《DORA》、《NIS2》以及美国证券交易委员会（SEC）的网络安全信息披露规则，已使第三方风险成为董事会层面的责任。
威胁形势正加剧这种压力： 软件供应链 遭入侵、AI工具的泛滥以及 集中度风险 ——这些如今已成为常态风险，而非特例。真正发生变化的是组织应对的方式。目前日益普及的实践是将供应商关系管理（TPRM）融入更广泛的风险与合规职能中，利用供应商情报来指导高管决策和企业风险态势，而非仅将其纳入年度审查周期。
下文将全面涵盖以下内容：什么是 TPRM 以及推动其应用的因素；成熟的 TPRM 项目在供应商生命周期中应如何构建；正确实施 TPRM 可带来的可量化效益；以及那些始终阻碍项目进展的实施陷阱——无论您是首次建立 TPRM 项目，还是对现有项目进行压力测试。
什么是第三方风险管理？
第三方风险管理（TPRM）是一个识别、评估和降低与外部第三方（如销售商、供应商、承包商和业务合作伙伴）合作相关风险的过程。它涉及彻底的尽职调查，以应对可能影响组织运营、财务健康、网络安全、法律地位或服务客户能力的潜在风险。这些风险可能包括网络安全事件、供应链中断、劳动力短缺、金融不稳定、政治因素和地区冲突。TPRM 使组织能够主动管理风险并制定应对计划，而不是在问题出现时才做出反应，从而确保业务连续性并保护关键利益相关者。
第三方风险管理生命周期：流程阶段与工作流
TPRM的价值始于风险识别过程，并贯穿贵组织与供应商之间关系的整个生命周期。从最初的供应商甄选到最终的供应商退出，工作流中的每个阶段都需要周密的监督。
TPRM 生命周期包括：
-
供应商寻源与筛选：此阶段包括评估每家潜在供应商满足服务或解决方案要求的能力，并对基础安全、隐私、声誉及财务风险进行评分。可通过开展问卷调查评估、查阅供应商情报数据库，或两者结合的方式来完成。
-
供应商录入与入职：供应商选定后，将通过手动或批量上传的方式将其录入中央数据库。这可以通过内部相关方填写的录入表单、电子表格导入，或通过API对接现有的供应商管理或采购解决方案来实现。
-
固有风险评分： 固有风险是指在未考虑贵组织要求的任何具体控制措施之前，供应商的风险水平。最佳实践是在授予供应商访问贵组织系统和数据的权限之前，通过简单的评估对其固有风险进行评分。这也有助于您确定所需的尽职调查水平，以及后续风险评估的频率和范围。
-
内部控制评估： 内部控制评估可在初步尽职调查期间以及定期进行，以满足审计要求。评估过程中识别出的风险通常会根据影响程度、发生概率及其他因素进行评分。评估结果还可与其他合规及安全框架（如 ISO、NIST 或 SOC 2）中的关键要求进行对照。
-
外部风险监测： 通过利用外部来源提供的持续性第三方情报，您可以弥补定期评估之间的空白，并根据外部观察结果验证评估响应的有效性。风险监测可涵盖网络情报、商业动态、财务报告、媒体筛查、全球制裁名单、国有企业筛查、政治敏感人物（PEP）筛查、数据泄露事件通知等内容。
-
服务水平协议（SLA）与绩效管理： 可以通过评估和监控来确定供应商在整个业务关系期间是否履行了其义务。例如，这可能包括评估其按服务水平协议（SLA）履行交付义务、实施补救措施或满足合规要求的能力。
-
离职与解雇： 在此阶段，相关评估将确保所有最终义务均已履行。这可能包括合同审查、结清未付账单、撤销系统及数据访问权限、撤销办公楼出入权限，以及审查隐私和安全合规情况。
在规划您的供应商关系管理（TPRM）策略时，请记住，在合作期间，各方的状况随时都可能发生变化。 发现并管理这些变化对贵组织的成功至关重要。供应商可能会调整业务运营，其关键材料的供应链可能受到干扰，或者地区性机构可能会更改进出口要求。例如，全球范围内的数据隐私法律正在迅速变化。所有这些情况目前都在发生，那些已有效实施TPRM流程的公司正蓬勃发展，而其他公司则正在落后。
鉴于变化速度之快，组织亟需对现有信息进行近乎实时的监控和初步分析，以识别和管理风险。这一要求意味着必须通过自动化流程来收集和分发有关第三方供应商的信息。有效的自动化能够使您的第三方供应商风险管理（TPRM）部门在组织声誉受损之前就识别风险并推动整改措施的实施。
第三方风险管理计划驱动因素
多项监管和合规要求规定必须对第三方风险进行管理，并可为缓解供应商风险提供有效的框架。推动第三方风险管理（TPRM）计划的监管要求涵盖广泛的市场、供应商和数据领域，且通常取决于组织的类型（例如，来自CMMC、EBA、FCA、FFIEC、HIPAA、NERC、NIST、NYDFS、OCC等）的类型、贵组织的所在地（例如隐私法规、州特许经营要求）或客户所在地（例如GDPR、CCPA）等因素而定。 关于这些要求，关键在于确保您的计划充分考虑了组织有责任保护哪些数据、客户通常位于何处，以及供应商为提供服务必须满足的标准要求。请将这些要求纳入您的协议中，并将其扩展至处理相关数据的供应商。
组织实施 TPRM 计划主要受以下因素驱动：
- 遵守监管要求。
- 网络安全风险。
- 有效的 TPRM 计划的竞争优势。
- 内部采购/效率驱动因素。
- 管理内部财务和业务风险。
- 满足客户要求。
无论贵组织建立 TPRM 计划的具体驱动力是什么，在建立工作流程的过程中，确定并与所有内部利益相关者（如高管、董事会、采购、内部审计、财务、IT、信息安全、法律和合规）合作至关重要。
谁应该参与第三方风险管理？
在实施TPRM计划时，应确保所有受影响的内部和外部利益相关方都参与到计划的制定过程中。至少应将以下对象视为内部利益相关方：
- 高管（首席执行官、首席财务官、首席信息官、首席运营官、首席信息安全官等）
- 总顾问
- 董事会成员
- 内部审计员
在制定项目计划时，外部利益相关者是另一个需要考虑的关键群体。外部利益相关者包括：
- 供应商
- 监管机构
- 客户
由于TPRM计划很少在公司成立之初就启动，因此必须考虑与外部供应商之间现有的协议/计划，并确保根据拟议的TPRM计划对这些协议/计划进行彻底分析。应确保记录下所有差异，并制定应对无法缓解的风险的计划，同时跟踪该计划直至完成。
监管 TPRM 风险管理的影响因素
监管标准是 TPRM 计划的主要驱动力。监管计划具体针对
- 医疗保健
- 联邦政府合同
- 接受信用卡
- 金融服务
- 银行业
- 制造业
所有这些都需要实施一套涵盖整个生命周期的TPRM流程。这些要求通常取决于在正常业务过程中收集的敏感数据的类型。
此类监管驱动型风险管理的典型例证，是行业标准PCI-DSS的重要组成部分。该标准对第三方服务提供商进行了定义，并要求服务提供商不得“代表客户或组织向可能危及其数据和环境安全的服务提供商传输持卡人数据”。 这意味着，虽然企业有义务为自身制定必要的网络安全计划，但仍需监督那些处理敏感数据访问权限的供应商的网络安全计划，即使这些供应商将风险控制在一定阈值以下。
另一个例子是联邦项目和合同，这些项目和合同要求对所有能够接触相关信息的供应商实施严格的安全管理。这一流程远不止于简单的问卷调查和文件交换；它还可能包括对内部环境的扫描，以及高管就现行数据保护措施作出的法律声明。涉及的第三方复杂性、潜在的利益冲突以及财务损失的风险，正促使企业不断改进其风险管理实践和风险缓解策略。
传统的供应商风险管理（TPRM）模型依赖于现场访问、人工问卷审核以及由顾问主导的、按固定间隔进行的评估。这种方法已无法适应现代供应商网络的规模和分布特点。对于需要在多个地区管理数百或数千家第三方供应商的组织而言，必须借助自动化数据采集、持续监控以及工作流工具，才能以环境所要求的速度评估和追踪供应商风险。
考虑到当前的形势，加上当今供应链风险的复杂性和影响范围正在迅速扩大，仅靠传统上行之有效的流程根本无法实现这一目标。要在供应商风险管理（TPRM）中取得成功，必须更多地利用自动化技术以及专门用于收集供应商数据并对其进行初步分析的工具。
人工智能在 TPRM 中的作用
随着企业越来越依赖相互关联的供应链和第三方关系，全面的风险洞察和及时的决策势在必行。来自不同来源的数据呈指数级增长，为利用 人工智能和高级分析提供了机会，从而实现更深入的风险评估、预测能力和实时监控。监管审查的增加和复杂威胁的激增，进一步要求采用数据驱动和人工智能驱动的方法进行风险管理。
采用人工智能（AI）相关技术，对于加强现代第三方风险管理（TPRM）计划至关重要。人工智能的功能可优化TPRM和供应商风险管理（SRM）流程，在复杂的第三方网络中提供更高效、更主动的管理方式：
- 任务自动化： 人工智能驱动的系统可以简化日常的第三方风险评估、数据分析和报告。这可以提高效率和准确性，同时帮助第三方风险经理专注于更高层次的活动。
- 预测分析： 人工智能模型可以分析历史数据和模式，预测潜在风险，帮助您采取积极措施降低风险。
- 异常检测：人工智能算法可以识别可能预示着欺诈、安全漏洞或其他风险的异常模式或行为。
TPRM 的价值何在？
第三方风险管理计划在整个供应商生命周期内（从初始筛选到终止合作）都能创造价值。一个成熟的计划能为您的组织带来以下益处：
-
第三方可见性
TPRM 提供了一个结构化、集中的视图，展示哪些供应商可以访问您的系统和数据、他们提供的服务以及他们带来的风险。如果没有这种可视性，组织就无法准确评估其面临的、由第三方和第四方网络引发的中断风险。
-
早期风险检测
将定期评估与持续监控相结合，可帮助您的组织在风险演变为事件之前就将其识别出来。能够及早发现问题的组织，在危机应对上花费的时间更少，而用于审慎制定风险决策的时间则更多。
-
监管合规
大多数主要的合规框架——包括HIPAA、PCI DSS、GDPR和CMMC——都要求提供第三方风险控制的书面证据。一个结构完善的第三方风险管理（TPRM）计划能够生成监管机构和审计师所期望的评估记录、审计轨迹以及整改文件。
-
声誉保护
第三方事件对声誉造成的负面影响远不止于供应商关系本身。拥有成熟第三方风险管理（TPRM）计划的企业，在发生公开披露的数据泄露或与供应商相关的合规失职事件后，遭受品牌损害的可能性要低得多。
-
竞争优势
能够证明其具备成熟TPRM体系的组织，正日益受到企业采购方、受监管行业以及自行开展供应商尽职调查的合作伙伴的青睐。您的风险控制措施将成为采购决策中的差异化优势。
-
业务复原力
当地缘政治危机、自然灾害和地区冲突等宏观事件扰乱供应链时，拥有有效供应商风险管理（TPRM）计划的企业更能迅速识别风险敞口、启动应急预案，并确保为客户提供持续的服务。
-
成本效益
一个结构合理的TPRM项目可以降低后期风险发现、监管处罚以及事件响应的成本。在前期投入尽职调查的费用，远低于事后处理数据泄露、审计未通过或由供应商引发的中断所产生的费用。
-
基于充分信息的供应商决策
TPRM 为企业就“选择哪些供应商”、“风险容忍度应设定在何种水平”以及“应采用何种合同条款”等决策提供了数据基础。基于风险的供应商选择，可降低贵组织管理的每一项第三方关系所面临的风险敞口。
实施您的 TPRM 计划
一旦您决定实施 TPRM 计划，您将面临一系列重要问题，这些问题将构成您计划的基础。这些问题包括
- 您是否聘请合作伙伴帮助您启动和实施计划？
- 如何管理内部利益相关者的期望？
- 发生数据泄露时，您需要分配责任吗？
- 第三方开展业务必须满足哪些确切要求？
- 外部利益相关者是否理解需求并能够执行需求？
- 实施这些要求是否会改变与供应商的财务关系？
- 如何在现有关系中推广该计划？
各组织必须着力整合合适的人才、流程和技术，以实施第三方风险管理计划。理解这些职能之间的平衡关系及其各自的要求，对于该计划的成功运作至关重要。
为应对 TPRM 环境中的风险，您应在以下方面启用组织标准和语言：
- 制定合同和服务水平协议要求，以履行与风险相关的承诺。
- 根据业务约定或所提供服务的风险状况分析供应商的风险状况。
- 通过动态监控和基于事件的风险评估，实现报告流程。
- 将定期风险评估（ 自我报告）与持续风险监控（外部报告）相结合，以实现端到端的风险识别。
- 实施技术解决方案，将采购、绩效和风险管理整合到一个统一的平台上，为利益相关者提供最新信息，满足他们的特定需求。
需要特别指出的是，在与内部和外部利益相关方建立关系时，并非所有激励措施都必须采取惩罚性或限制性手段。制定合同或服务水平协议的要求时，应包含最低绩效标准，但也应包括对遵守关键风险管理职能的“奖励”。此外，对比分析供应商的要求与贵组织的要求，可为双方带来巨大收益。通过利用现有的合规措施，双方均可降低成本，实现互利共赢。
要有效实施供应商风险管理（TPRM），需要具备合适的技术以及相应的组织基础设施作为支撑：包括文档化的工作流程、明确的风险容忍度、利益相关方对升级触发条件的共识，以及针对已建立供应商关系的接管计划。发展迅速的组织通常从范围较窄且治理完善的领域入手，然后逐步扩展。不过，无论您是采取渐进式建设，还是直接建立完整的项目体系，合适的合作伙伴都能加速设计和执行过程。
了解 Mitratech TPRM 如何助您扩展并优化供应商风险管理
从这里开始常见问题
什么是 TPRM 中的固有风险评分？
固有风险评分是根据供应商的内部控制和业务实践，在尚未应用贵组织具体要求之前，对其所带来的风险进行量化评估。该评分用于确定应采取的尽职调查级别，并设定后续评估的频率和范围。相比拥有第三方审计认证的供应商，那些能够接触敏感客户数据却未建立正式安全计划的供应商，其固有风险评分会更高。
定期风险评估与持续风险监控有何区别？
定期评估是指在规定的时间间隔内（例如在供应商入职时、每年一次或合同续签时）进行的、基于问卷的结构化评估。持续监控则利用外部情报来源，以近乎实时的方式在两次评估间隔期间识别网络安全、财务和声誉风险。两者结合，能够比单独采用任一方法更全面地呈现供应商风险状况。
监管规定在第三方风险管理（TPRM）中发挥什么作用？
各行业的监管框架——包括医疗保健领域的《健康保险流通与责任法案》（HIPAA）、支付处理领域的《支付卡行业数据安全标准》（PCI DSS）、数据隐私领域的《通用数据保护条例》（GDPR）以及联邦政府合同领域的《网络安全成熟度模型认证》（CMMC）——都要求组织必须将其特定的第三方风险控制措施延伸至供应商。在许多情况下，主组织不仅要对自身的合规情况负责，还要对供应商的不合规行为承担责任。一个结构完善的第三方风险管理（TPRM）计划能够提供监管机构所期望的文档和审计追踪记录。
第三方风险管理使用哪些工具？
第三方风险管理（TPRM）项目通常依赖于问卷和评估管理平台、持续监控解决方案、供应商情报网络以及用于分发评估任务并跟踪整改工作的工作流自动化工具。采用手动流程的组织普遍反映，其风险识别速度较慢，且评估错误率较高。如果您仍在评估哪种模式适合您的项目，不妨对比领先的平台，或参考顶尖的TPRM方法。
编者按：本文最初发表于 Prevalent.net。2024 年 10 月，Mitratech 收购了这款基于人工智能的第三方风险管理平台 Prevalent。本文内容已于 2026 年 5 月更新，以纳入与我们的产品服务、监管变化及合规要求相符的信息。
