Was ist ein Fourth-Party-Risiko?
Das Risiko durch Vierte ist jedes potenzielle Risiko, das von den „Lieferanten Ihrer Lieferanten“ ausgeht, von denen viele dem vertragschließenden Unternehmen möglicherweise gar nicht bekannt sind. Selbst wenn Ihr Unternehmen über ein gut entwickeltes Informationssicherheitsprogramm verfügt, können unbekannte Vierte und Nte Parteien dennoch erhebliche Störungen in Ihrer Lieferkette verursachen.
Nehmen wir zum Beispiel den Ransomware-Angriff auf die Colonial Gas Pipeline. Tankstellen an der gesamten Ostküste der USA waren leer, und Millionen von Verbrauchern fragten sich, wie sie zur Arbeit kommen sollten. In vielen Fällen hatten einzelne Tankstellen vielleicht noch nie von Colonial Pipeline gehört, geschweige denn erkannt, dass ein Cyberangriff das Unternehmen und damit auch ihre Lieferkette lahmlegen könnte.
Ein effektives Risikomanagementprogramm für die Lieferkette kann Ihnen dabei helfen, Risiken bei allen Lieferanten – Drittanbietern, Viertanbietern und darüber hinaus – zu identifizieren, zu beheben und zu verwalten. In diesem Artikel wird erläutert, wie Lieferanten klassifiziert werden, und es werden Tipps für ein effektives Risikomanagement auf allen Ebenen Ihrer Lieferkette gegeben. Wir behandeln folgende Themen:
- Identifizierung kritischer Lieferanten und Toleranzgrenzen
- Beziehungen zu Drittanbietern abbilden
- Sichtbarkeit und Kontrolle über Risiken durch Dritte und N-Parteien gewinnen
Was ist der Unterschied zwischen Drittanbietern, Viertanbietern und N-Partei-Anbietern?
Drittanbieter sind Unternehmen, mit denen Ihre Organisation direkt zusammenarbeitet. Vierte Parteien sind Unternehmen, die Verträge mit Ihren Drittanbietern abschließen. Wenn Ihr Unternehmen beispielsweise einen Vertrag mit einem Polyesterlieferanten abschließt, würde dieser Lieferant als Drittanbieter eingestuft werden. Wenn Ihr Polyesterlieferant einen Hersteller in Vietnam beauftragt, ist dieser Hersteller eine vierte Partei. Wenn dieser Hersteller nun einen Vertrag mit einem kambodschanischen Rohstofflieferanten abschließt, wäre dieser Rohstofflieferant ein Fünftanbieter. Sollten sich die kambodschanischen Gesetze ändern und die Herstellung von Ethylen, einem wichtigen Bestandteil von Polyester, verteuern, könnte dies einen Dominoeffekt in Ihrer gesamten Lieferkette auslösen. Das Verständnis dieser Zusammenhänge hilft Ihnen, Risiken in Ihrer Lieferkette zu minimieren.
Manchmal gilt: Je weiter entfernt die N-te Partei von der vertragschließenden Organisation ist, desto geringer sind die Auswirkungen einer Störung – aber das ist nicht immer der Fall. Colonial Pipeline ist ein Paradebeispiel dafür, wie ein Cyberangriff auf einen Lieferanten Unternehmen entlang der gesamten Lieferkette lahmlegen kann. Diese Risiken sind besonders gravierend, wenn Ihr Unternehmen stark von einem Lieferanten abhängig ist, den es nicht ohne Weiteres ersetzen kann. Je mehr Einblick Sie in die Lieferanten Ihres Unternehmens und die Lieferanten Ihrer Lieferanten gewinnen, desto besser können Sie inakzeptable Risiken verstehen und wirksam mindern.
Berücksichtigung von Risiken durch Dritte in Ihrem Risikomanagementprogramm für Lieferanten
Das Lieferantenrisikomanagement (VRM) ist für Unternehmen jeder Größe zu einem entscheidenden Faktor geworden. Viele Unternehmen beschränken sich jedoch bei der Betrachtung von Lieferantenrisiken auf Dritte. Moderne Lieferketten sind zunehmend global ausgerichtet und stützen sich auf Hunderte oder Tausende von Lieferanten der vierten und N-ten Ebene. Ein Unternehmen ist sich möglicherweise seiner Abhängigkeit von einem Lieferanten der N-ten Ebene nicht bewusst, bis es zu einer erheblichen Störung kommt. Im Folgenden finden Sie einige Richtlinien, die Ihnen helfen sollen, Lieferanten der vierten und N-ten Ebene in Ihrem umfassenderen VRM-Programm zu berücksichtigen.
Identifizierung kritischer Lieferanten und Festlegung der Risikotoleranz
Es ist unerlässlich, die vierten Parteien zu identifizieren, die mit Ihren geschäftskritischen Lieferanten zusammenarbeiten. Wenn ein wichtiger vierter Lieferant eine Sicherheitsverletzung, ein Problem in der Lieferkette oder eine andere Unterbrechung erlebt, wird Ihr Unternehmen wahrscheinlich mit Konsequenzen konfrontiert sein. Um Risiken zu mindern und angemessen zu planen, müssen Sie wissen, wer Ihre vierten Lieferanten sind. Untersuchen Sie Ihr Lieferantenportfolio auf vierte Parteien, die von mehreren Lieferanten gemeinsam genutzt werden, wie z. B. Amazon Web Services oder ein anderer gängiger Lieferant.
In einer perfekten Welt könnten Sie sicherstellen, dass jedes Unternehmen, mit dem Sie zusammenarbeiten, dieselben Standards auf seine Lieferanten anwendet wie Sie. Dies ist jedoch nicht immer der Fall, dennoch müssen Sie mit vierten, fünften und N-ten Parteien zusammenarbeiten, um Ihr Unternehmen erfolgreich zu führen. Aus diesem Grund ist es unerlässlich, die Risikotoleranz Ihres Unternehmens in Bezug auf vierte und N-te Parteien zu bestimmen und Prozesse zur Bewertung ihrer inhärenten und Restrisiken (d. h. der Risikostufen vor und nach der Anwendung von Kontrollen) zu entwickeln. Wir empfehlen, alle Lieferanten zu kategorisieren und das inhärente Risiko als einen Schlüsselfaktor für die Festlegung von Kontrollanforderungen für jede Dienstleistungsstufe einzubeziehen. Beispielsweise unterliegt der Cloud-Dienstleister Ihres Lieferanten strengeren Anforderungen als dessen Reinigungsunternehmen.
Es ist auch wichtig, die Verträge mit Lieferanten hinsichtlich der Haftung und Verantwortlichkeit gegenüber Dritten aufeinander abzustimmen. Beginnen Sie damit, die Praktiken des Beziehungsmanagements mit wichtigen Stakeholder-Geschäftsbereichen zu dokumentieren und die Kontaktpunkte mit Partnern entlang der gesamten Lieferkette zu identifizieren. Erstellen Sie dann Service Level Agreements und integrieren Sie Kontrollanforderungen in Verträge, die auf den Dienstleistungen, der Ebene oder der Kategorie jedes Lieferanten basieren, und implementieren Sie ein Änderungsmanagement, um etwaige Änderungen des Umfangs zu berücksichtigen. Stellen Sie schließlich sicher, dass die Anforderungen durch kontinuierliche SLA- und Leistungsmanagementpraktiken der Lieferanten erfüllt werden.
Vier-Parteien-Beziehungen abbilden
Da Sie nicht direkt mit vierten Parteien interagieren, ist es von entscheidender Bedeutung, über eine solide Strategie zu verfügen, um diese während des Beschaffungs- und Due-Diligence-Prozesses zu identifizieren. Wenn Sie ein Ausschreibungsverfahren mit potenziellen Dritten durchführen, sollte Ihre Ausschreibung (RFP) eine Frage zu vierten Parteien enthalten. Sobald Sie eine Vorauswahl getroffen haben, müssen Sie während der Onboarding-Phase des Anbieters zusätzliche Fragen stellen. Neben der Identifizierung der vierten Parteien, die Ihr Anbieter einsetzen wird, sollten Sie zu jeder vierten Partei die folgenden Fragen stellen:
- Werden sie direkt mit Ihren Kunden, Mitgliedern oder Mitarbeitern zu tun haben?
- Welche Sorgfaltspflichten haben Sie in den letzten 12 Monaten in Bezug auf diese Personen erfüllt?
- Gab es irgendwelche bemerkenswerten Entdeckungen, und wenn ja, welche waren das und wie wurden sie behandelt?
- Haben Sie derzeit einen Vertrag mit ihnen?
- Auf welche Art von Kundeninformationen haben sie Zugriff?
- Werden die Dienstleistungen des Anbieters auch in einem anderen Land erbracht?
- Benötigen Sie Informationssicherheitszertifizierungen für Dritte?
Mit einer Plattform für das Lieferantenrisikomanagement die Kontrolle übernehmen
Wenn Sie den gesamten Umfang Ihrer Lieferkette betrachten, vierte und N-te Lieferanten identifizieren und die Risiken verstehen, die diese für Ihr Unternehmen mit sich bringen können, kann Ihnen schon mal der Kopf schwirren. Aus diesem Grund implementieren Unternehmen mit großen Lieferanten-Ökosystemen und tiefen Lieferketten in der Regel eine zentralisierte Plattform für das Lieferantenrisikomanagement, um mehr Transparenz und Kontrolle über ihre Lieferanten zu erlangen.
Eine Plattform für das Lieferantenrisikomanagement kann als zentraler Speicherort für Ihre Daten von Dritt-, Viert- und N-Parteien dienen. Diese Plattformen sind zwar als Lösungen für das Risikomanagementvon Drittanbietern (TPRM) bekannt, viele bieten jedoch auch leistungsstarke Funktionen für die Verwaltung und Reduzierung von Risiken von Viert- und N-Parteien. Der Prozess beginnt damit, dass Sie Ihre Drittanbieter unter Kontrolle bringen und dann die Lösung nutzen, um Ihre Sichtbarkeit auf die vierte, fünfte und N-te Ebene auszuweiten. Zu Beginn können Sie Quellen für Lieferanteninformationen nutzen, um ein umfassendes Lieferantenprofil zu erstellen, das Branchen- und Geschäftseinblicke sowie Eigentumsverhältnisse enthält und Beziehungen zu Viertanbietern identifiziert.
Während der Onboarding-Phase von Drittanbietern und danach in regelmäßigen Abständen können Sie eine Risikomanagementlösung für Lieferanten (oder Drittanbieter) einsetzen, um fragebogenbasierte Risikobewertungen zu automatisieren, mit denen Informationen über die Lieferantenbeziehungen jedes Drittanbieters gesammelt werden sollen. Die Lösung von Prevalent umfasst auch Funktionen zur Darstellung von Beziehungen, mit denen Sie Verbindungen zwischen Ihrem Unternehmen und Dritt-, Viert- und N-Parteien identifizieren können, um Abhängigkeiten und Risiken in Ihrem erweiterten Lieferanten-Ökosystem aufzudecken.
Sobald Sie einen Überblick über die vierten und N-ten Parteien gewonnen haben, die sich auf Ihr Unternehmen auswirken, können Sie wichtige Lieferanten mithilfe einer kontinuierlichen Lieferantenüberwachung überwachen. Die kontinuierliche Überwachung privater und öffentlicher Quellen für Bedrohungsinformationen zu Lieferanten kann frühzeitig vor Cyber-, Geschäfts- und Finanzereignissen sowie Risiken warnen, die sich letztendlich auf Ihren Betrieb auswirken könnten. Alle Bewertungs- und Überwachungsinhalte sollten korreliert und den Lieferantenprofilen in Ihrer VRM-Lösung zugeordnet werden.
Sie können Ihr Risikomanagement für Dritt-, Viert- und N-Parteien zusätzlich skalieren, indem Sie auf Lieferanteninformationsnetzwerke zurückgreifen, die abgeschlossene Bewertungen, Überwachungsdaten und standardisierte Risikobewertungen zu Tausenden von Lieferanten enthalten. Unternehmen mit begrenzten internen Ressourcen sollten auch in Betracht ziehen, Managed Vendor Risk Assessment Services zu nutzen, um ihre Initiativen zur Erfassung, Analyse und Behebung von Lieferantendaten zu skalieren.
Da ein effektives Lieferantenrisikomanagement auf der Zusammenarbeit zwischen IT-Sicherheit, Beschaffung, Risikomanagement, Rechtsabteilung und anderen Beteiligten beruht, sollten Sie sicherstellen, dass Ihre VRM-Plattform rollenbasierten Zugriff, Workflow-Management und Aufgabenverwaltungsfunktionen bietet.
Ein programmatischer Ansatz für das Risikomanagement von Viertanbietern
Ein erfolgreiches Risikomanagementprogramm für Vierte ist kein einmaliges Projekt, sondern ein integraler Bestandteil Ihrer Lieferantenmanagementstrategie. Risiken durch Vierte sollten als Risikokategorie identifiziert werden, die in Ihrer Lieferantenmanagementrichtlinie zu berücksichtigen ist, und die Bewertung und Überwachung von Vierten sollte in Ihre Standardarbeitsanweisungen integriert werden. Das Lieferantenrisikomanagement sollte ein kontinuierlicher, programmatischer Prozess sein, der Risiken auf allen Ebenen der Lieferkette berücksichtigt.
Prevalent kann Ihnen dabei helfen, ein ganzheitliches Risikomanagementprogramm mit unübertroffener Transparenz, Effizienz und Skalierbarkeit aufzubauen, unabhängig davon, wo Sie heute stehen. Wir arbeiten mit Ihnen zusammen, um eine Kombination aus Managed Services, Netzwerkmitgliedschaft und/oder Zugang zur TPRM-Plattform zu finden, die für Ihr Unternehmen am besten geeignet ist. Sie profitieren von einer schnellen Amortisation, sind in der Lage, fundierte Entscheidungen zu treffen und können die mit Lieferanten verbundenen Risiken messbar reduzieren – und das alles mit weniger Aufwand für Sie und Ihr Team.
Nächste Schritte für das Management Ihres Fourth-Party-Risikos
Angesichts der jüngsten Sicherheitsverletzungen und Unterbrechungen in der Lieferkette ist es wichtiger denn je, die nachgelagerten Risiken zu verstehen. Unternehmen vernachlässigen häufig das Risikomanagement für vierte Parteien, weil sie davon ausgehen, dass ihre dritten Parteien die gleiche Sorgfaltspflicht gegenüber ihren dritten Parteien walten lassen. Unabhängig davon, ob Sie ein internes Team beschäftigen, eine Plattform für das Risikomanagement von Lieferanten nutzen oder Managed Services einsetzen, müssen Sie alle vierten Parteien bewerten, die sich auf Ihr Unternehmen auswirken.
Erfahren Sie, wie Prevalent Ihnen dabei helfen kann, Risiken durch vierte und n-te Parteien in Ihrer Lieferkette zu identifizieren und zu mindern. Fordern Sie noch heute eine Demo an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
