Tu proveedor más riesgoso es al que no le ha pasado nada

Todo registro de riesgos que he visto es en realidad un feed de noticias con una columna de puntaje pegada encima. Algo pasa (se forma un tifón, un proveedor sufre una brecha, un puerto se satura) y el ítem gana una probabilidad, un impacto, un color. El registro es honesto sobre lo que es: una lista ordenada de cosas que han empezado a salir mal. El problema es que todos lo leen como otra cosa. Lo leen como una lista de lo que más dolería. Esas no son la misma lista, y la brecha entre ellas es donde viven las sorpresas caras.

Quería mostrar la brecha en lugar de solo afirmarla, así que construí un modelo. No el de un cliente: una empresa de bienes de consumo de tamaño mediano deliberadamente sintética: cuatro proveedores, dos plantas, tres centros de distribución, cinco líneas de producto, repartidos entre Asia, Europa y Estados Unidos. Estructura real, números inventados, para poder publicar cada cifra en esta página. Luego la alimenté con un feed de treinta y cinco eventos de disrupción y le hice dos preguntas distintas.

La primera pregunta es la que responde el registro: ¿qué está saliendo mal ahora mismo? Los tres riesgos más sonoros regresan exactamente donde uno lo esperaría: un tifón que avanza hacia el proveedor de electrónica en Shenzhen, una intrusión cibernética en la planta textil, un retiro de producto. Todos CRÍTICOS, todos concentrados en los dos proveedores estrella que ya vigila cada planificador de esta empresa un lunes en la mañana.

La segunda pregunta es la que casi nadie se hace de forma estructural: si un solo proveedor simplemente se detuviera, qué falla costaría más? Esa pregunta no le importa lo que sale en las noticias. Le importa cómo está cableada la red.

La respuesta fue el proveedor de empaques.

No el proveedor de chips. No la planta textil bajo la nube cibernética. Bengaluru Packaging Solutions: cartón corrugado y cajas, el ítem de menor costo unitario en toda la lista de materiales, el proveedor con el que renegociarías para ahorrar unos puntos base y nunca volverías a pensar. En esta red, el 85.9% de los ingresos fluye a través de él. ¿El proveedor de electrónica por el que todos se preocupan? 59%. La razón es poco glamorosa y total: el empaque alimenta ambas plantas, y cada uno de los cinco productos necesita una caja. Es de fuente única, como cada insumo en este modelo, pero es el único nodo donde la fuente única es silenciosamente catastrófica, porque no hay producto que se despache sin él.

Los números hacen esto concreto, y la forma justa de mostrarlo es mantener constante la forma del escenario. Toma dos proveedores. Falla cada uno durante cuatro semanas. Misma interrupción, misma simulación, misma red.

El modelo viene con un ejemplo de falla de fuente única incorporado: Rhineland Precision, un proveedor tier-2 de hardware de precisión, exactamente el tipo de proveedor especializado y difícil de reemplazar que nominarías como tu candidato aterrador. Cuatro semanas de caída, y cuesta $529k en ingresos perdidos y el nivel de servicio cae a 86%. Incómodo, sobrevivible, más o menos lo que uno esperaría.

Ahora falla el proveedor de empaques durante las mismas cuatro semanas. Ingresos perdidos: $1.87M. Peor semana de nivel de servicio: 33.8%. Tiempo para sobrevivir antes de que el servicio se rompa: una semana. Tiempo de recuperación: tres. Misma forma de escenario, tres veces y media el daño, y el servicio no cae un poco, se desploma a un tercio de lo normal, porque cuando las cajas se detienen, casi todo se detiene.

Aquí está la parte que debería inquietarte. En el registro impulsado por eventos, el proveedor de empaques aparece exactamente una vez, como MEDIO, y el evento asociado es una buena noticia: una aerolínea regional que expande su capacidad de carga desde Bengaluru. No le ha pasado nada malo. Así que el feed-con-columna-de-puntaje lo clasifica como un positivo leve mientras el análisis estructural lo clasifica como el nodo individual más peligroso del negocio. Ambos están mirando al mismo proveedor el mismo día y llegando a conclusiones opuestas.

Este es todo el argumento a favor de medir la resiliencia de forma estructural en lugar de reactiva, y no es matemática exótica: es aritmética sobre un grafo. La criticidad es simplemente la proporción de ingresos que tiene que pasar por un nodo. La exposición de fuente única es contar hasta uno. El tiempo para sobrevivir es preguntar cuántas semanas de cobertura hay entre que un nodo se apaga y un cliente lo nota. Nada de esto necesita que una disrupción ya haya ocurrido. Ese es el punto: el registro reactivo solo puede clasificar lo que ya se incendió, y el incendio rara vez está donde la estructura es más débil.

No estoy argumentando en contra de los feeds de riesgo. Vigila el tifón; el retiro es real. Pero si el feed es la única lente, vas a gastar tu atención en proporción al ruido que hace un proveedor, no en proporción al daño que podría causar, y los proveedores más silenciosos, los insumos de commodity que has optimizado hasta el centavo, son exactamente los que no tienen drama ni respaldo. El modo de falla no es la ignorancia. Es que los riesgos ruidosos desplazan a los estructurales, en cada ciclo, porque los ruidosos vienen con una fecha y un titular, y los estructurales simplemente se quedan ahí siendo la carga que sostiene todo.

Así que el ejercicio es simple, y vale una tarde. Ignora las noticias por un momento. Enumera a tus proveedores. Para cada uno, hazte la pregunta aburrida: si este simplemente se detuviera, qué proporción de ingresos se detiene con él, y cuántas semanas pasan antes de que un cliente lo sienta? Ordénalos por eso. Luego compara el tope de esa lista con el tope de tu registro de riesgos. Donde las dos listas no coinciden es tu exposición real: el proveedor al que todavía no le ha pasado nada.

El modelo detrás de esta pieza, un motor de resiliencia autocontenido que puntúa la criticidad de la red, simula fallas de proveedores y puertos semana a semana, y clasifica mitigaciones al reejecutar el escenario con cada palanca aplicada, es una demostración funcional, no un producto. Cada número aquí salió de él. Si quieres la metodología (sigue la tradición de tiempo de recuperación y tiempo para sobrevivir de Simchi-Levi / Ivanov), esa es la próxima entrega.