Nach meiner Erfahrung beim Aufbau von Risikomanagementprogrammen für Lieferanten in mehreren Unternehmen gibt es fünf Kategorien von "Fehlern", auf die Risikomanagementteams achten müssen. Diese Fehler reichen vom Fehlen einfacher Kontaktinformationen zum Lieferanten bis hin zur Nichtvorlage der richtigen Risikokennzahlen für den Vorstand. Jeder dieser Fehler kann zu Verzögerungen beim Onboarding, zu übersehenen Risiken und zur Nichteinhaltung von Vorschriften führen, wenn er nicht sofort behoben wird.
Um Ihnen zu helfen, einige der gleichen Fallstricke zu vermeiden, die ich erlebt habe, habe ich eine Checkliste mit Fragen zusammengestellt, die Sie stellen sollten, und mit Bereichen, die Sie untersuchen sollten.
1. Sie kennen Ihr Anbieteruniversum nicht
Wenn Sie nicht wissen, wer Ihre Lieferanten sind, wie können Sie sie dann beurteilen?
- Wie vollständig ist Ihre Lieferantenliste? Kennen Sie Ihre Lieferanten und die Gesamtzahl der Lieferanten?
- Gibt es mehrere Abteilungen , die Anbieter einbinden? (z.B. kann jeder mit einer 5.000 $-Genehmigung eine Dienstleistung erwerben).
- Haben Sie Kontaktdaten für alle Anbieter?
- Wer ist der Ansprechpartner für Unternehmen?
- Wer trägt das Risiko in der Lieferantenbeziehung?
- Verstehen Sie das Engagement des Anbieters (z. B. welche Leistungen er erbringt)?
- Können Sie die Daten des Dienstes bis zur x-ten Partei "verfolgen"?
- Führt Ihr bestehender Prozess zu dem Eindruck, dass das Risikomanagement von Anbietern ein Hindernis darstellt, anstatt es zu fördern?
- Werden Auswahl-, Aufnahme- und Verlängerungsentscheidungen auf der Grundlage von Profiling-, inhärenten Risiko- und Restrisikodaten getroffen?
2. Programmmängel
Was wird ohne die obligatorischen Kontrollen bewertet?
- Nach welchen Kriterien werden Entscheidungen über die Einstufung getroffen? Ausgaben, Engagement, Risikotoleranz?
- Nach welchen Kriterien werden Due-Diligence-Entscheidungen getroffen? Nach den Daten, die der Anbieter verarbeitet (z. B. sensible, vertrauliche, geschützte Daten) oder nach der Kategorie der erbrachten Dienstleistung?
- Wie identifizieren und überprüfen Sie die Kontrollen, die für Ihr Unternehmen wichtig sind?
- Haben Sie einen Lenkungsausschuss eingerichtet, der Sie bei der Entscheidungsfindung unterstützt?
- Wer sind die Eigentümer der Kontrolle?
- Wie hoch ist der Kenntnisstand der internen Mitarbeiter? Gibt es ein Handbuch, das ihnen hilft, Prozesse und Vorfälle zu bewältigen?
3. Komplexe Anforderungen an die Sorgfaltspflicht
Wie schwierig und kostspielig sind Ihre Bewertungen?
- Welchen Prozess haben Sie für die Bearbeitung von Anfragen eingerichtet? E-Mail? Wie werden wichtige Lieferantenmerkmale erfasst?
- Wie transparent ist der Prozess der Lieferantenanfrage?
- Wie viele verschiedene Fragebögen werden zur Bewertung von Anbietern verwendet? Gibt es Möglichkeiten zur Konsolidierung?
- Wie bewältigen Sie die Informationsflut? Gibt es ein Verfahren, um eine Fragebogenantwort mit einer externen Validierung zu verknüpfen (z. B. mit Bedrohungsbewertungen oder Warnmeldungen)?
- Wird die Sorgfaltspflicht bei der Beschaffung oder Auswahl von Anbietern angewendet?
4. Unklare Risikoeinstufung und Disposition
Wie stimmen Sie die Ergebnisse der Fragebögen mit den Bedrohungsdaten der Anbieter ab?
- Werden die Auswirkungen und die Wahrscheinlichkeit bei der Berechnung der Risikowerte berücksichtigt?
- Gibt es Schwellenwerte, um festzustellen, welche Risiken Aufmerksamkeit erfordern? (Die Alternative wäre, dass alle Risiken überprüft werden und der Anbieter darauf reagieren muss, was zu Verzögerungen und Verschwendung führt).
- Sind die Empfehlungen zur Risikobeseitigung und die Fristen für alle Beteiligten - Bewerter, Anbieter usw. - klar?
- Wie werden die Risiken bis zum Abschluss verfolgt?
- Gibt es für die Risiken identifizierte Geschäftsinhaber?
- Gibt es einen Ausnahme-/Entsorgungsprozess oder Arbeitsablauf?
- Gibt es eine Möglichkeit, die Wirksamkeit der Risikominderung im Laufe der Zeit zu messen? (z. B. sind Risikoindikatoren oder Meilensteine verfügbar)?
5. Keine KPI- und KRI-Metriken oder Berichterstattung
Wenn es nicht meldepflichtig ist, wie kann man dann die Kultur ändern?
- Arbeitet die Organisation in Silos? Wenn ja, wie überbrückt die Risikoberichterstattung die Kluft?
- Welche wichtigen Leistungsindikatoren (KPIs) gibt es, um die Wirksamkeit des TPRM-Programms oder der Anbieter zu messen?
- Werden die Service-Level-Ziele kommuniziert, verstanden und eingehalten?
- Gibt es Schlüssel-Risiko-Indikatoren (KRIs), um die Risikominderung in Echtzeit und im Zeitverlauf zu messen?
- Wie werden die Risiken verfolgt und gemeldet?
- Wird die Berichterstattung manuell erstellt? Wenn ja, was könnte fehlen?
- Welche Metriken und welcher Risikostatus werden dem Vorstand vorgelegt? Werden sie zur Unterstützung datengestützter Entscheidungen genutzt?
Diese Probleme und Fragen sind sicherlich nicht erschöpfend, aber sie stellen die häufigsten Stolpersteine dar, mit denen viele Risikomanagementprogramme für Lieferanten bei der Entwicklung ihrer Prozesse konfrontiert sind.
Laden Sie unser Whitepaper, Navigieren durch den Lebenszyklus von Lieferantenrisiken: Keys to Success at Every Stage" für weitere Best Practices - oder fordern Sie eine Demo an, um Ihre Programmanforderungen mit unseren Experten zu besprechen.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
