Der ultimative Leitfaden zum Management von Risiken durch Dritte

Die Bedrohungslage verschärft den Druck zusätzlich: Sicherheitslücken in der Software-Lieferkette , die zunehmende Verbreitung von KI-Tools sowie Konzentrationsrisiken bei Technologieanbietern und in Lieferanten-Ökosystemen sind mittlerweile alltägliche Risiken und keine Ausnahmefälle mehr. Was sich ändert, ist die Art und Weise, wie Unternehmen darauf reagieren. Die Programme, die sich zunehmend durchsetzen, integrieren TPRM in den übergeordneten Bereich für Risiko und Compliance und nutzen Lieferanteninformationen, um die Entscheidungsfindung der Führungskräfte und die Risikoposition des Unternehmens zu gestalten, anstatt diese Informationen lediglich in einen jährlichen Überprüfungszyklus einzubinden.

Im Folgenden wird das gesamte Spektrum behandelt: Was TPRM ist und welche Faktoren seine Einführung vorantreiben, wie ein ausgereiftes Programm über den gesamten Lieferantenlebenszyklus hinweg strukturiert ist , welche messbaren Vorteile eine erfolgreiche Umsetzung mit sich bringt und welche Fallstricke bei der Umsetzung Programme immer wieder zurückwerfen – ganz gleich, ob Sie ein Programm zum ersten Mal auf die Beine stellen oder ein bestehendes Programm auf Herz und Nieren prüfen.

Was versteht man unter dem Risikomanagement bei Dritten?

Das Risikomanagement für Dritte (Third-Party Risk Management, TPRM) ist der Prozess der Identifizierung, Bewertung und Minderung von Risiken, die mit der Beauftragung externer Dritter wie Anbietern, Lieferanten, Auftragnehmern und Geschäftspartnern verbunden sind. Es umfasst eine gründliche Due Diligence, um potenzielle Risiken anzugehen, die sich auf den Betrieb, die finanzielle Gesundheit, die Cybersicherheit, die Rechtsstellung oder die Fähigkeit einer Organisation, ihre Kunden zu bedienen, auswirken könnten. Diese Risiken können Cybersicherheitsvorfälle, Störungen der Lieferkette, Arbeitskräftemangel, finanzielle Instabilität, politische Faktoren und regionale Konflikte umfassen. TPRM ermöglicht es Unternehmen, Risiken proaktiv zu managen und Reaktionen zu planen, anstatt auf auftretende Probleme zu reagieren, wodurch die Geschäftskontinuität gewährleistet und wichtige Stakeholder geschützt werden.

Der Lebenszyklus des Risikomanagements bei Drittanbietern: Prozessphasen und Arbeitsablauf

Der Nutzen von TPRM beginnt mit der Erfassung von Risiken und erstreckt sich über den gesamten Lebenszyklus der Beziehungen zwischen Ihrem Unternehmen und Ihren Lieferanten. Von der anfänglichen Lieferantenauswahl bis zum abschließenden Offboarding erfordert jede Phase Ihres Arbeitsablaufs eine sorgfältige Überwachung.

Der TPRM-Lebenszyklus umfasst:

Beachten Sie bei der Planung Ihres TPRM-Ansatzes, dass sich die Rahmenbedingungen der Beteiligten zu jedem Zeitpunkt während des Projekts ändern können. Das Erkennen und Bewältigen dieser Veränderungen ist entscheidend für den Erfolg Ihres Unternehmens. Lieferanten können ihre Geschäftsabläufe ändern, ihre Lieferkette für wichtige Materialien kann unterbrochen werden oder regionale Behörden können die Ein- und Ausfuhrbestimmungen ändern. Beispielsweise ändern sich die Datenschutzgesetze weltweit rasant. All diese Entwicklungen finden heute statt, und die Unternehmen, die einen TPRM-Prozess effektiv umgesetzt haben, florieren, während andere ins Hintertreffen geraten.

Angesichts des rasanten Wandels müssen Unternehmen die verfügbaren Informationen nahezu in Echtzeit überwachen und einer ersten Analyse unterziehen, um ihre Risiken zu erkennen und zu steuern. Diese Anforderung macht es erforderlich, dass bestimmte Prozesse die Erfassung und Weitergabe von Informationen über Drittanbieter automatisieren. Eine effektive Automatisierung ermöglicht es Ihrer TPRM-Abteilung, Risiken zu erkennen und Abhilfemaßnahmen einzuleiten, bevor Ihr Unternehmen Reputationsrisiken ausgesetzt ist.

Treiber für Risikomanagementprogramme von Drittanbietern

Zahlreiche regulatorische und Compliance-Anforderungen schreiben das Management von Risiken durch Dritte vor und können einen wirksamen Rahmen für die Minderung von Lieferantenrisiken bieten. Die regulatorischen Anforderungen, die TPRM-Programme vorantreiben, decken ein breites Spektrum an Märkten, Lieferanten und Daten ab und richten sich häufig nach der Art der Organisation (z. B. Vorschriften und Richtlinien von CMMC, EBA, FCA, FFIEC, HIPAA, NERC, NIST, NYDFS, OCC und anderen), vom Standort Ihrer Organisation (z. B. Datenschutzbestimmungen, staatliche Zulassungsanforderungen) oder vom Standort Ihrer Kunden (z. B. DSGVO, CCPA) bestimmt. Der entscheidende Punkt beim Verständnis dieser Anforderungen besteht darin, sicherzustellen, dass Ihr Programm berücksichtigt, welche Daten Ihre Organisation schützen muss, wo sich Ihre Kunden in der Regel befinden und welche Standardanforderungen Ihre Lieferanten erfüllen müssen, um ihre Dienstleistungen zu erbringen. Nehmen Sie diese Anforderungen in Ihre Vereinbarungen auf und dehnen Sie sie auf Lieferanten aus, die mit den betroffenen Daten arbeiten.
Die Umsetzung von TPRM-Programmen durch Organisationen wird durch folgende Faktoren bestimmt:

• Einhaltung gesetzlicher Vorschriften.
• Risiko der Cybersicherheit.
• Wettbewerbsvorteile eines effektiven TPRM-Programms.
• Interne Kauf-/Effizienzfaktoren.
• Verwaltung interner finanzieller und operativer Risiken.
• Erfüllung der Kundenanforderungen.

Unabhängig davon, was deine Organisation dazu bewegt hat, ein TPRM-Programm aufzubauen, ist es wichtig, alle internen Stakeholder wie Führungskräfte, Vorstände, Beschaffung, interne Revision, Finanzen, IT, Informationssicherheit, Recht und Compliance zu identifizieren und mit ihnen zusammenzuarbeiten, um deine Arbeitsabläufe festzulegen.

Wer sollte am Risikomanagement für Dritte beteiligt sein?

Achten Sie bei der Umsetzung eines TPRM-Programms darauf, dass alle betroffenen internen und externen Interessengruppen in die Ausarbeitung einbezogen werden. Berücksichtigen Sie als interne Interessengruppen mindestens die folgenden:

• Führungskräfte (CEO, CFO, CIO, COO, CISO usw.)
• General Counsel
• Vorstandsmitglieder
• Interne Revisoren

Externe Interessengruppen sind eine weitere wichtige Zielgruppe, die bei der Entwicklung Ihres Programms berücksichtigt werden muss. Zu den externen Interessengruppen gehören:

• Verkäufer
• Regulierungsbehörden
• Kunden

Da TPRM-Programme selten bereits bei der Gründung eines Unternehmens eingeführt werden, ist es wichtig, die bestehenden Vereinbarungen und Programme mit externen Anbietern zu berücksichtigen und sicherzustellen, dass diese im Hinblick auf das vorgeschlagene TPRM-Programm gründlich analysiert werden. Stellen Sie sicher, dass Abweichungen erfasst werden und dass ein Plan zur Bewältigung nicht geminderter Risiken erstellt und bis zur vollständigen Umsetzung verfolgt wird.

Regulatorische TPRM-Risikomanagement-Einflüsse

Regulatorische Standards sind ein wesentlicher Treiber für TPRM-Programme. Regulatorische Programme sind spezifisch für:

• Gesundheitswesen
• Vertragsabschlüsse für die Bundesregierung
• Kreditkartenakzeptanz
• Finanzdienstleistungen
• Bankwesen
• Herstellung

All dies erfordert die Einführung eines Prozesses für das TPRM, der den gesamten Lebenszyklus abdeckt. Diese Anforderungen ergeben sich in der Regel aus der Art der sensiblen Daten, die im Rahmen der normalen Geschäftstätigkeit erhoben werden.

Ein Paradebeispiel für diese Art des regulatorisch bedingten Risikomanagements ist ein wichtiger Bestandteil des Branchenstandards PCI-DSS, der Drittanbieter definiert und vorschreibt, dass diese keine „Daten von Karteninhabern im Auftrag von Kunden oder Organisationen an Anbieter übermitteln dürfen, die die Sicherheit ihrer Daten und ihrer Umgebung gefährden könnten“. Das bedeutet, dass Unternehmen zwar verpflichtet sind, das erforderliche Cybersicherheitsprogramm für sich selbst zu entwickeln, aber dennoch die Cybersicherheitsprogramme der Anbieter überwachen müssen, die den Zugriff auf sensible Daten verwalten – selbst wenn diese Anbieter das Risiko unter einem bestimmten Schwellenwert halten.

Ein weiteres Beispiel sind Bundesprogramme und Vergabeverfahren, die ein strenges Sicherheitsmanagement aller Anbieter vorschreiben, die Zugriff auf die Informationen haben. Dieser Prozess geht weit über einfache Fragebögen und den Austausch von Unterlagen hinaus; er kann auch die Überprüfung interner Umgebungen sowie rechtliche Zusicherungen von Führungskräften hinsichtlich der bestehenden Datenschutzmaßnahmen umfassen. Die Komplexität der beteiligten Dritten, das Potenzial für Interessenkonflikte und das Risiko finanzieller Verluste veranlassen Unternehmen dazu, ihre Risikomanagementpraktiken und Strategien zur Risikominderung kontinuierlich zu verbessern.

Das traditionelle TPRM-Modell stützte sich auf Vor-Ort-Besuche, die manuelle Auswertung von Fragebögen und von Beratern durchgeführte Bewertungen in festgelegten Abständen. Dieser Ansatz kann mit dem Umfang und der Verteilung moderner Lieferantennetzwerke nicht Schritt halten. Unternehmen, die Hunderte oder Tausende von Drittanbietern in verschiedenen Regionen verwalten, benötigen eine automatisierte Datenerfassung, eine kontinuierliche Überwachung sowie Workflow-Tools, um Lieferantenrisiken in der Geschwindigkeit zu bewerten und zu verfolgen, die das Umfeld erfordert.

Angesichts der aktuellen Rahmenbedingungen sowie der rasch zunehmenden Komplexität und Reichweite der Lieferketten ist dies mit den bisher bewährten Prozessen schlichtweg nicht mehr machbar. Um im TPRM erfolgreich zu sein, ist ein verstärkter Einsatz von Automatisierung und Tools erforderlich, die darauf ausgelegt sind, Lieferantendaten zu erfassen und einer ersten Analyse zu unterziehen.

Die Rolle der künstlichen Intelligenz im TPRM

Da Unternehmen zunehmend auf miteinander verbundene Lieferketten und Beziehungen zu Dritten angewiesen sind, sind umfassende Risikoinformationen und zeitnahe Entscheidungen unerlässlich. Das exponentielle Wachstum von Daten aus verschiedenen Quellen bietet die Möglichkeit, KI und fortschrittliche Analysen zu nutzen, um tiefgreifendere Risikobewertungen, Vorhersagefähigkeiten und Echtzeitüberwachung zu ermöglichen. Die zunehmende regulatorische Kontrolle und die Zunahme komplexer Bedrohungen erfordern darüber hinaus datengesteuerte und KI-gestützte Ansätze für das Risikomanagement.

Der Einsatz von Technologien im Bereich der künstlichen Intelligenz (KI) kann entscheidend zur Stärkung eines modernen TPRM-Programms beitragen. Die Möglichkeiten der KI optimieren die TPRM- und Lieferantenrisikomanagement-Prozesse (SRM) und ermöglichen so einen effizienteren und proaktiveren Ansatz in komplexen Netzwerken von Drittanbietern:

• Automatisierung von Aufgaben: KI-gestützte Systeme können routinemäßige Risikobewertungen für Dritte, Datenanalysen und Berichte rationalisieren. Dies verbessert die Effizienz und Genauigkeit und hilft den Managern von Drittparteirisiken, sich auf übergeordnete Aktivitäten zu konzentrieren.
• Prädiktive Analytik: KI-Modelle können historische Daten und Muster analysieren, um potenzielle Risiken vorherzusagen, und Ihnen so helfen, proaktive Maßnahmen zu deren Minderung zu ergreifen.
• Erkennung von Anomalien: KI-Algorithmen können ungewöhnliche Muster oder Verhaltensweisen erkennen, die auf Betrug, Sicherheitsverletzungen oder andere Risiken hinweisen können.

Was ist der Wert von TPRM?

Ein Programm zum Risikomanagement bei Drittanbietern bietet Vorteile über den gesamten Lebenszyklus eines Lieferanten hinweg – von der ersten Auswahl bis zum Ausscheiden. Ein ausgereiftes Programm bietet Ihrem Unternehmen folgende Vorteile:

Implementierung Ihres TPRM-Programms

Wenn Sie sich für die Einführung eines TPRM-Programms entschieden haben, müssen Sie sich eine Reihe wichtiger Fragen stellen, die die Grundlage Ihres Programms bilden. Dazu gehören:

• Beauftragen Sie einen Partner, der Ihnen bei der Einführung und Umsetzung des Programms hilft?
• Wie gehen Sie mit den Erwartungen Ihrer internen Stakeholder um?
• Müssen Sie im Falle einer Datenverletzung Verantwortlichkeiten zuweisen?
• Welche genauen Anforderungen müssen Dritte erfüllen, um Geschäfte tätigen zu können?
• Verstehen die externen Stakeholder die Anforderungen und können sie diese umsetzen?
• Wird die Auferlegung dieser Anforderungen die finanziellen Beziehungen zu den Lieferanten verändern?
• Wie lässt sich dieses Programm in bestehende Beziehungen integrieren?

Unternehmen müssen sich darauf konzentrieren, die richtigen Mitarbeiter, Prozesse und Technologien zusammenzubringen, um ein Programm zum Risikomanagement bei Drittanbietern umzusetzen. Das Verständnis für das Gleichgewicht und die Anforderungen jeder dieser Funktionen ist entscheidend für den erfolgreichen Betrieb Ihres Programms.

Um Risiken in TPRM-Umgebungen zu begegnen, sollten Sie organisatorische Standards und Formulierungen in den folgenden Bereichen einführen:

• Legen Sie Vertrags- und Service Level Agreement-Anforderungen fest, um risikobezogene Verpflichtungen zu regeln.
• Analysieren Sie das Risikoprofil des Anbieters anhand des Risikoprofils des Auftrags oder der erbrachten Dienstleistung.
• Ermöglichen Sie einen Berichtsprozess, der durch dynamische Überwachung und ereignisbasierte Risikobewertung gesteuert wird.
• Kombinieren Sie Ansätze zur periodischen Risikobewertung ( auf Basis eigener Angaben) und zur kontinuierlichen Risikoüberwachung (auf Basis externer Angaben), um Risiken durchgängig zu identifizieren.
• Implementieren Sie Technologielösungen, um Beschaffung, Leistung und Risikomanagement auf einer einheitlichen Plattform zu integrieren, die den Beteiligten bei Bedarf aktuelle Informationen zur Verfügung stellt, um ihren spezifischen Anforderungen gerecht zu werden.

Es ist wichtig zu beachten, dass beim Aufbau von Beziehungen zu internen und externen Stakeholdern nicht alle Anreize strafender oder einschränkender Natur sein müssen. Die Festlegung von Anforderungen in Verträgen oder Service Level Agreements sollte Mindestleistungsstandards beinhalten, kann aber auch „Belohnungen“ für die Einhaltung kritischer Risikomanagementfunktionen umfassen. Darüber hinaus kann die Analyse der Anforderungen des Anbieters im Vergleich zu denen Ihrer Organisation für beide Seiten enorme Vorteile mit sich bringen. Durch die Nutzung bestehender Compliance-Maßnahmen ist es möglich, die Kosten für beide Seiten zum gegenseitigen Nutzen zu senken.

Eine effektive Umsetzung des TPRM erfordert die richtige Technologie und die entsprechende organisatorische Infrastruktur: dokumentierte Arbeitsabläufe, festgelegte Risikotoleranzen, eine Abstimmung zwischen den Beteiligten hinsichtlich der Eskalationsauslöser sowie einen Plan für die Einbindung bereits bestehender Lieferantenbeziehungen. Unternehmen, die sich schnell weiterentwickeln, beginnen in der Regel mit einem engen, gut geregelten Anwendungsbereich und erweitern diesen nach und nach. Unabhängig davon, ob Sie schrittweise vorgehen oder ein vollständiges Programm aufbauen – der richtige Partner kann sowohl die Konzeption als auch die Umsetzung beschleunigen.

Häufig gestellte Fragen

Was versteht man unter der Bewertung des inhärenten Risikos im TPRM?
Die Bewertung des inhärenten Risikosmisst das Risiko, das ein Lieferant aufgrund seiner internen Kontrollen und Geschäftspraktiken darstellt, noch bevor die spezifischen Anforderungen Ihres Unternehmens berücksichtigt werden. Sie legt das angemessene Maß an Sorgfaltspflicht fest und bestimmt die Häufigkeit und den Umfang nachfolgender Bewertungen. Ein Lieferant, der Zugriff auf sensible Kundendaten hat und über kein formalisiertes Sicherheitsprogramm verfügt, weist eine höhere Bewertung des inhärenten Risikos auf als ein Lieferant mit einer Zertifizierung durch eine unabhängige Prüfstelle.

Was ist der Unterschied zwischen periodischen Risikobewertungen und einer kontinuierlichen Risikoüberwachung?
Periodische Bewertungen sind strukturierte, fragebogenbasierte Bewertungen, die in festgelegten Abständen durchgeführt werden, beispielsweise bei der Einbindung neuer Lieferanten, jährlich oder bei Vertragsverlängerung. Die kontinuierliche Überwachung nutzt externe Informationsquellen nahezu in Echtzeit, um Cyber-, Finanz- und Reputationsrisiken zwischen den einzelnen Bewertungszeiträumen aufzudecken. Zusammen liefern sie ein umfassenderes Bild der Lieferantenrisiken als jeder der beiden Ansätze für sich allein.

Welche Rolle spielen Vorschriften im TPRM?
Branchenübergreifende regulatorische Rahmenbedingungen, darunter HIPAA im Gesundheitswesen, PCI DSS bei der Zahlungsabwicklung, die DSGVO im Datenschutz und CMMC bei der Vergabe von Bundesaufträgen, schreiben spezifische Kontrollmaßnahmen für Risiken durch Dritte vor, die Unternehmen auf ihre Lieferanten ausweiten müssen. In vielen Fällen wird das auftraggebende Unternehmen nicht nur für seine eigenen Verstöße, sondern auch für die seiner Lieferanten zur Verantwortung gezogen. Ein strukturiertes TPRM-Programm liefert die Dokumentation und die Prüfpfade, die die Aufsichtsbehörden erwarten.

Welche Tools werden für das Third-Party-Risikomanagement eingesetzt?
TPRM-Programme stützen sich in der Regel auf Plattformen für das Fragebogen- und Bewertungsmanagement, Lösungen zur kontinuierlichen Überwachung, Netzwerke für Lieferanteninformationen sowie Tools zur Workflow-Automatisierung, die Bewertungen weiterleiten und die Umsetzung von Korrekturmaßnahmen nachverfolgen. Unternehmen, die manuelle Prozesse einsetzen, berichten durchweg von einer langsameren Risikoerkennung und einer höheren Fehlerquote bei den Bewertungen. Vergleichen Sie führende Plattformen oder sehen Sie sich die besten TPRM-Ansätze an, wenn Sie noch dabei sind, zu prüfen, welches Modell zu Ihrem Programm passt.

Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich auf Prevalent.net veröffentlicht. Im Oktober 2024 übernahm Mitratech die KI-gestützte Plattform für das Risikomanagement bei Drittanbietern, Prevalent. Der Inhalt wurde im Mai 2026 aktualisiert, um Informationen aufzunehmen, die unseren Produktangeboten, regulatorischen Änderungen und Compliance-Anforderungen entsprechen.