In einer Welt, in der Unternehmen, Anbieter, Lieferanten, Logistikpartner und Cloud-Dienstleister immer stärker miteinander vernetzt sind, hat sich das Third-Party Risk Management (TPRM) von einer jährlichen Checklistenaufgabe zu einer wichtigen täglichen Funktion entwickelt. Wenn ein Vorfall auf der anderen Seite der Welt zu Störungen in Ihrem Kundenservice führen kann, ist es von entscheidender Bedeutung, diese Risiken zu verstehen und effektiv und effizient zu managen. Abgesehen von der Notwendigkeit des TPRM hat sich diese Praxis erheblich weiterentwickelt: Von einem Austausch von E-Mails vor 10 Jahren hat sie sich zu einem kontinuierlichen Überwachungsprozess entwickelt, der traditionelle Sorgfaltspflichten mit einem hohen Grad an Automatisierung verbindet.
Dieser Artikel erläutert TPRM und die Gründe für dessen Implementierung. Außerdem werden der grundlegende Lebenszyklus von TPRM-Programmen beschrieben und Tipps für den Erfolg sowie Fallstricke aufgeführt, die bei der Implementierung Ihres Programms unbedingt vermieden werden sollten.
Anhaltende geopolitische Krisen, katastrophale Klimaereignisse, unerwartete Unterbrechungen der Lieferkette und zunehmende Cybersicherheitsbedrohungen durch Dritte haben Unternehmen dazu veranlasst, rasch TPRM-Programme zur Bewältigung der von Dritten ausgehenden Risiken einzuführen. Die meisten TPRM-Führungskräfte nutzen ihre TPRM-Programme, um Cybersicherheitsrisiken zu bewältigen, Daten-Governance zu ermöglichen und Datenschutzanforderungen zu verwalten und gleichzeitig die Kosteneffizienz zu verbessern.
Darüber hinaus erzielen Unternehmen, die ihre TPRM-Fähigkeiten schnell ausbauen können, erhebliche Wettbewerbsvorteile. Unternehmen mit ausgereiften TPRM-Programmen haben ein deutlich geringeres Risiko, ihren Ruf und ihre Kunden zu schädigen, während sie globale, regionale und organisatorische Störungen bewältigen. Die Verhinderung von Fehlern oder Fehlkonfigurationen in Ihrer erweiterten Lieferkette, die sich auf Ihre Fähigkeit zur Kundenbetreuung auswirken könnten, ist wahrscheinlich eine wichtige Aufgabe für Ihr Unternehmen. Ein TPRM-Programm ermöglicht es Ihrem Unternehmen, diese Risiken effektiv zu identifizieren, zu mindern und/oder zu akzeptieren. Kurz gesagt: Ein richtig konfiguriertes TPRM-Programm kann unerwünschte Überraschungen verhindern, die sich negativ auf Ihr Unternehmen auswirken.
Definition des Risikomanagements für Dritte
Das Risikomanagement für Dritte (Third-Party Risk Management, TPRM) ist der Prozess der Identifizierung, Bewertung und Minderung von Risiken, die mit der Beauftragung externer Dritter wie Anbietern, Lieferanten, Auftragnehmern und Geschäftspartnern verbunden sind. Es umfasst eine gründliche Due Diligence, um potenzielle Risiken anzugehen, die sich auf den Betrieb, die finanzielle Gesundheit, die Cybersicherheit, die Rechtsstellung oder die Fähigkeit einer Organisation, ihre Kunden zu bedienen, auswirken könnten. Diese Risiken können Cybersicherheitsvorfälle, Störungen der Lieferkette, Arbeitskräftemangel, finanzielle Instabilität, politische Faktoren und regionale Konflikte umfassen. TPRM ermöglicht es Unternehmen, Risiken proaktiv zu managen und Reaktionen zu planen, anstatt auf auftretende Probleme zu reagieren, wodurch die Geschäftskontinuität gewährleistet und wichtige Stakeholder geschützt werden.
Der Lebenszyklus des Risikomanagements für Drittparteien
Der Wert von TPRM beginnt mit dem Prozess der Risikoidentifizierung und erstreckt sich über den gesamten Lebenszyklus der Beziehungen zwischen Ihrem Unternehmen und Ihren Lieferanten. Der TPRM-Lebenszyklus umfasst:
- Beschaffung und Auswahl – In dieser Phase wird die Fähigkeit jedes potenziellen Anbieters bewertet, die Anforderungen an Dienstleistungen oder Lösungen zu erfüllen, und es werden grundlegende Sicherheits-, Datenschutz-, Reputations- und Finanzrisiken bewertet. Dies kann durch die Durchführung von Fragebogen-basierten Bewertungen, den Zugriff auf Anbieter-Informationsdatenbanken oder eine Kombination aus beidem erfolgen.
- Aufnahme und Onboarding – Sobald die Lieferanten ausgewählt sind, werden sie manuell oder per Massen-Upload in ein zentrales Repository aufgenommen. Dies kann über Aufnahmeformulare erfolgen, die von internen Stakeholdern ausgefüllt werden, über den Import von Tabellenkalkulationen oder über eine API zu einer bestehenden Lieferantenmanagement- oder Beschaffungslösung.
- Bewertung des inhärenten Risikos – Das inhärente Risiko ist das Risikoniveau eines Anbieters, bevor die von Ihrem Unternehmen geforderten spezifischen Kontrollen berücksichtigt werden. Es hat sich bewährt, das inhärente Risiko eines Anbieters anhand einer einfachen Bewertung zu bewerten, bevor Sie ihm Zugriff auf Ihre Systeme und Daten gewähren. Auf diese Weise können Sie auch das erforderliche Maß an Sorgfaltspflicht sowie die Häufigkeit und den Umfang nachfolgender Risikobewertungen festlegen.
- Bewertung interner Kontrollen – Kontrollen können während der ersten Due Diligence und regelmäßig zur Erfüllung von Audit-Anforderungen bewertet werden. Die während des Bewertungsprozesses identifizierten Risiken werden in der Regel nach Auswirkungen, Wahrscheinlichkeit und anderen Faktoren bewertet. Die Ergebnisse können auch mit den wichtigsten Anforderungen anderer Compliance- und Sicherheitsrahmenwerke wie ISO, NIST oder SOC 2 abgeglichen werden.
- Externe Risikoüberwachung – Durch die Nutzung externer Quellen für kontinuierliche Informationen von Dritten können Sie Lücken zwischen regelmäßigen Bewertungen schließen und die Ergebnisse der Bewertungen anhand externer Beobachtungen validieren. Die Risikoüberwachung kann Cyber-Informationen, Unternehmensaktualisierungen, Finanzberichte, Medienüberwachung, globale Sanktionslisten, Überprüfung staatlicher Unternehmen, Überprüfung politisch exponierter Personen (PEP), Benachrichtigungen über Sicherheitsverletzungen und vieles mehr umfassen.
- SLA und Leistungsmanagement – Anhand von Bewertungen und Überwachungen kann festgestellt werden, ob Anbieter ihre Verpflichtungen während der gesamten Geschäftsbeziehung erfüllen. Dazu kann beispielsweise die Bewertung ihrer Fähigkeit gehören, SLAs einzuhalten, Abhilfemaßnahmen zu ergreifen oder Compliance-Anforderungen zu erfüllen.
- Offboarding und Kündigung – In dieser Phase wird durch Bewertungen sichergestellt, dass alle endgültigen Verpflichtungen erfüllt wurden. Dazu können Vertragsüberprüfungen, die Begleichung ausstehender Rechnungen, die Aufhebung des Zugriffs auf Systeme und Daten, die Entziehung der Zutrittsberechtigung zum Gebäude sowie die Überprüfung der Einhaltung von Datenschutz- und Sicherheitsvorschriften gehören.
Beachten Sie bei der Planung Ihres TPRM-Ansatzes, dass sich die Umstände der Parteien während der Zusammenarbeit jederzeit ändern können. Das Erkennen und Bewältigen dieser Veränderungen ist für den Erfolg Ihres Unternehmens von entscheidender Bedeutung. Lieferanten können ihre Geschäftsabläufe ändern, ihre Lieferkette für wichtige Materialien kann unterbrochen werden oder regionale Behörden können die Ein- und Ausfuhrbestimmungen ändern. Beispielsweise ändern sich die Gesetze zum Datenschutz weltweit rapide. All diese Bedingungen sind heute gegeben, und die Unternehmen, die einen TPRM-Prozess effektiv umgesetzt haben, florieren, während andere ins Hintertreffen geraten.
Angesichts des rasanten Wandels müssen Unternehmen die verfügbaren Informationen nahezu in Echtzeit überwachen und einer ersten Analyse unterziehen, um ihre Risiken zu identifizieren und zu steuern. Diese Anforderung macht es erforderlich, dass einige der Prozesse zur Erfassung und Verbreitung von Informationen über Drittanbieter automatisiert werden. Eine effektive Automatisierung ermöglicht es Ihrer TPRM-Abteilung, Risiken zu identifizieren und Abhilfemaßnahmen zu ergreifen, bevor Ihr Unternehmen Reputationsrisiken ausgesetzt ist.
Treiber für Risikomanagementprogramme von Drittanbietern
Mehrere regulatorische und Compliance-Anforderungen schreiben das Management von Risiken durch Dritte vor und können einen wirksamen Rahmen für die Minderung von Lieferantenrisiken bieten. Regulatorische Anforderungen, die TPRM-Programme vorantreiben, decken ein breites Spektrum von Märkten, Lieferanten und Daten ab und richten sich häufig nach der Art der Organisation (z. B. Vorschriften und Richtlinien von CMMC, EBA, FCA, FFIEC, HIPAA, NERC, NIST, NYDFS, OCC und andere), den Standort Ihrer Organisation (z. B. Datenschutz, staatliche Charter-Anforderungen) oder den Standort Ihrer Kunden (z. B. DSGVO, CCPA). Der wichtigste Punkt, den Sie in Bezug auf diese Anforderungen verstehen müssen, ist, dass Ihr Programm berücksichtigt, welche Daten Ihre Organisation zu schützen verpflichtet ist, wo Ihre Kunden in der Regel ansässig sind und welche Standardanforderungen Ihre Anbieter erfüllen müssen, um ihre Dienstleistungen zu erbringen. Diese Anforderungen müssen in Ihren Verträgen enthalten sein und auf Anbieter ausgedehnt werden, die mit den betroffenen Daten arbeiten.
Die Umsetzung von TPRM-Programmen durch Organisationen wird durch folgende Faktoren vorangetrieben:
- Einhaltung gesetzlicher Vorschriften.
- Risiko der Cybersicherheit.
- Wettbewerbsvorteile eines effektiven TPRM-Programms.
- Interne Kauf-/Effizienzfaktoren.
- Verwaltung interner finanzieller und operativer Risiken.
- Erfüllung der Kundenanforderungen.
Unabhängig davon, was deine Organisation dazu bewegt hat, ein TPRM-Programm aufzubauen, ist es wichtig, alle internen Stakeholder wie Führungskräfte, Vorstände, Beschaffung, interne Revision, Finanzen, IT, Informationssicherheit, Recht und Compliance zu identifizieren und mit ihnen zusammenzuarbeiten, um deine Arbeitsabläufe festzulegen.
Wer sollte am Risikomanagement für Dritte beteiligt sein?
Bei der Einführung eines TPRM-Programms ist es von entscheidender Bedeutung, dass alle betroffenen internen und externen Stakeholder in die Entwicklung des Programms einbezogen werden. Durch die Einbeziehung relevanter Stakeholder wird sichergestellt, dass alle Personen, Prozesse und Technologien aufeinander abgestimmt sind, um ein wirksames Programm zu schaffen. Als interne Stakeholder sollten mindestens die folgenden Personen berücksichtigt werden:
- Führungskräfte (CEO, CFO, CIO, COO, CISO usw.)
- General Counsel
- Vorstandsmitglieder
- Interne Revisoren
Je nach Art, Funktion und Betrieb Ihrer Organisation kann es weitere interne Stakeholder geben.
Externe Stakeholder bilden eine weitere wichtige Gruppe, die bei der Entwicklung Ihres Programms berücksichtigt werden muss. Zu den externen Stakeholdern gehören:
- Verkäufer
- Regulierungsbehörden
- Kunden
Da TPRM-Programme selten bei der Gründung eines Unternehmens eingeführt werden, ist es wichtig, die bestehenden Vereinbarungen/Programme mit externen Anbietern zu berücksichtigen und sicherzustellen, dass diese im Hinblick auf das vorgeschlagene TPRM-Programm gründlich analysiert werden. Stellen Sie sicher, dass Unstimmigkeiten erfasst werden und dass ein Plan zur Bewältigung nicht geminderter Risiken erstellt und bis zur vollständigen Umsetzung verfolgt wird.
Regulatorische TPRM-Risikomanagement-Einflüsse
Regulatorische Standards sind ein wesentlicher Treiber für TPRM-Programme. Regulatorische Programme sind spezifisch für:
- Gesundheitswesen
- Vertragsabschlüsse für die Bundesregierung
- Kreditkartenakzeptanz
- Finanzdienstleistungen
- Bankwesen
- Herstellung
All dies erfordert die Implementierung eines vollständigen Lebenszyklusprozesses für TPRM. Diese Anforderungen werden in der Regel durch die Art der sensiblen Daten bestimmt, die im Rahmen der normalen Geschäftstätigkeit erfasst werden.
Ein primäres Beispiel für diese Art des regulierungsgesteuerten Risikomanagements ist ein wichtiger Bestandteil des branchenüblichen PCI-DSS, der Drittanbieter definiert und verlangt, dass Anbieter keine Daten von Karteninhabern „im Namen von Kunden oder Organisationen an Anbieter übermitteln, die die Sicherheit ihrer Daten und ihrer Umgebung gefährden könnten“. Das bedeutet, dass Unternehmen zwar verpflichtet sind, das erforderliche Cybersicherheitsprogramm für sich selbst zu entwickeln, aber dennoch die Cybersicherheitsprogramme von Anbietern mit Zugang zu sensiblen Daten überwachen müssen, selbst wenn sie das Risiko unter einem bestimmten Schwellenwert halten.
Ein weiteres Beispiel sind Bundesprogramme und Verträge, die ein strenges Sicherheitsmanagement aller Anbieter mit Zugang zu den Informationen erfordern. Dieser Prozess geht weit über einfache Fragebögen und den Austausch von Dokumenten hinaus; er kann auch die Überprüfung interner Umgebungen und rechtliche Erklärungen von Führungskräften zum bestehenden Datenschutz umfassen. Die Komplexität der beteiligten Dritten, das Potenzial für Interessenkonflikte und finanzielle Verluste veranlassen Unternehmen dazu, ihre Risikomanagementpraktiken und Risikominderungsstrategien kontinuierlich zu verbessern.
Traditionell wurde TPRM von internen Mitarbeitern durchgeführt oder an Berater ausgelagert, die einen genau festgelegten Prozess befolgten, um die Informationen zu sammeln, zu analysieren und zu berichten. Insbesondere Unternehmen, die bisher Mitarbeiter für den Bewertungsprozess eingesetzt haben, müssen ihren Ansatz möglicherweise überdenken, da die aktuelle Pandemie Reisen einschränkt und die Echtzeit-Informationsbeschaffung erheblich behindert. Dies verhindert eine vor Ort durchgeführte Bewertung und stellt den traditionellen Ansatz der Risikobewertung durch Dritte, bei dem in der Regel persönliche Besuche zur Überprüfung der in Fragebögen angegebenen Ergebnisse durchgeführt werden, völlig auf den Kopf.
Angesichts der aktuellen Lage und der rasch zunehmenden Komplexität und Reichweite von Lieferketten ist dies mit herkömmlichen erfolgreichen Verfahren einfach nicht mehr machbar. Um im Bereich TPRM erfolgreich zu sein, müssen zunehmend Automatisierung und Tools zum Einsatz kommen, die für die Erfassung und erste Analyse von Lieferantendaten entwickelt wurden.
Die Rolle der künstlichen Intelligenz im TPRM
Da Unternehmen zunehmend auf miteinander verbundene Lieferketten und Beziehungen zu Dritten angewiesen sind, sind umfassende Risikoinformationen und zeitnahe Entscheidungen unerlässlich. Das exponentielle Wachstum von Daten aus verschiedenen Quellen bietet die Möglichkeit, KI und fortschrittliche Analysen zu nutzen, um tiefgreifendere Risikobewertungen, Vorhersagefähigkeiten und Echtzeitüberwachung zu ermöglichen. Die zunehmende regulatorische Kontrolle und die Zunahme komplexer Bedrohungen erfordern darüber hinaus datengesteuerte und KI-gestützte Ansätze für das Risikomanagement.
Der Einsatz von Technologien im Bereich der künstlichen Intelligenz (KI) kann entscheidend zur Stärkung eines modernen TPRM-Programms beitragen. Die transformativen Fähigkeiten der KI bieten beispiellose Möglichkeiten zur Optimierung von TPRM- und Lieferantenrisikomanagement-Prozessen (SRM) und ermöglichen einen effizienteren und proaktiveren Ansatz für die Bewältigung der Komplexität moderner Unternehmensnetzwerke.
Hier sind nur einige der Möglichkeiten, wie Sie KI in Ihrem Risikomanagementprogramm für Dritte nutzen können:
- Automatisierung von Aufgaben: KI-gestützte Systeme können routinemäßige Risikobewertungen für Dritte, Datenanalysen und Berichte rationalisieren. Dies verbessert die Effizienz und Genauigkeit und hilft den Managern von Drittparteirisiken, sich auf übergeordnete Aktivitäten zu konzentrieren.
- Prädiktive Analytik: KI-Modelle können historische Daten und Muster analysieren, um potenzielle Risiken vorherzusagen, und Ihnen so helfen, proaktive Maßnahmen zu deren Minderung zu ergreifen.
- Erkennung von Anomalien: KI-Algorithmen können ungewöhnliche Muster oder Verhaltensweisen erkennen, die auf Betrug, Sicherheitsverletzungen oder andere Risiken hinweisen können.
Was ist der Wert von TPRM?
Mit der weltweiten Ausbreitung der Lieferketten steigen die potenziellen Risiken über einfache Sicherheitsbewertungen hinaus, um die Sicherheitslage bei der Aufnahme neuer Lieferanten klar zu identifizieren. Dies kann zu Schwierigkeiten bei der Bewertung Ihrer Anfälligkeit für Störungen durch Dritte aufgrund groß angelegter „Makroereignisse“ wie Kriege und geopolitische Unruhen, Kraftstoffpreise, Naturkatastrophen und andere regionale Katastrophen führen. Wie die Branche aus den jüngsten Ereignissen gelernt hat, ist es für Unternehmen wichtiger denn je, die Prozesse zur Erfassung von Cybersicherheitsdaten von ihren Anbietern zu optimieren. Bei Netzwerken von Dritt- und Viertanbietern, bei denen die Transparenz und Kontrolle eingeschränkt sind, ist es oft schwieriger, die Risikofaktoren innerhalb dieser Organisationen im Rahmen eines TPRM zu überwachen, zu bewerten und zu mindern.
Ein wesentlicher Bestandteil Ihres Risikomanagementprozesses für Lieferanten geht über die einfache Vergabe von Sicherheitsbewertungen an Ihre Dienstleister hinaus. Eine erfolgreiche TPRM-Managementlösung verschafft Ihnen Transparenz über Ihr Ökosystem von Drittanbietern und orientiert sich an folgenden Fragen:
- Können Sie feststellen, wer betroffen sein könnte und welche Dienste der Dritte zur Sicherung Ihrer Daten anbietet?
- Können Sie feststellen, welche Drittanbieter Dienstleistungen für das Unternehmen erbringen und deren Daten sicher aufbewahren?
Letztendlich werden die Stärkung Ihrer Organisation, die Behebung von Lücken (Erkennen der Lücken, Implementierung von Prozessen und Protokollen) und die Lösung von Problemen im Zusammenhang mit dem Risikomanagement von Drittanbietern Ihr Unternehmen verbessern und Ihnen dabei helfen, nachhaltig zu wachsen.
Implementierung Ihres TPRM-Programms
Wenn Sie sich für die Einführung eines TPRM-Programms entschieden haben, müssen Sie sich eine Reihe wichtiger Fragen stellen, die die Grundlage Ihres Programms bilden. Dazu gehören:
- Beauftragen Sie einen Partner, der Ihnen bei der Einführung und Umsetzung des Programms hilft?
- Wie gehen Sie mit den Erwartungen Ihrer internen Stakeholder um?
- Müssen Sie im Falle einer Datenverletzung Verantwortlichkeiten zuweisen?
- Welche genauen Anforderungen müssen Dritte erfüllen, um Geschäfte tätigen zu können?
- Verstehen die externen Stakeholder die Anforderungen und können sie diese umsetzen?
- Wird die Auferlegung dieser Anforderungen die finanziellen Beziehungen zu den Lieferanten verändern?
- Wie lässt sich dieses Programm in bestehende Beziehungen integrieren?
Unternehmen müssen sich darauf konzentrieren, die richtigen Mitarbeiter, Prozesse und Technologien zusammenzubringen, um ein Risikomanagementprogramm für Dritte zu implementieren. Das Verständnis der Balance und der Anforderungen jeder dieser Funktionen ist entscheidend für den erfolgreichen Betrieb Ihres Programms.
Um Risiken in TPRM-Umgebungen zu begegnen, sollten Sie organisatorische Standards und Formulierungen in den folgenden Bereichen einführen:
- Legen Sie Vertrags- und Service Level Agreement-Anforderungen fest, um risikobezogene Verpflichtungen zu regeln.
- Analysieren Sie das Risikoprofil des Anbieters anhand des Risikoprofils des Auftrags oder der erbrachten Dienstleistung.
- Ermöglichen Sie einen Berichtsprozess, der durch dynamische Überwachung und ereignisbasierte Risikobewertung gesteuert wird.
- Kombinieren Sie periodische Risikobewertungen ( selbst gemeldet) und kontinuierliche Risikokontrollen (extern gemeldet), um Risiken ganzheitlich zu erkennen.
- Implementieren Sie Technologielösungen, um Beschaffung, Leistung und Risikomanagement auf einer einheitlichen Plattform zu integrieren, die den Beteiligten bei Bedarf aktuelle Informationen zur Verfügung stellt, um ihren spezifischen Anforderungen gerecht zu werden.
Es ist wichtig zu beachten, dass beim Aufbau von Beziehungen zu internen und externen Stakeholdern nicht alle Anreize strafend oder einschränkend sein müssen. Die Festlegung von Vertrags- oder Service Level Agreement-Anforderungen sollte Mindestleistungsstandards umfassen, kann aber auch „Belohnungen” für die Einhaltung kritischer Risikomanagementfunktionen beinhalten. Darüber hinaus kann die Analyse der Anforderungen des Anbieters im Vergleich zu denen Ihres Unternehmens für beide Seiten enorme Vorteile bringen. Durch die Nutzung bestehender Compliance-Bereiche ist es möglich, die Kosten für beide Seiten zum gegenseitigen Vorteil zu senken.
Der Wert einer effektiv implementierten TPRM-Lösung liegt in der Realisierung eines kritischen Risikomanagementprogramms, das Frühwarnungen liefert und eine effektive Risikominderung fördert. Das Verständnis des Werts von TPRM ist nur der erste Schritt bei der Entscheidung zur Implementierung des Programms. Die Auswahl, die Ressourcen, die Integration in bestehende Geschäftsprozesse und die Beziehungen erfordern die Unterstützung des Unternehmens und die Einbindung bestehender Ökosysteme von Drittanbietern. Obwohl es sich um ein komplexes Unterfangen handelt, kann der Einsatz von Fragebögen, Vorlagen, Tools, Standards für SLAs und Automatisierung von unschätzbarem Wert sein, um Ihr TPRM-Programm schnell zum Reifen zu bringen.
Nächste Schritte
Sie fragen sich, wie Sie beginnen sollen? Lesen Sie unseren kostenlosen Leitfaden mit Best Practices: „Navigating the Vendor Risk Lifecycle: Keys to Success at Every Stage“ (Den Lebenszyklus von Lieferantenrisiken meistern: Schlüssel zum Erfolg in jeder Phase). Sie möchten wissen, ob unsere Lösungen und Dienstleistungen für das Risikomanagement von Drittanbietern für Ihr Unternehmen geeignet sind? Fordern Sie eine Demo an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich auf Prevalent.net veröffentlicht. Im Oktober 2024 hat Mitratech die KI-gestützte Risikomanagementplattform Prevalent übernommen. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen zu unseren Produktangeboten, regulatorischen Änderungen und Compliance-Anforderungen.
