Agente de Revisión de Seguridad de Proveedores
Lee lo que el informe de auditoría dice realmente
- 8reglas estrictas
- Cosas que nunca debe hacer, aplicadas en cada ejecución
- 5reglas de traspaso
- Condiciones en las que se detiene y entrega el trabajo a una persona
- 11campos de salida
- Un resultado estructurado, no un párrafo que tengas que releer
- ≤8pasos por ejecución
- Trabajo acotado: como máximo 6 llamadas a herramientas, impuesto por el entorno de ejecución
Solo lectura por diseño. Este agente no tiene ninguna vía para enviar, gastar, publicar ni confirmar nada. Cuando ese límite es el producto, quitarlo eliminaría la razón para confiar en el resultado.
Resumen
La revisión de seguridad de terceros se ha convertido en un ritual. Un proveedor envía un cuestionario relleno y un informe de aseguramiento, alguien los archiva, y el proveedor queda aprobado. Los documentos casi nunca se leen a fondo, porque hacerlo bien exige saber qué buscar en cien páginas de un lenguaje escrito para tranquilizar.
Lo que importa casi nunca está en las respuestas. Está en la declaración de alcance: un informe de aseguramiento que cubre un producto distinto del que estás comprando es habitual y no te vale de nada. Está en las salvedades, que todos los informes tienen y ningún resumen menciona. Está en el periodo, porque un informe que cubre un año terminado hace catorce meses no dice nada de la empresa de hoy. Está en los subencargados, la propia cadena del proveedor que hereda vuestros datos, normalmente listada en una página web y no comprometida en un contrato.
Y sobre todo está en el desajuste entre lo que afirma el cuestionario y lo que el informe realmente probó. Esa es la comprobación más útil que existe y casi nadie la hace, porque exige leer los dos documentos uno contra otro.
Este agente hace esa lectura e informa de qué encontró, qué no pudo verificar y las preguntas concretas que devolver al proveedor. No aprueba nada y no puntúa nada: una decisión de riesgo pertenece a la persona que responde de ella.
Beneficios
Revisiones que de verdad revisan
En vez de archivar documentos y llamarlo diligencia.
Preguntas concretas que devolver
Que es lo que mueve a un proveedor, no un seguimiento genérico.
Un registro defendible
De qué se comprobó y qué se aceptó, con motivos.
Qué hace
Comprueba primero el alcance
Un informe que cubre un producto distinto del que compras es habitual, no vale nada, y está en un párrafo que nadie lee.
Encuentra las salvedades
Todos los informes las tienen y ningún resumen las menciona. Una opinión con cuatro salvedades no es una opinión limpia.
Comprueba que el periodo es actual
Un informe cerrado hace catorce meses describe una empresa que puede que ya no exista así.
Mapea los subencargados
El viaje posterior de vuestros datos. Normalmente una página web que el proveedor puede cambiar sin avisaros.
Contrasta las afirmaciones con la evidencia
Donde el cuestionario afirma algo que el informe nunca probó. La comprobación más útil que existe, y la menos hecha.
No aprueba nada
Produce hallazgos y las preguntas que hacer. Aceptar un riesgo pertenece a quien responde de él.
Qué cambia
Qué cambia en tu semana
- Se encarga de
- Leer de verdad el cuestionario y el informe de aseguramiento de un proveedor uno contra otro.
- Hoy lo hace
- Quien los archiva, que no es lo mismo que leerlos.
- Con qué frecuencia
- En el alta y cada año, sobre el papel.
- Esfuerzo manual habitual
- Cien páginas de lenguaje de aseguramiento escrito para tranquilizar.
Por qué Ciberseguridad en concreto. Lo que importa nunca está en las respuestas: está en el párrafo de alcance, en las salvedades que el resumen omite, en el periodo cerrado hace más de un año, y en las afirmaciones que el informe nunca probó.
Funciona sin supervisión
Lo inicias tú o lo inicia un evento, y termina solo. Nada espera a que alguien esté en su mesa.
El mismo criterio siempre
El elemento doscientos se mide con el listón del primero. La constancia es la parte que las personas no pueden sostener.
No puede actuar por su cuenta
Agente de Revisión de Seguridad de Proveedores no tiene ninguna vía para enviar, gastar ni comprometer nada. Ese límite es justo lo que hace seguro actuar sobre su resultado.
Cómo funciona
Este agente se ejecuta en el servidor a través del entorno de ejecución de PROMIVO. Cada ejecución se registra paso a paso y cada llamada a una herramienta se comprueba contra los permisos antes de ejecutarse.
- 1EntradaValidada contra el esquema de entrada del agente
- 2Modeloclaude-opus-5 con reserva automática
- 3Herramientassearch_knowledge, extract_structured_data
- 4PermisosEjecuta acciones READ automáticamente; cualquier cosa por encima espera aprobación
- 5SalidaResultado estructurado conforme al esquema de salida
- 6RegistroTokens, duración y cada paso quedan registrados
Demostración
Datos de demostraciónIllustrative sample output, abridged.
Entrada
{
"vendor": "Northwind Analytics",
"reviewDate": "2026-09-02",
"serviceBeingBought": "Hosted reporting platform"
}Salida
{
"scope": {
"note": "You are buying the hosted reporting platform. The report covers the data warehouse product only. Everything below applies to a system you are not purchasing.",
"entityCovered": "Northwind Holdings Inc.",
"productCovered": "Northwind Data Warehouse",
"matchesServiceBought": false
},
"period": {
"covers": "1 Jan 2025 – 31 Dec 2025",
"current": false,
"endedMonthsAgo": 20
},
"escalate": true,
"disclaimer": "A reading of the documents supplied. No vendor system was tested or contacted, no approval or risk rating is given, and no statement is made that this vendor is secure or compliant. An untested claim is unverified rather than false.",
"exceptions": [
{
"meaning": "The same control failure that would put your data in reach of someone who has left their company. Present in the detail; absent from the summary they sent.",
"exception": "Two instances where access for departed personnel was not revoked within the stated period.",
"affectsOurData": true
}
],
"subprocessors": [
"A cloud hosting provider (US)",
"A support ticketing provider (US)",
"An email provider (EU)"
],
"couldNotAssess": [
"Incident response times — no evidence supplied and the report does not test them."
],
"escalationReason": "The assurance report covers a different product than the one being bought, its period ended 20 months ago, and a questionnaire claim about subprocessor location is contradicted by the vendor's own published list.",
"questionsToSendBack": [
"Send the assurance report covering the hosted reporting platform, or confirm in writing that none exists.",
"Confirm whether customer-managed keys are available on the reporting platform, and whether any assessment has tested it.",
"Reconcile questionnaire item 6.1 with the two US subprocessors on your published list."
],
"claimsVersusEvidence": [
{
"claim": "\"All customer data is encrypted at rest with customer-managed keys.\"",
"source": "Questionnaire item 4.2. The report tests encryption at rest but says nothing about customer-managed keys.",
"status": "asserted-but-untested"
},
{
"claim": "\"We do not use subprocessors outside the EU.\"",
"source": "Their published subprocessor list names two US-based providers.",
"status": "contradicted"
}
],
"canAddSubprocessorsWithoutNotice": true
}Requisitos
Integraciones
No requiere integraciones.
Antes de empezar
- El cuestionario relleno del proveedor
- Su informe de aseguramiento o certificación, en una base de conocimiento
- Qué datos y qué accesos tendrá el proveedor
- Requiere el plan Acceso total o superior
Casos de uso
Alta de un proveedor
Antes de que los datos les lleguen, mientras todavía tenéis palanca.
Reevaluación anual
Si el aseguramiento del año pasado sigue describiendo al proveedor de este año.
Antes de una renovación
Qué ha cambiado en su postura y en su cadena de suministro.
Responder a la diligencia de vuestro propio cliente
Saber qué aguantarían vuestros proveedores.
Precios
Acceso total
Se factura mensualmente con tu suscripción a PROMIVO. Cancela cuando quieras.
Las ejecuciones consumen la asignación de tu plan para ejecuciones de agentes y tokens. Consulta los límites del plan
Preguntas frecuentes
¿Aprueba o rechaza proveedores?
No. Informa de qué sostienen los documentos y qué no. Aceptar un riesgo es una decisión de quien responde de ella, con un contexto de negocio que esto no puede ver.
¿Prueba los sistemas del proveedor?
Nunca. No realiza ningún escaneo, sondeo ni prueba de ningún tipo. Lee los documentos que os dieron.
¿Y si el proveedor no aportó nada útil?
Entonces ese es el hallazgo, dicho claramente. «No se aportó ninguna evidencia de aseguramiento» vale más que una revisión que trata material de marketing como evidencia.
Reseñas
Las reseñas se abren cuando los clientes hayan ejecutado este agente.
¿Necesitas que este agente funcione de otra forma?
Cuéntanos qué cambiar y nuestro equipo definirá el alcance de una versión a medida para tu negocio.
Personalizar este agente