Wenn sich Ihr Programm zum Risikomanagement bei Drittanbietern (TPRM) ausschließlich auf Cybersicherheit konzentriert, erhalten Sie nur einen Teilüberblick über die Risiken – nämlich das, was üblicherweise über der Wasserlinie sichtbar ist. Unter der Oberfläche lauern jedoch noch viel mehr Risiken. Wissen Sie beispielsweise, ob Ihre Lieferanten die SLA-Anforderungen erfüllen? Können Sie die Stärke ihrer Ethik- und Anti-Bestechungs- und Korruptionsrichtlinien (ABAC) beurteilen? Wie sozial- und umweltbewusst sind Ihre Partner in der Lieferkette?
Prevalent hat kürzlich hochrangige Entscheidungsträger zu den Schwerpunkten, Stakeholdern und Herausforderungen ihrer Unternehmen im Bereich TPRM befragt. Unser Ziel war es, einen Überblick über den aktuellen Stand der Programme zum Management von Risiken durch Dritte in der Praxis zu gewinnen. Dabei haben wir festgestellt, dass viele Unternehmen Schwierigkeiten haben, die geschäftsschädigenden Risiken zu identifizieren, die unter der Oberfläche der Cybersicherheit lauern.
In der aktuellen Studie zum Risikomanagement bei Drittanbietern 2021 präsentieren wir die vollständigen Ergebnisse der Umfrage und stellen Strategien vor, mit denen Sie sich heute sicher durch die gefährlichen Gewässer der Risiken von Anbietern und Lieferanten navigieren können. Dieser Beitrag enthält die wichtigsten Ergebnisse der Studie und gibt Leitlinien für die Verbesserung Ihrer Risikosichtbarkeit während des gesamten Lebenszyklus von Drittanbietern.
Wichtige Erkenntnisse aus der Studie zum Risikomanagement durch Dritte 2021
Die Ergebnisse der diesjährigen Studie lassen vier wesentliche Beobachtungen erkennen:
Unternehmen übersehen wichtige Risiken – auf eigene Gefahr
Zwei der größten Ereignisse des Jahres 2020 – die COVID-19-Pandemie und die sozialen und rassistischen Gerechtigkeitsbewegungen – hatten wenig mit Cybersicherheit zu tun, lösten jedoch wichtige Aktivitäten im Bereich der Risiken durch Dritte aus. Tatsächlich gaben 83 % der Befragten an, dass die Pandemie dazu geführt habe, dass sich ihre Unternehmen verstärkt mit Risiken durch Dritte befassen. Obwohl die Pandemie beispiellose Herausforderungen für das Risikomanagement in der Lieferkette und das Leistungsmanagement von Lieferanten mit sich brachte, verfolgten weniger als die Hälfte der Befragten aktiv die Risiken in der Lieferkette und die Leistungsrisiken.
Gleichzeitig unterstreichen die anhaltenden Justizbewegungen, wie wichtig es ist, mit Partnern zusammenzuarbeiten, die über solide Diversitäts- und ESG-Richtlinien verfügen. Dennoch ergab die Studie, dass nur wenige Unternehmen Risiken Dritter in Bezug auf Arbeitsstandards, Umwelt und Menschenrechte aktiv verfolgen.
Es sollte mehr Aufmerksamkeit auf weitere Phasen im Lebenszyklus von Risiken durch Dritte gelegt werden.
Jede Geschäftsbeziehung mit Dritten folgt einem Lebenszyklus, der in etwa wie folgt aussieht: Due Diligence vor Vertragsabschluss, Vertragsabschluss, Onboarding, Risikobewertung, Leistungsmanagement und Offboarding. Interessanterweise war die größte Herausforderung, die von den Befragten genannt wurde, das Fehlen einer Due Diligence vor Vertragsabschluss. Noch überraschender ist, dass 59 % der Unternehmen angeben, dass sie die Risiken von Drittanbietern beim Offboarding nicht aktiv bewerten, was zu Datenlecks und Compliance-Verstößen führen kann. Brauchen Sie weitere Beweise? Fragen Sie einfach Morgan Stanley.
Beschaffungs- und Geschäftsteams kämpfen um einen Platz am TPRM-Tisch
Das Risikomanagement für Dritte ist seit langem die Domäne von IT- und Sicherheitsteams. Unsere Studie bestätigt dies: 50 % der Befragten gaben an, dass IT und Sicherheit in ihren Unternehmen für das TPRM zuständig sind. Und 55 % der Unternehmen verzeichneten im vergangenen Jahr eine Zunahme der Zuständigkeit für Sicherheit. Das Problem ist, dass nur 22 % eine Zunahme der Zuständigkeit für Beschaffungsteams feststellten. Dieser Trend ist besorgniserregend, da Risiken zunehmend außerhalb des typischen Zuständigkeitsbereichs der Cybersicherheit liegen.
Die meisten Unternehmen möchten Risiken durch Dritte nicht alleine bewältigen.
70 % der Befragten gaben an, dass Outsourcing die bevorzugte Methode zum Management von Risiken durch Dritte ist. Warum? Weil eine erschreckend große Zahl von Fachleuten (42 %) immer noch Tabellenkalkulationen als primäres Instrument für die Risikobewertung von Lieferanten verwendet – und 65 % sind mit diesem Ansatz nicht zufrieden. Die Befragten nannten auch die Notwendigkeit einer breiteren Palette von Informationsquellen zu Risiken durch Dritte als Schlüssel zum Erfolg des TPRM.
Klicken Sie auf die Vorschau, um eine PDF-Datei der vollständigen Infografik herunterzuladen.
Empfehlungen, damit Ihr Risikomanagementprogramm für Dritte über Wasser bleibt
Hier sind vier (4) Empfehlungen, um einen besseren Kurs durch Risiken von Drittanbietern zu steuern:
Nr. 1 – Bewertungen über die Cybersicherheit hinaus erweitern
Das Risikomanagement von Lieferanten ist nicht nur ein Problem der Sicherheit und Compliance. Viele Arten von Risiken können sich auf die Fähigkeit eines Unternehmens auswirken, Waren und Dienstleistungen zu produzieren, zu verwalten und zu vertreiben. Daher müssen Sicherheits- und Geschäftsteams zusammenarbeiten, um den Umfang der Risikobewertung von Lieferanten zu erweitern und zusätzlich zur Cybersicherheit zwei weitere Bereiche einzubeziehen:
- Reputationsinformationen zu rechtlichen Schritten und Sanktionen, Veränderungen in der Unternehmensführung, politisch exponierten Personen (PEPs), negativen Medienberichten, staatlichen Unternehmen, Verstößen gegen OFAC-Vorschriften und anderen Indikatoren für potenzielle Probleme im Bereich Cybersicherheit oder Compliance.
- Finanzinformationen, einschließlich Leistung, Umsatz, Gewinn und Verlust, Eigenkapital und andere Indikatoren.
Suchen Sie nach Lösungen, die Überwachungsdaten normalisieren und mit den Ergebnissen der Risikobewertung korrelieren, um potenzielle Risiken zu eskalieren und empfohlene Abhilfemaßnahmen zu identifizieren. Die Einbeziehung einer Vielzahl von Risikoinformationsquellen hilft Sicherheits- und Beschaffungsteams, fundiertere Entscheidungen zu treffen.
#2 – Die Kluft zwischen Business und IT überbrücken
Uneinheitliche Ansätze zur Bewertung von Risiken durch Dritte führen zu Lücken – und Lücken bergen Risiken. Mit einer TPRM-Plattformlösung, die eine zentrale Quelle für alles bietet, von Lieferantenprofilen und Verträgen über Bewertungsergebnisse und Compliance-Berichte bis hin zu Leistungskennzahlen und Korrekturprotokollen, können Sie IT-Sicherheits- und Geschäftsteams vereinen. Eine einzige Lösung stellt sicher, dass das gesamte Unternehmen dieselben Daten verwendet, um risikobasierte Entscheidungen zu treffen.
Nr. 3 – Risiken in jeder Phase des Lebenszyklus von Drittanbietern verwalten
Sicherheits-, Compliance- und betriebliche Probleme können jederzeit während einer Lieferanten- oder Zuliefererbeziehung auftreten. Daher ist es wichtig, Risiken in jeder Phase des Lebenszyklus eines Drittanbieters anzugehen. Laden Sie sich den vollständigen Bericht herunter, um zu erfahren, worauf Sie in jeder Phase des Lieferantenrisikolebenszyklus achten sollten, darunter:
- Beschaffung und Auswahl
- Aufnahme und Onboarding
- Inhärentes Risiko Scoring
- Risikobewertungen von Anbietern
- Kontinuierliche Risikoüberwachung
- SLA und Leistungsmanagement
- Offboarding und Beendigung
#4 – Lagern Sie schwierige Aufgaben aus
Die Ergebnisse dieser Studie zeigen, dass die bevorzugte Methode des TPRM ein gewisses Maß an Outsourcing beinhaltet. Externe Risikomanagement-Experten können den Lebenszyklus Ihrer Lieferanten für Sie verwalten – von der Einbindung neuer Lieferanten und der Sammlung von Nachweisen über die Überprüfung der Bewertungen auf Vollständigkeit bis hin zur Identifizierung von Risiken und der Bereitstellung von Empfehlungen zur Behebung von Mängeln. So können Sie gefährliche Gewässer sicher umschiffen, indem Sie Ihr TPRM-Programm effizient skalieren, Lieferantenrisiken reduzieren und die Compliance vereinfachen, ohne Ihre internen Mitarbeiter zu belasten.
Wie gehen Sie mit Risiken durch Dritte um?
Wir haben festgestellt, dass die meisten Unternehmen in mehr als einer Phase des Lieferantenrisikolebenszyklus wichtige Risiken übersehen, wodurch ihre Unternehmen unsichtbaren Risiken ausgesetzt sind. Wie geht Ihr Programm zum Management von Risiken durch Dritte mit diesen Herausforderungen um, verglichen mit den Teilnehmern unserer Umfrage? Laden Sie die vollständigen Ergebnisse herunter und sehen Sie sich die Infografik an, um Ihre eigenen TPRM-Praktiken zu bewerten.
Wenn Sie mehr darüber erfahren möchten, wie Prevalent Sie bei der Bewältigung der Herausforderungen im Risikomanagement für Dritte unterstützen kann, fordern Sie noch heute eine Demo unserer Plattform an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
