Normativa y sostenibilidad
Cuestionarios de seguridad de clientes
Un cliente grande manda cien preguntas sobre cómo tratáis su información. Cómo se responde sin morir en el intento.
Llega un cuestionario de un cliente grande con decenas o cientos de preguntas sobre cómo guardáis su información, quién accede a ella y qué pasaría si algo fallara. Marcos como ISO 27001, NIS2 o el RGPD aparecen por su nombre, y la reacción típica —contestar deprisa para no frenar el contrato— es la que después se paga.
Los cuatro bloques que se repiten
| Bloque | Qué preguntan | Con qué se responde |
|---|---|---|
| Quién accede | Cómo se dan y se quitan los accesos | Vuestra política y el registro de actividad |
| Dónde están los datos | Ubicación, proveedores, subcontratistas | La lista de a quién usáis y para qué |
| Qué pasa si falla algo | Copias, recuperación, aviso de incidentes | Vuestro plan, aunque sea corto |
| Y qué certificaciones tenéis | Certificados vigentes y su alcance | El certificado, con su alcance y su fecha |
Importante
La segunda parte de la última fila es la que hunde a mucha empresa: no basta con tener un certificado, hay que decir **qué alcance tiene**. Un certificado que cubre una sede o un servicio concreto y se presenta como si cubriera toda la empresa se detecta en la primera revisión y cuesta credibilidad para todo lo demás.
Cómo se responde sin repetir el trabajo cada vez
- 1
Guardad las respuestas dadas, no solo el cuestionario
El 80 % de las preguntas se repiten entre clientes; responder de cero cada vez es el error caro.
- 2
Con la fecha de cada respuesta
Lo que era cierto hace dos años puede no serlo; una respuesta sin fecha se copia y envejece sola.
- 3
Con quién la validó
Las respuestas técnicas las valida quien sabe, no quien rellena el formulario.
- 4
Y sin prometer lo que no hacéis
Marcar «sí» en algo que no tenéis montado se convierte en un incumplimiento contractual el día que lo comprueben.
Ojo con esto
El punto cuarto es el que más problemas genera y el que más se hace sin darse cuenta. Un «sí» de más en un cuestionario no es una exageración comercial: pasa a formar parte de lo que habéis declarado a ese cliente, y si un día hay un incidente, se compara vuestra respuesta con la realidad.
Lo que sí depende de vosotros aunque no tengáis certificaciones
Esas cuatro cosas se responden con lo que ya hacéis si lo tenéis registrado, y son las que más pesan en la evaluación de una empresa pequeña, por encima de tener o no un sello.
Ten en cuenta
Los marcos concretos, sus plazos y a quién obligan cambian por país, por sector y por tamaño, y se mueven. Lo que aquí se describe es cómo organizar la respuesta; **qué os aplica a vosotros y desde cuándo es una consulta para vuestro asesor**, no algo que convenga deducir de un cuestionario.
›¿Hace falta certificarse para vender a una empresa grande?
No siempre; muchas aceptan respuestas y evidencias sin certificado. Preguntadlo antes de invertir.
›¿Puedo reutilizar las respuestas de otro cliente?
Sí, y es lo razonable; lo que no vale es reutilizarlas sin revisar la fecha.
›¿Y si una respuesta es «no lo tenemos»?
Es una respuesta válida, sobre todo si decís qué haríais en su lugar. Mentir no lo es.
Un caso real
La situación
Una pyme recibe un cuestionario de seguridad de un cliente grande y lo rellena en una tarde.
Qué haces
- Guarda las respuestas con fecha y quién las validó
- Corrige dos «sí» que no correspondían a nada montado
Qué consigues
El siguiente cuestionario se responde en dos horas y sin declarar nada que no puedan sostener.
La situación
Cien preguntas y dos semanas de plazo.
Qué haces
- Parte de las respuestas del cuestionario anterior
Qué consigues
Se empieza desde algo y no desde cero.
La situación
Se contesta que sí a algo que no se puede respaldar.
Qué haces
- Enlaza cada respuesta con su documento
Qué consigues
Se contesta lo que se puede demostrar.
La situación
Los documentos que se adjuntan siempre están dispersos.
Qué haces
- Reúne el expediente de empresa en un sitio
Qué consigues
Adjuntar deja de ser la mitad del trabajo.
La situación
Se detectan huecos y se olvidan al entregar.
Qué haces
- Anota lo que faltaba como agenda del año
Qué consigues
El siguiente cuestionario encuentra menos huecos.
La situación
Cada cliente pregunta lo mismo con otro formulario.
Qué haces
- Reutiliza el mismo fondo documental
Qué consigues
El tercer cuestionario cuesta una tarde.
Este artículo responde a
- cuestionario de seguridad de un cliente
- nos piden la iso 27001
- responder a un cuestionario de proveedor sobre datos
- evaluación de riesgo de proveedores tecnología