso positivo que se descarta con una verificación rápida. Una, sin embargo, tiene un socio minoritario actual en una lista de sanción reciente, hallazgo que cambiaría por completo la viabilidad de esa adquisición si nadie lo hubiera detectado antes de firmar la carta de intención.