El riesgo reputacional no aparece en una lista sancionatoria: aparece en un periódico. Entre la primera publicación sobre un proveedor y su eventual inclusión en una lista oficial pueden pasar meses, y en ese intervalo la empresa sigue contratando con él, pagándole y apareciendo a su lado.
A eso se suma un punto ciego propio: casi todas las empresas tienen información interna que debería impedir una vinculación —un exempleado despedido por fraude, un proveedor incumplido, una contraparte que el comité vetó— y esa información vive en correos y en la memoria de alguien, no en un control que se ejecute al vincular.