Gobernanza de negociaciones y flujos de aprobación por nivel de riesgo

Un flujo de gobernanza de negociaciones debería aumentar el nivel de escrutinio y la autoridad para decidir en función del riesgo residual, no solo del valor del contrato. Las negociaciones de bajo riesgo pueden mantenerse dentro de las guías de negociación aprobadas. Las desviaciones de riesgo moderado requieren la aprobación de las áreas funcionales pertinentes. Las posiciones de alto riesgo exigen una revisión independiente especializada y la aceptación de un responsable sénior del riesgo. Los asuntos críticos o prohibidos deberían detener la negociación hasta que un ejecutivo responsable o un órgano autorizado decida cómo proceder.

Una Política de Autoridad para Negociar sólida también distingue entre el permiso para negociar y el permiso para aprobar una excepción, aceptar el riesgo residual, comprometer fondos o firmar. Son facultades distintas. Por tanto, las aprobaciones de negociaciones deberían vincularse a límites definidos, requisitos de evidencia y criterios de escalación, en lugar de depender únicamente del cargo o del gasto.

Respuesta breve

La autoridad, la evidencia y la escalación deberían aumentar según la dimensión de riesgo aplicable más alta. Los negociadores capacitados pueden gestionar asuntos de bajo riesgo dentro de las guías aprobadas; las desviaciones moderadas requieren aprobación funcional; los casos de alto riesgo exigen una revisión independiente y la aceptación del riesgo por parte de un responsable sénior; y los casos críticos deben pausarse. Registra todas las excepciones importantes, conserva su justificación y las medidas de mitigación, y nunca permitas que quien solicita una excepción la apruebe por sí solo.

Por qué fallan las políticas de aprobación basadas únicamente en el valor

El valor de una orden de compra es útil para determinar el flujo de aprobación, pero no mide el riesgo de forma completa. Un contrato de software relativamente pequeño podría exponer datos sensibles, conectarse a sistemas críticos o transferir derechos de propiedad intelectual. Una compra de mayor valor de productos estandarizados a un proveedor aprobado podría estar comparativamente más controlada.

Por tanto, una negociación de compras debería clasificarse según varias dimensiones:

• Exposición financiera, incluido el valor potencial máximo y la responsabilidad
• Exposición legal y regulatoria
• Impacto en la privacidad, los datos y la ciberseguridad
• Criticidad operativa y tiempo necesario para sustituir al proveedor
• Concentración de proveedores y dependencia de una fuente única
• Titularidad o licencias de propiedad intelectual
• Riesgos jurisdiccionales, de sanciones, antisoborno y de intermediarios
• Consecuencias para la reputación, la seguridad y la continuidad del negocio
• Duración del contrato, mecanismos de renovación, derechos de rescisión y dependencia
• Número y gravedad de las desviaciones respecto de las posiciones aprobadas

Por lo general, el nivel aplicable debería ser el nivel material más alto que resulte de cualquiera de las dimensiones, sujeto a una revisión humana responsable. Promediar una preocupación crítica de seguridad con varios factores de bajo riesgo puede ocultar el asunto más importante.

Este enfoque encaja con la gestión de negociaciones en sentido amplio: definir quién puede tomar cada decisión, qué evidencia necesita y cómo se convierten las decisiones en conocimiento institucional reutilizable. También evita que la negociación empresarial se convierta en un conjunto de aprobaciones por correo electrónico sin conexión entre sí.

Matriz reutilizable de aprobación por nivel de riesgo

La siguiente matriz es una recomendación, no una norma legal ni un parámetro universal. Las organizaciones deberían adaptar sus umbrales a su apetito de riesgo, la legislación aplicable, el marco de autoridad delegada y los asuntos reservados.

La distinción de política que evita confusiones

Define por separado cinco tipos de autoridad:

1. Autoridad para conversar: Permiso para explorar opciones sin hacer una oferta.
2. Autoridad para ofertar: Permiso para presentar posiciones dentro de límites explícitos.
3. Autoridad para aprobar excepciones: Permiso para aprobar una desviación de la política o de las guías de negociación.
4. Autoridad para aceptar riesgos: Permiso para aceptar el riesgo residual declarado después de aplicar medidas de mitigación.
5. Autoridad para comprometer o firmar: Permiso para obligar a la organización.

Una persona puede tener una de estas facultades sin tener las demás. Un gerente de categoría podría estar autorizado a ofrecer un rango de precios, pero no a aceptar una indemnización ilimitada. Un responsable de seguridad podría aceptar una brecha de control definida, pero carecer de autoridad para firmar. La Política de Autoridad para Negociar debería dejar claros estos límites.

El Reglamento Federal de Adquisiciones de EE. UU. ofrece un patrón de control útil para el sector público: la autoridad de los representantes se designa por escrito, especificando su alcance, límites, duración y restricciones a la redelegación. Esa norma se aplica en su contexto federal, pero la lección de gobernanza subyacente es ampliamente útil: la autoridad debe ser expresa, no inferida (FAR Part 1).

Diseña el flujo de gobernanza de negociaciones en siete etapas

1. Registra la transacción y la contraparte

Registra la identidad legal del proveedor, el alcance, el patrocinador del área de negocio, el valor previsto, la duración, las jurisdicciones, los subcontratistas, el acceso a datos, las conexiones a sistemas y la dependencia operativa. No permitas que una admisión incompleta se clasifique automáticamente como de bajo riesgo.

2. Calcula un nivel preliminar explicable

Usa datos estructurados, pero conserva cada componente y su fuente, no solo la puntuación final. Los revisores deberían poder ver si el proveedor se clasificó como fuente única, qué categoría de datos se seleccionó y qué condición contractual determinó el resultado.

Los sistemas automatizados pueden identificar información faltante, dirigir revisiones, comparar el lenguaje propuesto con las guías de negociación o señalar un límite de autoridad. No deberían ampliar la autoridad de forma silenciosa ni ser la única instancia que apruebe una excepción de alto impacto.

3. Establece el mandato antes de hablar con el proveedor

El mandato debería especificar:

• Objetivos y asuntos prioritarios
• Posiciones iniciales permitidas
• Rangos y posiciones alternativas
• Asuntos que requieren aprobación antes de comunicarse
• Condiciones para retirarse o detenerse
• Aprobadores designados y suplentes
• Plazo previsto para la revisión
• Autoridad para firmar

Vincula este mandato al proceso de planificación de negociaciones más amplio. El tiempo de aprobación es una variable de planificación: si la oferta de un proveedor vence el viernes, descubrir quién debe aprobarla el viernes por la tarde no es gobernanza; es una demora evitable.

4. Supervisa las desviaciones durante la negociación

Compara cada condición material propuesta con la referencia aprobada. Escala el asunto antes de comunicar una concesión que exceda el mandato. Solicitar aprobación después de haber indicado que se acepta debilita la posición negociadora y puede generar dudas sobre la autoridad aparente.

Un flujo práctico puede distinguir estados como los siguientes:

• Dentro del mandato
• Posición condicional en evaluación
• Excepción solicitada
• Excepción aprobada con condiciones
• Rechazada
• Escalada
• Retirada

Para conocer prácticas de preparación relacionadas, consulta Un proceso de planificación de negociaciones en ocho pasos, desde la admisión hasta la aprobación.

5. Prepara un expediente de excepción listo para decidir

Los aprobadores deberían recibir evidencia suficiente para decidir, no solo un botón que diga «aprobar». El expediente debería mostrar la referencia, la desviación propuesta, las consecuencias, las alternativas, las medidas de mitigación y el riesgo residual.

6. Obtén una aprobación independiente

Quien solicita una excepción o se beneficia de ella no debería aprobarla por sí solo. Separa la defensa de los intereses comerciales de la aceptación del riesgo. El patrocinador del área de negocio puede explicar por qué una excepción podría ser conveniente; el responsable del riesgo pertinente decide si el riesgo residual es aceptable.

El Green Book de 2025 de la Oficina de Rendición de Cuentas del Gobierno de EE. UU. (GAO) destaca actividades de control proporcionales al riesgo, documentación y segregación de funciones en los sistemas federales de control interno. Aunque las organizaciones privadas no están sujetas automáticamente a este marco, su diseño de controles es instructivo: una sola persona no debería controlar etapas incompatibles (GAO Green Book).

7. Verifica las condiciones y conserva la decisión

La aprobación no está completa si sus condiciones desaparecen después de la firma. Asigna un responsable y una fecha límite para los certificados de seguro, la corrección de deficiencias de seguridad, los planes de transición, las obligaciones de información u otras medidas de mitigación. Después, conserva el texto final, la evidencia, la decisión, las condiciones y el estado de implementación como conocimiento institucional.

Registro mínimo de excepciones

Usa esta plantilla reutilizable para cada excepción importante:

Plantilla de solicitud de excepción

• Negociación y contraparte:
• Patrocinador del área de negocio y negociador principal:
• Nivel de riesgo actual:
• Referencia aprobada o posición de las guías de negociación:
• Texto o posición comercial solicitados por el proveedor:
• Desviación exacta propuesta:
• Justificación comercial:
• Impacto financiero:
• Impacto legal y de cumplimiento:
• Impacto en privacidad y seguridad:
• Impacto operativo y en la continuidad del proveedor:
• Alternativas consideradas, incluido el rechazo o la elección de otro proveedor:
• Controles compensatorios propuestos:
• Riesgo residual después de la mitigación:
• Responsable del riesgo designado:
• Aprobador requerido y fuente de su autoridad:
• Condiciones, duración, límites monetarios y fecha de vencimiento:
• Decisión final y texto contractual:
• Responsable y evidencia de las acciones posteriores a la aprobación:

La fecha de vencimiento es importante porque una excepción temporal no debería convertirse silenciosamente en un precedente permanente. Si la misma desviación se repite, analízala a nivel de cartera. Las excepciones reiteradas pueden indicar que la posición estándar no es realista, que la capacitación es insuficiente, que el mercado está cambiando o que se están eludiendo los controles.

Criterios de escalación que prevalecen sobre los umbrales de valor

Por lo general, las siguientes condiciones deberían exigir una escalación independientemente del valor de la transacción:

• Sospecha de ilegalidad, soborno, colusión, evasión de sanciones o conflictos de interés
• Inicio del trabajo antes de la firma o compromiso asumido sin autoridad
• Responsabilidad ilimitada o difícil de cuantificar
• Cambios materiales en la titularidad o las licencias de propiedad intelectual
• Datos regulados o altamente sensibles
• Protecciones de seguridad inferiores a los mínimos aprobados
• Proveedor único o concentración grave de proveedores
• Rutas de pago, intermediarios o remuneraciones no estándar
• Dependencia prolongada o derechos insuficientes de rescisión y transición
• Garantías, indemnizaciones, exclusividad o condiciones de cliente más favorecido de importancia material
• Varias desviaciones pequeñas que, en conjunto, generan una exposición material
• Negativa a proporcionar la evidencia de diligencia debida requerida
• Intento de anular una puntuación de riesgo o un requisito del flujo de trabajo

Las directrices de septiembre de 2024 del Departamento de Justicia de EE. UU. para evaluar programas de cumplimiento preguntan cómo las empresas evalúan el riesgo de los proveedores, documentan la justificación comercial legítima, alinean las condiciones contractuales con los servicios reales y verifican que la remuneración corresponda al trabajo realizado. Son directrices de evaluación, no una ley sobre aprobación de contratos, pero respaldan la idea de que la gobernanza de terceros debe ser un proceso operativo, no una política en papel (DOJ Evaluation of Corporate Compliance Programs).

Ejemplo hipotético: un contrato modesto con alto riesgo residual

Ejemplo hipotético; no es un parámetro de referencia ni un informe sobre un cliente real.

Un equipo de compras negocia con un proveedor de análisis de mantenimiento. La tarifa anual está dentro del rango habitual de aprobación comercial del comprador. Un flujo basado únicamente en el valor clasificaría la transacción como rutinaria.

La admisión revela que el proveedor se conectará a sistemas de producción, procesará datos operativos, utilizará un subcontratista en otra jurisdicción y prestará un servicio necesario para programar el mantenimiento de la planta. Además, el proveedor solicita limitar la asistencia para la transición y excluye su responsabilidad por fallos de los subcontratistas.

El flujo asigna el Nivel 3 porque la dependencia operativa, la conectividad, la exposición a terceros y las protecciones débiles para la salida generan un riesgo residual alto. El comprador puede seguir conversando sobre el precio y la secuencia de implementación dentro del mandato, pero no puede aceptar la desviación de seguridad ni la limitación de transición.

Se envía un expediente de decisión a seguridad, operaciones, legal y al responsable sénior del riesgo designado. El equipo considera tres opciones: exigir los controles de referencia, aceptar controles compensatorios específicos con fecha de vencimiento o rechazar al proveedor. El responsable sénior del riesgo —no el comprador ni el patrocinador del área de negocio— decide sobre el riesgo residual. La firma sigue requiriendo la intervención del funcionario designado en la política de delegación de la organización.

Este ejemplo ilustra por qué las aprobaciones de negociaciones deberían seguir el riesgo material más alto, no simplemente el valor de la factura.

Qué deben seguir decidiendo las personas responsables

La revisión o aprobación humana debería seguir siendo obligatoria cuando la organización deba:

• Determinar si una conducta inusual podría ser ilegal o poco ética
• Aceptar un riesgo residual material
• Resolver conflictos entre objetivos comerciales y obligaciones legales, de seguridad, privacidad o protección
• Aprobar lenguaje ambiguo, novedoso o que siente precedente
• Evaluar la credibilidad del proveedor cuando sus declaraciones contradicen evidencia externa
• Elegir entre opciones con consecuencias estratégicas materialmente distintas
• Anular una recomendación de nivel, puntuación o flujo de trabajo
• Ratificar un compromiso no autorizado
• Detener una negociación
• Firmar o comprometer de otro modo a la organización

El Marco de Gestión de Riesgos de NIST utiliza controles evaluados, información sobre el riesgo residual y un expediente de autorización para respaldar la decisión de un funcionario sénior designado. NIST aplica esta arquitectura a la seguridad y la privacidad, por lo que utilizarla para la gobernanza de negociaciones es una inferencia, no una afirmación de que el marco rija los contratos comerciales. Aun así, separar la preparación de la evidencia de la autorización responsable es un modelo sólido para negociaciones de alto riesgo (NIST RMF Authorize Step).

Cuando se utiliza Negotiations.AI en un flujo de compras, una función concreta podría ser ayudar al equipo a organizar la evidencia de planificación, las posiciones propuestas, las desviaciones y las preguntas pendientes para que las revise una persona. Negotiations.AI no debería considerarse la fuente de autoridad delegada, un sustituto del criterio especializado ni quien firma un acuerdo.

Los compromisos no autorizados requieren un proceso aparte

No conviertas la aprobación retroactiva en un atajo habitual del flujo de trabajo. Un compromiso no autorizado debería seguir un proceso controlado de ratificación que incluya:

1. Contención inmediata y preservación de los registros
2. Confirmación de los bienes, servicios, declaraciones y obligaciones
3. Revisión legal y de políticas
4. Revisión de fondos y de la razonabilidad comercial, cuando corresponda
5. Decisión de un funcionario con autoridad para ratificar
6. Documentación de las causas del fallo
7. Medidas correctivas para evitar que se repita

La sección 1.602-3 del FAR trata la ratificación como condicional y excepcional en el contexto de las adquisiciones federales de EE. UU. Entre otros requisitos, exige un funcionario ratificador autorizado y determinadas conclusiones de respaldo, y ordena a las agencias desalentar los compromisos no autorizados (FAR Part 1). Las normas de la EPA ofrecen un ejemplo específico de una agencia en el que el nivel de aprobación aumenta con la exposición y se exigen registros de respaldo; sus umbrales monetarios no se recomiendan como umbrales corporativos (EPA Acquisition Regulation §1501.602-3).

Cuadro de control para la revisión trimestral de la gobernanza

Un equipo de gestión de negociaciones puede comprobar si el flujo funciona en la práctica con este cuadro de control:

Entre las métricas operativas útiles se incluyen el tiempo de aprobación, los patrones recurrentes de excepciones, los compromisos no autorizados, las medidas de mitigación pendientes, las anulaciones de nivel y las decisiones devueltas por falta de evidencia adecuada. No optimices únicamente la velocidad de aprobación: un sello automático y rápido no es una gobernanza eficaz.

Hechos verificados, supuestos, estimaciones y recomendaciones

Hechos verificados

• El FAR establece una autoridad escrita y delimitada, así como un proceso controlado de ratificación, en los contextos aplicables de adquisiciones federales de EE. UU.
• El Green Book de 2025 de la GAO presenta principios de evaluación de riesgos, actividades de control, documentación y segregación de funciones para el control interno federal.
• El modelo de autorización de seguridad y privacidad de NIST asigna la decisión final de autorización a un funcionario responsable designado.
• El Departamento de Justicia evalúa si los programas de cumplimiento se basan en riesgos y son eficaces en la práctica, en lugar de aplicar una fórmula única a todas las organizaciones (DOJ Justice Manual).

Supuestos

Este marco supone que la organización utiliza acuerdos por escrito, cuenta con responsables identificables de compras y riesgos, y puede conservar los registros del flujo de trabajo. También supone que el «riesgo» abarca más que la pérdida financiera esperada.

Estimaciones y decisiones de diseño

Los cuatro niveles, los indicadores, la lógica de asignación y las plantillas son recomendaciones de diseño. No constituyen umbrales universalmente validados de forma empírica. No se proponen límites monetarios porque los límites adecuados dependen del tamaño de la organización, la regulación, el apetito de riesgo y la capacidad para absorber pérdidas.

Recomendaciones

• Utiliza el riesgo material aplicable más alto para determinar el nivel.
• Define los términos prohibidos y las condiciones para detenerse por separado de las excepciones que pueden aprobarse.
• Mantén separadas la autoridad para negociar, aprobar excepciones, aceptar riesgos, comprometer gastos y firmar.
• Asegúrate de que las anulaciones estén justificadas, sean atribuibles, tengan fecha y hora y puedan revisarse.
• Revisa las excepciones recurrentes y las decisiones de alto riesgo a nivel de cartera.
• Exige que una persona sénior acepte los riesgos residuales críticos.

Limitaciones y situaciones que requieren otro enfoque

Este marco no sustituye el asesoramiento legal específico de cada jurisdicción, las reglas corporativas de firma, los asuntos reservados al consejo, los convenios con prestamistas, las aprobaciones regulatorias ni los procedimientos de emergencia. Las fuentes del sector público citadas aquí rigen directamente en los contextos que especifican; su aplicación a empresas privadas es una analogía de gobernanza, salvo que otra norma las haga aplicables.

Un flujo de cuatro niveles también puede ser demasiado general para organizaciones con distintas actividades reguladas, entidades legales descentralizadas o regímenes de seguridad especializados. Esas organizaciones podrían necesitar matrices secundarias independientes. Durante una emergencia real, un proceso aprobado de autoridad de emergencia puede sustituir el flujo ordinario, pero aun así debería definir límites, conservar registros y exigir una revisión posterior al evento.

Preguntas frecuentes

¿La autoridad para negociar debería basarse en el valor del contrato?

No exclusivamente. El valor es un dato útil, pero el nivel aplicable debería reflejar la exposición legal, de cumplimiento, operativa, de datos, de seguridad, reputacional, de concentración y estratégica. Una transacción de bajo valor puede generar un riesgo residual alto.

¿Puede el patrocinador del área de negocio aprobar una excepción de proveedor?

El patrocinador puede recomendarla y explicar su justificación comercial. El responsable del riesgo pertinente debería aprobar los riesgos residuales materiales, y el solicitante o beneficiario no debería ser el único aprobador.

¿Cuándo debería detenerse y escalar el negociador?

Debe escalar cuando una posición exceda el mandato escrito, active un criterio de revisión especializada, genere una excepción material o plantee una posible ilegalidad, conducta poco ética, conflicto, compromiso no autorizado o riesgo residual inaceptable.

¿Puede el software emitir aprobaciones de negociaciones automáticamente?

El software puede dirigir casos de bajo riesgo, comprobar evidencia, calcular la exposición y señalar desviaciones. No debería ampliar la autoridad de forma silenciosa ni ser el único aprobador de excepciones de alto impacto. Las personas responsables deben aceptar los riesgos residuales materiales y comprometer a la organización.

¿Con qué frecuencia debería revisarse una Política de Autoridad para Negociar?

Revísala cuando cambien las estructuras de autoridad, las leyes, el apetito de riesgo, los sistemas o los modelos operativos, y también según un ciclo periódico de gobernanza. Las excepciones recurrentes, los compromisos no autorizados y las medidas de mitigación sin implementar deberían activar una revisión anticipada.

Lecturas adicionales

• Federal Acquisition Regulation, Part 1
• U.S. GAO, 2025 Green Book
• NIST Risk Management Framework: Authorize Step
• DOJ Evaluation of Corporate Compliance Programs

Aviso: Este artículo ofrece orientación operativa general y no constituye asesoramiento legal, financiero, de cumplimiento ni regulatorio.