Als wir unsere Prognosen für das Risikomanagement durch Dritte für das Jahr 2020 zusammengestellt haben, gab es keine Hinweise auf Pandemien, Unternehmensresilienz, Ausfälle in der Lieferkette oder gar soziale Distanzierung. Unsere Kristallkugel hat uns im Stich gelassen.
Das Jahr 2020 hat zweifellos die Arbeitsweise von Fachleuten für das Risikomanagement von Drittanbietern verändert. Und wir brauchen keine Kristallkugel, um zu wissen, dass die Pandemie auch im kommenden Jahr Auswirkungen auf die Lieferketten haben wird. Wenn Ihr aktuelles TPRM-Handbuch nicht auf die Widerstandsfähigkeit der Lieferkette ausgerichtet ist, dann ist es vielleicht an der Zeit, es zu verwerfen und ein neues zu schreiben.
Unsere Experten haben acht Prognosen zusammengestellt, die Ihnen einen Vorsprung verschaffen sollen. Wir beginnen mit den ersten vier in diesem Beitrag und vervollständigen die Liste dann nächste Woche mit Teil II.
#1. Informationen von Drittanbietern decken Risiken während des gesamten Lieferantenlebenszyklus auf.
Im Jahr 2020 kam es aufgrund unvorhersehbarer Ereignisse zu einer ganzen Reihe von Ausfällen in der Lieferkette. Diese Vorfälle machten deutlich, dass Unternehmen die Risiken in jeder Phase des Lieferantenlebenszyklus verstehen müssen – von der Beschaffung bis zum Offboarding und allem, was dazwischen liegt.
Im Jahr 2021 müssen Fachleute für Drittanbieterrisiken ihre Sichtbarkeit erhöhen, indem sie an mehreren wichtigen Meilensteinen der Lieferantenbeziehung Risikodaten einholen:
- Beschaffung und Auswahl – Durch die Überprüfung der Reputation und Bonität eines potenziellen Lieferanten lässt sich feststellen, ob dieser seinen finanziellen Verpflichtungen und seinen Kundenversprechen nachkommt. Diese Informationen können auch Aufschluss darüber geben, ob der Lieferant in der Lage ist, plötzliche Nachfrageschwankungen zu bewältigen, und über die erforderliche finanzielle Widerstandsfähigkeit verfügt, um wirtschaftliche Abschwünge zu überstehen.
- Aufnahme und Onboarding – Die Beauftragung eines Lieferanten erfordert eine noch gründlichere Prüfung seines potenziellen Risikos. Aus diesem Grund erstellen solide TPRM-Programme umfassende Risikoprofile, die Cybersicherheit, rechtliche Aspekte, Sanktionen und/oder Compliance-Fragen für jeden Lieferanten umfassen. Der Schlüssel hierbei ist, proaktiv zu sein und bereits am ersten Tag der Lieferantenbeziehung mit der Risikobewertung zu beginnen.
- Priorisierung und Bewertung – Verschiedene Arten von Anbietern bergen unterschiedliche Risiken. Daher kann eine effektive Einstufung und Kategorisierung von Anbietern der Schlüssel zum Aufbau eines nachhaltigen TPRM-Programms sein. Mit Hilfe von inhärenten Risikokennzahlen können Sie nicht nur die Wahrscheinlichkeit und die Auswirkungen von Sicherheits- und Compliance-Vorfällen einschätzen, sondern auch den Grad der Sorgfaltspflicht bestimmen, der für jeden Ihrer Anbieter erforderlich ist.
- Bewertung und Überwachung – Durch interne Kontrollenkönnen Sie Aufschluss über die Cybersicherheits- und Governance-Praktiken Ihrer Lieferanten gewinnen und bei Bedarf Abhilfemaßnahmen einleiten. Interne Bewertungen geben jedoch nur einen Teil der Wahrheit wieder. Sie müssen weiterhin die Antworten Ihrer Lieferanten überprüfen, Abhilfemaßnahmen kontrollieren und Risiken zwischen den Bewertungen aufdecken. Hier kann eine kontinuierliche Risikoüberwachung helfen. Lösungen, die die Überwachung des öffentlichen, privaten und Dark Webs mit der Überwachung von Geschäfts- und Finanzdaten kombinieren, liefern die umfassendsten Informationen zu Lieferantenrisiken.
- Berichterstattung und Management – Informationen von Dritten sind nur dann wertvoll, wenn Sie sie verstehen und entsprechend handeln können, um Risiken zu reduzieren und die Beziehungen zu Lieferanten zu stärken. Eine effektive Berichterstattung ermöglicht es mehreren Beteiligten, gemeinsam daran zu arbeiten, Risiken zu reduzieren und die Einhaltung von Vorschriften sicherzustellen. Sie kann auch Einblicke in die Leistung von Lieferanten und die Einhaltung von Verträgen liefern, um Beschaffungs- und Vertragsverlängerungsverhandlungen zu unterstützen. Die besten TPRM-Lösungen bieten all dies über eine einzige Oberfläche.
#2. Die Bewertung von Lieferantenrisiken wird über die Cybersicherheit hinausgehen
Das Risiko von Lieferanten beschränkt sich nicht nur auf Cybersicherheitsbedrohungen, sondern umfasst mehrere weitere Risikofaktoren, die sich auf die Fähigkeit eines Lieferanten auswirken, seine Produkte und Dienstleistungen bereitzustellen.
Sind Ihre Lieferanten beispielsweise finanziell stabil? Bezahlen sie ihre Rechnungen pünktlich? Wie gehen sie mit Betriebsstörungen aufgrund von Naturkatastrophen und Gesundheitsnotfällen um? Inwiefern könnten Verstöße gegen ethische Grundsätze oder Nachhaltigkeitsstandards den Ruf oder die Marke Ihres Unternehmens gefährden?
Für eine umfassendere Analyse der Lieferantenrisiken sollten Sie diese Risikoklassen in Ihre Überwachungsinitiativen für 2021 aufnehmen:
- Operatives Risiko: Führungswechsel, Umstrukturierungen und M&A-Aktivitäten können auf strategische Veränderungen hindeuten, während Partner-/OEM-Aktualisierungen Preissteigerungen und andere Veränderungen signalisieren können.
- Markenrisiko: Produktrückrufe, Datenverstöße und andere Vorfälle können zu negativer PR führen.
- Regulatorische und rechtliche Risiken: Internationale Sanktionen, Sammelklagen und Verstöße gegen regulatorische Standards können zu erheblichen Verzögerungen bei der Lieferung von Produkten und Dienstleistungen führen.
- Finanzielle Risiken: Insolvenzverfahren und entgangene Einnahmen können zu Umstrukturierungen und zur Einstellung bestimmter Anbieterangebote führen.
Eine einheitliche TPRM-Plattform kann dabei helfen, diese Überwachungsdaten zu normalisieren, zu korrelieren und mit den Ergebnissen von Cybersicherheitsbewertungen zu analysieren.
#3. Maschinelles Lernen und Verhaltensanalysen werden endlich den hohen Erwartungen gerecht werden
Mehr Daten zur Unterstützung der Entscheidungsfindung sind unerlässlich, aber was macht man mit all diesen Daten? Wie priorisiert man sie, um aussagekräftige Erkenntnisse zu gewinnen? Hier kommen maschinelles Lernen und Verhaltensanalysen ins Spiel. Verhaltensanalysen kombinieren maschinelles Lernen mit Anomalieerkennung, um Ereignisse mit geringer Wahrscheinlichkeit und großer Auswirkung, wie unethisches oder betrügerisches Verhalten, vorherzusagen, zu identifizieren und zu bewältigen.
Im Jahr 2021 wird es zur Norm werden, riesige Datenmengen in einer einzigen Ansicht zusammenzufassen. Das Ergebnis sind Informationsfeeds, die sinnvollere und fundiertere Maßnahmen ermöglichen. Eine Anwendungsmöglichkeit besteht darin, Verhaltensanalysen zu nutzen, um Ausreißerrisiken zu erkennen. Beispielsweise könnten Sicherheits- und Risikoteams Erkenntnisse aus dem maschinellen Lernen nutzen, um Entlassungsankündigungen von Anbietern mit einem erhöhten Insiderrisiko in Verbindung zu bringen – oder niedrige Finanzwerte mit geringeren Investitionen in Cybersicherheit zu korrelieren. Diese Art der Kontextanalyse ermöglicht es Unternehmen, Bedrohungen proaktiver zu antizipieren und zu bekämpfen.
#4. Die Vorteile des Risikomanagements durch Dritte werden sich unternehmensweit ausbreiten.
Das Risikomanagement für Dritte umfasst mehr als nur Cybersicherheitsbewertungen, und TPRM kann mehreren Teams außerhalb der IT-Sicherheit zugute kommen. Laut der EY Global TPRM Survey 2019–20 gaben beispielsweise 26 % der Befragten an, dass die Beschaffung die Hauptverantwortung für das Risikomanagement für Dritte trägt.
Hier sind einige der Funktionen, die 2021 vom Risikomanagement für Dritte profitieren dürften:
- Beschaffungsmanager können die Sorgfaltspflicht vor Vertragsabschluss mit Informationen über die Sicherheit, Compliance, Ethik und Nachhaltigkeitspraktiken der Lieferanten stärken. Außerdem können sie Vertragsverlängerungsgespräche mit SLA-Daten und Leistungskennzahlen untermauern. Durch die Zentralisierung aller Lieferantendaten erleichtern TPRM-Plattformen auch die Verwaltung, Verlängerung und Kündigung von Verträgen.
- Die IT-Sicherheit kann darüber entscheiden, ob Lieferanten die erforderlichen Kontrollen und Prozesse zur Minderung des Risikos von Datenverstößen aufrechterhalten.
- Risikomanager sind in der Lage, Risikodaten von Lieferanten aus verschiedenen Quellen zu korrelieren und zu analysieren und gleichzeitig Initiativen zur Risikominderung über interne Abteilungen hinweg zu koordinieren.
- Rechtsabteilungen können Überwachungs- und Leistungsdaten überprüfen, um Vertragsbedingungen zu erstellen, und gleichzeitig die Berichte erhalten, die sie zum Nachweis der Einhaltung gesetzlicher Vorschriften benötigen.
- Wirtschaftsprüfer können sicherstellen, dass das Unternehmen effektiv und integer arbeitet, auch in seinen Beziehungen zu Dritten.
- Führungskräfte erhalten klare Analysen und Berichte, die ihnen helfen, fundiertere, risikobasierte Entscheidungen zu treffen, um die Geschäftskontinuität sicherzustellen.
Die richtige TPRM-Lösung kann diese Teams zusammenbringen, indem sie einen zentralen Ort für die Erstellung und Verwaltung von Lieferantenprofilen bietet, Zugriff auf korrelierte Informationen zu Cyber-, Geschäfts- und Finanzrisiken ermöglicht und die Zusammenarbeit mit Lieferanten bei der Risikominderung in jeder Phase fördert.
Nächste Schritte für die TPRM-Planung 2021
Bleiben Sie dran, denn nächste Woche folgen vier weitere Prognosen. In der Zwischenzeit können Sie sich mit unserem Leitfaden zu bewährten Verfahren „Navigating the Vendor Risk Lifecycle: Keys to Success at Every Stage“ einen Vorsprung für Ihren TPRM-Plan 2021 verschaffen oder Ihr Programm mit unserem Online-Risikobewertungsrechner bewerten.
Möchten Sie wissen, wie Prevalent Ihnen bei der Bewältigung Ihrer spezifischen TPRM-Herausforderungen helfen kann? Fordern Sie eine personalisierte Demo an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
