Während das chaotische und unvorhersehbare Jahr 2022 zu Ende geht und die Planung für 2023 in vollem Gange ist, ist jetzt der perfekte Zeitpunkt, um darüber nachzudenken, was das nächste Jahr für das Risikomanagement von Drittanbietern und Lieferanten bereithält. Auf der Grundlage der Lehren, die wir aus den Sicherheitsverletzungen bei Drittanbietern im Jahr 2022, den anhaltenden Unterbrechungen bei Zulieferern durch Covid und den Krieg in der Ukraine sowie den neuen Vorschriften
die zur Regelung der Beziehungen zu Drittanbietern eingeführt wurden, hat Prevalent einige Vorhersagen zu den Ereignissen des nächsten Jahres zusammengestellt. Nutzen Sie diese, um Ihre TPRM-Strategie für 2023 festzulegen.
Unternehmen werden ihre Drittanbieter und Zulieferer sowohl in den IT- als auch in den Nicht-IT-Risikobereichen bewerten und überwachen.
Nicht-IT-Risikobereiche
Die Störung eines Drittanbieters oder Lieferanten kann durch eine Reihe von Risiken verursacht werden, sowohl logische als auch physische. Unternehmen tun gut daran, den Umfang ihrer Bewertungen zu erweitern, um mehr Risikotypen in ihre Analyse einzubeziehen.
Der jährliche Prevalent-Bericht zum Risikomanagement von Drittanbietern hat gezeigt, dass nur 40 % der Unternehmen bei der Bewertung von Anbietern und Lieferanten IT- (z. B. logische) und Nicht-IT-Risiken (z. B. physische Risiken) gemeinsam berücksichtigen. Diese Zahl wird bis 2023 noch steigen, da immer mehr Teams in das Risikomanagement von Drittanbietern und Lieferanten eingebunden werden und die Zahl der nicht IT-bezogenen Ausfälle von Lieferanten zu Unterbrechungen führt. Schließlich ist das Risiko eines Drittanbieters mehr als seine (fehlenden) IT-Kontrollen - Teams müssen berücksichtigen, ob ein Lieferant ein Reputationsproblem darstellt, ob er seine Rechnungen pünktlich bezahlen kann, ob seine Unternehmenswerte übereinstimmen und ob er die Erwartungen erfüllt.
Da Beschaffungs-, IT-Sicherheits- und Compliance-Teams bei der Bewertung neuer oder bestehender Drittanbieter unterschiedliche Anforderungen haben, müssen Anbieter ihre unterschiedlichen Datenquellen besser zentralisieren, um diesen Teams einen kohärenten und umfassenden Überblick über eine Vielzahl von Risiken zu geben.
Intelligenz fast in Echtzeit wird die Einführung von vertrauenswürdigen Lieferantennetzwerken vorantreiben
Bedrohungen ändern sich zu schnell, um sich auf statische Bewertungen zu verlassen.
Eine Drittanbieter-Risikomanagement-"Börse" ist ein Netz von abgeschlossenen Risikobewertungen, die Anbieter auf Anfrage mit Kunden teilen. Eine häufige Herausforderung für Unternehmen, die sich einem Anbieternetzwerk anschließen, besteht darin, dass es einige Zeit dauern kann, bis ein Anbieter seine Bewertung zur Verfügung stellt, was die Risikobewertungsprozesse verlangsamen kann, z. B. zum Zeitpunkt des Onboardings und der Vertragsverlängerung.
Da Börsennetzwerke angesichts ständiger Bedrohungen immer häufiger zu einer Quelle stabiler und vertrauenswürdiger Lieferanten werden, wollen Unternehmen sofortigen Zugang zu Informationen über Lieferantenbedrohungen, um schneller Entscheidungen treffen zu können. Im Jahr 2023 werden Teams kontinuierlich kuratierte passive Daten wie Cyberbedrohungen, Geschäfts- und Finanzrisiken, demografische Profile, jüngste Sicherheitsverletzungen, Reputations- und ESG-Einblicke, Ökosysteme von Drittanbietern und Compliance-Ergebnisse in Abstimmung mit den gemeinsamen Risikobewertungen der Anbieter nutzen. Anhand dieser Daten können Teams sofort erkennen, wie ein Drittanbieter im Vergleich zu seinen Kollegen im Netzwerk abschneidet, und zwar über einen breiten Datensatz hinweg, ohne dass eine Genehmigung des Anbieters erforderlich ist.
Dieser Ansatz der vergleichenden Analyse wird die Lieferantenbewertung erheblich beschleunigen und ihr den dringend benötigten Kontext verleihen, indem er dem Prozess nahezu Echtzeitdaten hinzufügt. Außerdem wird dies zwangsläufig dazu führen, dass sich Börsennetze zu vertrauenswürdigen Lieferantennetzen entwickeln.
Die SOC 2-Berichterstattung wird besser in die TPRM-Praktiken integriert
TPRM wird dazu beitragen, die Arbeitsabläufe und Automatisierungen für die verschiedenen SOC2-Berichte zu harmonisieren.
Drittanbieter und Lieferanten stellen zunehmend SOC-2-Berichte des Typs 1 und 2 als Nachweis anstelle von Bewertungen oder zur Unterstützung von Bewertungen zur Verfügung. Diese Berichte unterscheiden sich in Umfang und Format erheblich und bieten eine relativ uneinheitliche Bewertung, die von Fachleuten Dritter überprüft werden kann. Obwohl diese unabhängigen Prüfberichte ein Schritt in Richtung Risikovalidierung sind, erfordern sie eine manuelle Interpretation, die zeitaufwändig und fehleranfällig sein kann.
Im Jahr 2023 werden die Unternehmen eine automatisierte Analyse der SOC-2-Berichte anstreben, um sie in ein standardisiertes Format zu übersetzen, damit sie wie jede andere Risikobewertung behandelt werden können.
Das TPRM-Zelt vergrößert sich
Ein entscheidender Erfolgsfaktor für jedes TPRM-Programm ist seine Fähigkeit, sich in Geschäftsprozesse und angrenzende Technologien zu integrieren.
Man braucht wirklich ein ganzes Dorf, um Risiken zu managen - und die Risiken von Drittanbietern und Lieferanten sind da keine Ausnahme. Der Unternehmenswert, den TPRM-Lösungen bieten, wird jedoch durch einen Mangel an sinnvollen Integrationen eingeschränkt.
Im Jahr 2023 werden Unternehmen bei der Verwaltung von Drittanbieter- und Lieferantenrisiken eine einzige Wahrheitsquelle anstreben, wobei umfassendere Integrationen Lücken füllen, indem sie Daten aus anderen Systemen (z. B. Inventar, GRC, Ausschreibungen, Vertragslebenszyklusmanagement und Ereignisse) in die zentrale TPRM-Plattform einspeisen. Auch wenn jedes angrenzende System eine bestimmte Funktion erfüllt, in der sich die Technologie auszeichnet, werden TPRM-Plattformen zum zentralen System für das Risikomanagement, und die Integration um der Integration willen wird zunehmend irrelevant.
Weitere Prognosen der Experten für das Risikomanagement von Drittanbietern
Mehrere führende Branchenpublikationen haben Prevalents Perspektive auf die Entwicklung des Risikomanagements für Dritte im Jahr 2023 erfragt, darunter auch Prevalent:
- CyberWire: Vorhersagen zur Cybersicherheit für 2023
- VMblog: ESG: Warum es für Cybersecurity-Führungskräfte wichtig sein sollte
- Continuity Central: Prognosen zum Risikomanagement für Dritte im Jahr 2023
- Global Security Mag: Prognosen für das Risikomanagement von Drittanbietern im Jahr 2023 - Expertenkommentar
Lesen Sie unbedingt unseren Kommentar zu ESG, zur Abkehr von einem "jährlichen und manuellen" Ansatz für TPRM, zur Entwicklung von TPRM zu einem lebenszyklusbasierten Ansatz und zu den Gründen, warum geopolitische Erkenntnisse zunehmend in TPRM-Lösungen einfließen werden.
Das kommende Jahr wird ein spannendes Jahr für Fachleute im Risikomanagement für Drittanbieter und Lieferanten. Berücksichtigen Sie diese Trends bei der Vorbereitung Ihrer Pläne für 2023.
Wenn Sie mehr darüber erfahren möchten, wie Prevalent dazu beitragen kann, die Risikomanagementprozesse für Dritte zu automatisieren und intelligenter zu gestalten, kontaktieren Sie uns oder vereinbaren Sie noch heute einen Termin für eine Demo.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
