Im Laufe meiner 20-jährigen Tätigkeit in den Bereichen Cybersicherheit, Datenschutz, Audit, Compliance und Beratung habe ich einige wertvolle Lektionen gelernt. Bei der Einführung des TPRM-Programms (Third-Party-Risk-Management) in einem Fortune-10-Unternehmen des Gesundheitswesens habe ich zum Beispiel entdeckt, wie wichtig es ist, die Anforderungen der Programmprüfer und -kontrolleure zu antizipieren.
In der Tat war die Vereinfachung von Compliance-Initiativen eine wichtige Triebfeder für jedes TPRM-Programm, an dem ich beteiligt war, und ich musste auf dem Weg dorthin viele Hürden überwinden. Hier sind fünf der größten TPRM-Fallen, auf die ich gestoßen bin, sowie einige Ratschläge, wie man sie überwinden kann.
Häufige Fehler bei der TPRM-Einhaltung
1. Fehlende Dokumentation
Das Sammeln von dokumentierten Nachweisen für Kontrollen, Prozesse und Verfahren ist das Herzstück jeder Prüfung der Einhaltung von Vorschriften. Bei meiner Arbeit mit Kunden stelle ich jedoch häufig fest, dass ihre Dokumentation veraltet, überholt und/oder nicht mit den aktuellen Vorschriften und bewährten Verfahren vereinbar ist. In vielen Fällen gibt es keinen Hinweis darauf, wer für die Dokumentation verantwortlich ist, sie wurde weder überprüft noch abgezeichnet, und die erforderlichen Instrumente und Techniken sind oft nicht an die bestehenden Verfahren angehängt. Noch schlimmer ist, dass viele der von mir geprüften Unterlagen nicht gut genug geschrieben sind, damit neue Teammitglieder sie bei Bedarf übernehmen können.
2. Unkenntnis der Unternehmensrichtlinien und -standards
Die meisten TPRM-Programme bemühen sich nach Kräften, die gesetzlichen Vorschriften und Industriestandards einzuhalten, aber viele sind nicht mit den Unternehmens- oder Organisationsrichtlinien und -standards vereinbar. Beispiele hierfür sind:
- Verzicht auf Hintergrundüberprüfungen bei neuen Verkäufern oder Lieferanten (z. B. Überprüfung der jüngsten Verstöße, des finanziellen Status, betrieblicher Probleme usw.)
- Keine Festlegung von Konnektivitätsstandards auf der Grundlage der Datensensibilität (z. B. wann der Zugang über VPNs oder sichere Gateways erlaubt werden soll)
- Versäumnis, "No-Go"-Zonen oder Bereiche im Netz abzuschotten, die abgetrennt werden sollten (z. B. durch privilegierten Zugang)
- Verwendung nicht genehmigter Verträge, wenn Käufer "abtrünnig" werden
- Umgehung des TPRM-Prozesses, um einen neuen Lieferanten so schnell wie möglich an Bord zu holen
Wenn Sie sich nicht an die genehmigten Unternehmensrichtlinien halten, setzen Sie Ihre Organisation einem unnötigen Risiko aus, das dazu führen kann, dass Ihr Projekt nicht die für den Erfolg erforderliche Finanzierung erhält.
3. Mangel an aussagekräftigen Metriken
Werden die Fortschritte bei der Erreichung der Risikoziele nicht gemessen, verlangsamt sich der Prüfungsprozess. Werfen Sie einen ehrlichen Blick auf Ihre bestehenden Messgrößen. Sind sie zum Beispiel:
- Genaue Berichterstattung über Geschäfts- und Lieferantenrisiken?
- Aufdeckung potenzieller Daten- und Informationsanpassungen?
- Repräsentativ für die tatsächliche Bewertungsumgebung?
- Bereitstellung relevanter, kontextbezogener Risikoberichte für das Management und die wichtigsten Geschäftsbereiche?
- Unterstützung und Nutzen für alle Beteiligten?
4. Kein zentrales Lieferanteninventar
Eine der größten Herausforderungen für neue TPRM-Programme besteht darin, herauszufinden, wer ihre Anbieter und Lieferanten sind. Einige werden vielleicht vom IT-Sicherheitsteam verwaltet, während andere von der Beschaffung oder einer anderen Abteilung betreut werden. Das Fehlen einer zuverlässigen Lieferantenliste kann Ihr TPRM-Projekt zum Scheitern bringen. Deshalb ist es wichtig zu bestimmen, wer das "Book of Record" des Lieferanteninventars Ihrer Organisation besitzt und pflegt.
Stellen Sie sicher, dass die Dokumentation Ihrer TPRM-Richtlinien entweder die Zuständigkeit Ihrer Gruppe widerspiegelt oder auf die Richtlinien des Eigentümers verweist. Stimmen Sie sich außerdem regelmäßig mit allen Teams ab, die an der Pflege des Lieferantenbestands beteiligt sind, z. B. mit der Beschaffung, den Geschäftsinhabern, der Rechtsabteilung und (als letzte Möglichkeit) der Kreditorenbuchhaltung.
5. Immer im reaktiven Modus
Zu viele TPRM-Programme arbeiten im reaktiven Modus und sind ständig auf Trab. Dies ist der Höhepunkt der vier vorangegangenen Fehler bei der Einhaltung von Vorschriften, bei denen es den Programmen an Dokumentation, Richtlinien, Metriken und/oder einem zentralen Lieferanteninventar fehlt. Ein proaktiverer Ansatz für die Einhaltung von TPRM-Vorschriften optimiert Ihre Abläufe, ermöglicht die Aktualisierung der Dokumentation bei Änderungen und öffnet die Kommunikationswege mit den Beteiligten in Bezug auf Messgrößen und andere Programmanforderungen.
Wie Sie Fehler bei der Einhaltung der TPRM-Richtlinien vermeiden
Im Folgenden finden Sie vier Tipps für einen proaktiveren Ansatz zur Einhaltung der TPRM:
1. Zentralisierung der Lieferanten- und Zuliefererdokumentation zur Bescheinigung und Überprüfung
Ihre TPRM-Lösung sollte es Ihnen (und Ihren Lieferanten) ermöglichen, Dokumentation, Richtlinien, Nachweise usw. in zentralisierte Lieferantenprofile hochzuladen. Sie sollte auch in der Lage sein, die Dokumentation nach Schlüsselwörtern zu durchsuchen, um die Eignung der Nachweise zu bestimmen. Wird bei der Überprüfung eine geringe Übereinstimmung festgestellt, sollten Sie mit Ihrer TPRM-Lösung automatisch zusätzliche oder aktualisierte Unterlagen vom Lieferanten anfordern können.
2. Aufbau und Stärkung von unternehmensweiten Maßnahmen zur Beschaffung, Auswahl und Bewertung von Anbietern
Wenn Sie Ihr Risikomanagementprogramm für Dritte einführen oder verfeinern, sollten Sie die folgenden Punkte formalisieren:
- Richtlinien, Standards, Systeme und Prozesse zum Schutz von Systemen und Daten
- Rollen und Verantwortlichkeiten (z. B. RACI) aller beteiligten Teammitglieder
- Bestandsaufnahmen von Dritten, um das Ausmaß und den Umfang der Beteiligung von Anbietern zu verstehen
- Klassifizierungs- und Kategorisierungsansätze von Dritten
- Risikoeinstufung und Schwellenwerte auf der Grundlage der Risikotoleranz Ihres Unternehmens
- Bewertungs- und Überwachungsmethoden auf der Grundlage der Kritikalität von Dritten
- Zentrale Leistungsindikatoren (KPIs) und zentrale Risikoindikatoren (KRIs) zur Messung Ihres Programms und von Dritten
- Einhaltung von Vorschriften und vertraglichen Meldepflichten
- Verfahren zur Reaktion auf Vorfälle
- Interne Stakeholder-Berichterstattung für das Management und den Verwaltungsrat
- Strategien zur Risikominderung und -behebung
Jeder dieser Punkte ist entscheidend für den Aufbau eines umfassenden TPRM-Programms, das einer genauen Prüfung durch die Prüfer standhält.
3. Identifizierung aussagekräftiger Metriken
Zu den zu berücksichtigenden KPI/KRI-Bereichen gehören:
- Risikokennzahlen, die Ihnen helfen, das Risiko einer Geschäftsbeziehung mit einem Anbieter oder Lieferanten zu verstehen (z. B. die Einhaltung von Kontrollen)
- Bedrohungsdaten, die von Open-Source-Anbietern von Bedrohungsdaten zur Verfügung gestellt werden und den Kontext der Geschäftsumgebung erweitern
- Compliance-Metriken zum Verständnis der Leistung gegenüber den Verpflichtungen
- Abdeckungsmetriken, um festzustellen, ob Sie Ihren Anbieter- oder Lieferantenstamm abgedeckt haben
Prevalent bietet ein KPI/KRI eBook an, in dem 25 der wichtigsten Metriken aufgeführt sind, die Sie in Ihrem TPRM-Programm berücksichtigen sollten.
4. Aufbau eines zentralen Lieferanteninventars
Ihre TPRM-Lösung sollte es Ihnen ermöglichen, ein Lieferanteninventar zu erstellen, indem Sie entweder eine Tabelle mit Profilinformationen hochladen oder eine API-Verbindung zu einer bestehenden Beschaffungs- oder Kreditorenbuchhaltungslösung nutzen. Bei der Aufnahme von Drittanbietern in Ihr zentrales Inventar sollten Sie Profile erstellen, die demografische Informationen, wirtschaftliche Eigentumsverhältnisse, Technologien von Drittanbietern, ESG-Bewertungen, jüngste Geschäfts- und Reputationseinblicke, Datenverletzungen, jüngste aufsichtsbehördliche Erkenntnisse und die finanzielle Leistung enthalten. Diese Informationen an einem einzigen Ort zu haben, wird alle anderen TPRM-Prozesse immens vereinfachen.
Nächste Schritte
Weitere Tipps zur Stärkung Ihres TPRM-Programms und zur Verbesserung Ihrer Bereitschaft für die nächste Prüfung finden Sie in meinem On-Demand-Webinar mit Prevalent, The Top Third-Party Risk Management Compliance Mistakes.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
