Da Datenschutzverletzungen und Verstöße gegen den Datenschutz immer häufiger auf Anbieter, Lieferanten und andere Dritte zurückgeführt werden, wollen die meisten Unternehmen entweder Programme zum Management von Anbieterrisiken (Vendor Risk Management, VRM) einführen oder ihre bestehenden Programme ausbauen. In den vergangenen 15 Jahren, in denen wir mit Hunderten von Unternehmen zusammengearbeitet haben, haben wir festgestellt, dass VRM-Programme in der Regel auf eines der drei folgenden Ziele ausgerichtet sind. In diesem Beitrag werden wir diese Treiber aufschlüsseln und die Beweggründe für jedes Ziel diskutieren.
1. Automatisierungsgesteuertes VRM
Automatisierungsorientierte VRM-Programme beginnen in der Regel als Reaktion auf ein persönliches Problem, z. B. eine hohe Arbeitsbelastung oder zu viel Komplexität.
Diese Programme werden in der Regel von einer Person, häufig aus dem Beschaffungswesen, vorangetrieben, um die Aufnahme von Lieferanten und die Due-Diligence-Prüfung zu beschleunigen. Auf Tabellenkalkulationen basierende Lieferantenbeurteilungen werden oft als lästig empfunden. Hin- und Her-E-Mails, Probleme mit der Versionskontrolle und uneinheitliche Prozesse bereiten allen Beteiligten Kopfzerbrechen.
Automatisierungsgesteuerte Initiativen zum Management von Schwachstellenrisiken sind in der Regel eher ein Projekt als ein Programm. Daher fehlt ihnen der Überblick über ausgereiftere Programme, die mit Governance-, Risiko- und Compliance-Bemühungen (GRC) verbunden sind.
Unternehmen mit automatisierungsgetriebenen VRM-Zielen zeichnen sich in der Regel durch folgende Merkmale aus
- Ein Bottom-up-Ansatz, der von einer Einzelperson oder einem kleinen Team vorangetrieben wird
- Manuelle Prozesse bereiten Kopfzerbrechen
- Der Bedarf an einfachen, individuellen Fragebögen
- Eine begrenzte Anzahl von Lieferanten
- Kein Einblick in die Risiken Dritter
- Keine strategischen Mandate für das Management von Risiken Dritter und die Einhaltung von Vorschriften
Es ist nicht verkehrt, Ihr Programm für das Management von Lieferantenrisiken hier zu beginnen. In der Tat beginnen viele erfolgreiche VRM-Programme mit der Beseitigung manueller Prozesse, die Lücken in der Sicherheitskontrolle übersehen und das Risiko von Datenschutzverletzungen erhöhen können.
Automatisierte Lösungen zur Bewertung von Lieferantenrisiken
können dazu beitragen, diese Programme zu rationalisieren und zu beschleunigen.
2. Konformitätsgesteuertes VRM
Wenn man die Reifeskala weiter nach oben schraubt, entstehen Programme, die auf die Einhaltung von Vorschriften abzielen, aus der Notwendigkeit heraus, eine oder mehrere gesetzliche Anforderungen zu erfüllen.
Wenn Sie bei der Handhabung und Verarbeitung von Daten mit Drittanbietern zusammenarbeiten, bedeutet das nicht, dass Ihr Unternehmen nicht mehr für die Sicherheitsrisiken dieser Daten verantwortlich ist. Aus diesem Grund schreiben verschiedene staatliche Vorschriften und Branchenrahmen Praktiken für das Risikomanagement von Drittanbietern vor. Hier sind einige Beispiele:
- AICPA SOC 2
- CCPA
- CMMC
- CSA CAIQ
- EBA-Leitlinien zur Auslagerung
- FCA FG 16/5
- FFIEC IT-Prüfungshandbuch
- GDPR
- HIPAA
- ISO 27001/27002/27036-2
- NERC CIP
- NIST SP800-53 & CSF
- NY CRR 500
- NY SHIELD Gesetz
- PCI DSS
Dies ist der Punkt, an dem Unternehmen erkennen, dass sie ein Programm und kein Projekt benötigen . Nur ein fortlaufendes, strukturiertes Programm kann sowohl das Risiko für Dritte proaktiv verwalten als auch die erforderliche Dokumentation für externe und interne Prüfungen erstellen.
Zu den organisatorischen Merkmalen, die diese Art von Programm vorantreiben, gehören:
- Ein Middle-Out-Ansatz, der von den Anforderungen der Regierung und/oder der Industrie bestimmt wird
- Hat ein spezifisches Mandat für die Einhaltung von VRM
- Derzeit werden manuelle Verfahren zur Bewertung einer Teilmenge von Lieferanten eingesetzt
- Die Lieferanten sind in der Regel nach kritischen Dienstleistungen oder Ausgaben gestaffelt.
- hat nur begrenzten Einblick in die Risiken der Informationssicherheit in der Lieferkette
- Möglicherweise haben Sie bereits ein Basisprogramm, das aber noch genauer definiert und strukturiert werden muss.
Viele Vorschriften und Regelwerke verlangen zusätzlich zu den regelmäßigen Risikobewertungen der Anbieter eine externe, kontinuierliche Risikoüberwachung. In der Tabelle auf unserer Seite zu den Compliance-Fähigkeiten erfahren Sie mehr über spezifische Anforderungen an Bewertungen und/oder Überwachung. Der Einfachheit halber bietet Prevalent den Fragebogen Prevalent Compliance Framework (PCF) an, der es Ihnen ermöglicht, die Antworten einer beliebigen Anzahl von Vorschriften oder Kontrollrahmen zuzuordnen, was den Prozess der Compliance-Berichterstattung erheblich vereinfacht.
3. Risikoorientiertes VRM
Die ausgereiftesten VRM-Programme werden von oben nach unten durch strategische Risikomanagementprogramme vorangetrieben, wobei die Einhaltung der Vorschriften ein natürliches Nebenprodukt dieser Initiativen ist.
Unternehmen mit risikoorientierten VRM-Programmen haben in der Regel einen guten Überblick darüber, wer zu ihrem Lieferanten-Ökosystem gehört, und können ihr Risiko in der Regel bis zu einem gewissen Grad quantifizieren. Sie verknüpfen Rahmenwerke für das Lieferantenrisikomanagement mit umfassenderen GRC/IRM-Programmen und sichern sich häufig die Dienste einer der Big-5-Prüfungsgesellschaften für das Outsourcing oder Programmmanagement. Allerdings haben diese Unternehmen oft noch mit manuellen Prozessen, begrenzten Analysefunktionen und Silos zu kämpfen, die eine risikobasierte Entscheidungsfindung behindern können.
Zu den typischen Merkmalen risikoorientierter VRM-Programme gehören:
- Ein Top-Down-Ansatz, angetrieben durch eine strategische Geschäftsinitiative
- Ein Programm mit großer Perspektive im Gegensatz zu einem taktischen Projekt
- Sponsoring auf Führungsebene, das VRM als integralen Bestandteil des Risikomanagements betrachtet
- Die Risikomanager haben die Anzahl der Lieferanten im Griff und können das Risiko quantifizieren.
- Häufig noch manuelle Verfahren zur Bewertung eines bestimmten Prozentsatzes von Anbietern
Wirklich risikoorientierte Programme für das Management von Lieferantenrisiken sind nur in großen, stark regulierten Unternehmen mit ausreichenden Ressourcen, Visionen und Größenordnungen zu finden. Diese Programme erreichen in der Regel einen optimalen VRM-Reifegrad mit einer hybriden Lösung, die aus einer einheitlichen, automatisierten Plattform für das Risikomanagement von Drittanbietern besteht, die durch Bewertungsdienste und professionelle Dienstleistungen unterstützt wird.
Unternehmen auf dieser Ebene gehen oft über die Kernbewertung und -überwachung hinaus und nutzen ihre TPRM-Lösungen, um das Leistungsmanagement von Anbietern zu verwalten, Datenschutzprobleme zu lösen und interne Risikobewertungen durchzuführen.
Nächste Schritte für Ihr Risikomanagementprogramm für Lieferanten
Der Weg zu einem ausgereiften VRM-Programm ist nicht einfach. Wenn Sie jedoch in die richtigen Mitarbeiter, Prozesse und Technologien investieren, können Sie die Produktivität steigern, die Beziehungen zu den Lieferanten stärken und die Geschäftskontinuität Ihres Unternehmens sicherstellen.
Erfahren Sie mehr über unseren bewährten 5-stufigen Ansatz für das Risikomanagement von Lieferanten in unserem Leitfaden für bewährte Verfahren oder fordern Sie noch heute eine Demonstration an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
