Angesichts einiger Wirtschaftsindikatoren, die auf eine mögliche Rezession hindeuten, ist es jetzt an der Zeit, sicherzustellen, dass Ihre Lieferanten, Anbieter und Partner über die notwendigen Maßnahmen zur Sicherung der Geschäftskontinuität verfügen, um die Finanzkrise zu überstehen und das Risiko von Dienstleistungs- oder Lieferunterbrechungen zu minimieren. Wenn ein Anbieter oder Lieferant seine finanziellen Erwartungen nicht erfüllt, kann er gezwungen sein, Mitarbeiter zu entlassen, Verträge zu kündigen oder seine Geschäftsentwicklungsbemühungen oder Investitionen anzupassen.
Auch wenn die Wirtschaft nicht auf einen Abschwung zusteuert, kann Ihr Unternehmen durch starke Verfahren zur Sicherung der Geschäftskontinuität bei Drittanbietern auf andere potenzielle Störungen vorbereitet sein. Um Ihnen bei der Bewertung Ihrer Prozesse zu helfen, finden Sie hier fünf bewährte Verfahren zur Bewertung der Geschäftskontinuität von Drittanbietern und Lieferanten.
1. Maßnahmen zur Verfügbarkeit, Lieferung und Geschäftskontinuität im Lieferantenvertrag festlegen und durchsetzen
Die Vereinbarung und Verwaltung von Service-Levels, Lieferfristen und Geschäftskontinuitätsprozessen mit Anbietern und Lieferanten kann sehr komplex sein. Das beginnt bereits beim Vertrag. Manuelle Methoden zur Vereinbarung von Bedingungen, zur Verfolgung von Änderungen an wichtigen Bestimmungen und zur Weiterleitung zur Genehmigung führen mit ziemlicher Sicherheit dazu, dass wichtige Leistungsindikatoren (KPIs) übersehen werden und Vertragsverlängerungsgespräche erschwert werden. Aus diesem Grund ist es unerlässlich, den Vertragslebenszyklus zu automatisieren – von der Verteilung und Besprechung bis hin zur Aufbewahrung und Überprüfung. Eine Lösung für das Vertragslebenszyklusmanagement bietet folgende Vorteile:
- Zentralisieren Sie die Nachverfolgung aller Verträge und Vertragselemente wie Art, wichtige Termine, Wert, Erinnerungen und Status.
- Bieten Sie Workflow-Funktionen (basierend auf Benutzer- oder Vertragstyp), um den Vertrag effizient durch seinen Lebenszyklus zu führen.
- Automatisieren Sie Erinnerungen und Mahnungen, um die Vertragsüberprüfung zu optimieren.
- Vertragsverhandlungen, -speicherung und -kommentare zentralisieren – mit Prüfpfaden für alle Zugriffe
- Versionskontrolle bereitstellen, damit alle Parteien die aktuelle Version des Vertrags überprüfen können.
- Migrieren Sie den abgeschlossenen Vertrag in eine Risikobewertungsplattform für eine vollständige Due Diligence.
Durch die Vereinfachung der Verwaltung und Nachverfolgung von Lieferantenverträgen, Redlines, Terminen und anderen wichtigen Attributen wird sichergestellt, dass wichtige Bestimmungen zu Verfügbarkeit, Lieferung oder Geschäftskontinuität von Beginn der Geschäftsbeziehung an gut verwaltet werden. SLAs und KPIs können dann aus dem Vertrag extrahiert werden, um sie kontinuierlich zu überprüfen und zu verwalten, wodurch ein zentraler Speicherort für die proaktive Verfolgung wichtiger Kennzahlen entsteht. Wenn ein Lieferant aufgrund finanzieller Schwierigkeiten seinen Verpflichtungen nicht nachkommen kann, können vereinbarte Vertragsbestimmungen dazu beitragen, die Auswirkungen auf Ihr Unternehmen zu mildern.
2. Profil und Stufe von Dritten, um die Kritikalität zu verstehen
Zu wissen, welche Drittanbieter und Lieferanten für Ihren Betrieb von entscheidender Bedeutung sind, ist ein wichtiger Schritt bei der Bewertung Ihres Risikos für den Fall, dass diese ausfallen sollten. Wenn ein Anbieter/Lieferant direkt die Bereitstellung von Dienstleistungen oder Produkten für Ihre Kunden unterstützt, sollten Sie die folgenden Einstufungskriterien berücksichtigen:
- Standort: Gibt es bestimmte rechtliche oder regulatorische Aspekte zu beachten (z. B. zusätzliche Datenschutzmaßnahmen gemäß DSGVO)? Sind sie geopolitischen Risiken ausgesetzt oder befinden sie sich in einem Gebiet, das anfällig für Naturkatastrophen ist, sodass Failover-Standorte erforderlich sein könnten?
- Prozesse und Daten: Hat der Dritte direkten Zugriff auf kundenbezogene Prozesse? Hat er Zugriff auf Ihre geschützten Kundendaten?
- Abhängigkeiten von Drittanbietern: Gibt es Unterauftragsvereinbarungen oder ist der Drittanbieter in hohem Maße von einem bestimmtenTechnologieanbieter (was auf ein Konzentrationsrisiko hindeutet) abhängig?
- Finanzielle Lage und Ruf: Ist der Anbieter/Lieferant finanziell gesund und hat er einen guten Ruf?
Ein effektiver Prozess zur Einstufung und Kategorisierung ermöglicht es Ihnen, das inhärente Risiko zu berechnen und gleichzeitig den Umfang und die Häufigkeit laufender Bewertungen und anderer Due-Diligence-Maßnahmen festzulegen.
3. Bewertung der Geschäftskontinuitätspraktiken von Drittanbietern anhand von Best-Practice-Rahmenwerken
Sobald Drittanbieter integriert sind und eine inhärente Risikobewertung zur Ermittlung der Kritikalität durchgeführt wurde, sollten Sie den Drittanbieter anhand eines branchenüblichen Rahmens für die Geschäftskontinuität bewerten. NIST, ISO, SIG und andere Standards enthalten Bestimmungen zur Geschäftskontinuität in ihren Rahmenwerken. Eine Lösung zur Bewertung der Geschäftskontinuität bietet folgende Vorteile:
- Bieten Sie Flexibilität bei Bewertungsvorlagen und ordnen Sie Antworten automatisch dem Rahmenwerk zur Messung von Best Practices oder Compliance zu.
- Generieren Sie nach Abschluss der Umfrage automatisch ein Risikoregister, damit Sie fehlende oder unzureichende Kontrollen durch Dritte erkennen und priorisieren können.
- Identifizieren Sie Ausreißer in den Bewertungen, die eine weitere Untersuchung rechtfertigen könnten.
- Automatisieren Sie Maßnahmen auf Grundlage von Bewertungsergebnissen, beispielsweise durch Erhöhen einer Risikobewertung oder Auslösen eines Analyseprozesses.
- Empfehlungen zur Abhilfe geben, um Dritten dabei zu helfen, ein Risiko oder einen Kontrollfehler zu mindern
- Beziehungen zwischenvierten und N-Parteien abbilden, Abhängigkeiten und Informationsflüsse darstellen
Bewertungen der Geschäftskontinuität durch Dritte sollten regelmäßig durchgeführt werden, nicht nur zu Beginn einer Geschäftsbeziehung, um sicherzustellen, dass die Pläne des Anbieters auf dem neuesten Stand sind.
4. Kontinuierliche Überwachung von Dritten hinsichtlich finanzieller und betrieblicher Störungen
Punktuelle Bewertungen sind ein wertvoller und notwendiger Bestandteil des Risikomanagements von Drittanbietern, aber zwischen den regelmäßigen Bewertungen kann viel passieren. Aus diesem Grund sollten Sie zusätzlich zu den Cybersicherheitsdaten auch öffentliche und private Quellen mit geschäftlichen und finanziellen Informationen zu Anbietern kontinuierlich verfolgen und analysieren, um die Antworten aus den Bewertungen zu validieren. Zu den gängigen Quellen gehören:
- Cyber: Kriminelle Foren; Onion-Seiten; Dark-Web-Foren mit besonderem Zugang; Bedrohungs-Feeds; Paste-Seiten für durchgesickerte Anmeldedaten; Sicherheits-Communities; Code-Repositorys; Schwachstellen-Datenbanken; Historie von Datenverstößen
- Wirtschaftsnachrichten: M&A-Aktivitäten, Unternehmensnachrichten, negative Nachrichten, regulatorische und rechtliche Informationen, operative Updates
- Finanzen: Organisatorische Veränderungen und finanzielle Leistung, Umsatz, Gewinn und Verlust, Eigenkapital, Liquidität
- Reputation: Sanktionslisten, Profile politisch exponierter Personen
Die Herausforderung, vor der viele Unternehmen stehen, wenn sie versuchen, ihre Lieferanten zu überwachen, ist die schiere Anzahl von Datenquellen, die regelmäßig manuell gepflegt werden müssen. Eine konsolidierte Lösung zur Überwachung von Risiken durch Dritte sammelt Daten aus diesen Quellen und integriert sie in Bewertungsplattformen, um die Ergebnisse zu validieren. Ein stärker automatisierter Ansatz hilft Ihnen, potenzielle Geschäftsunterbrechungen oder finanzielle Probleme durch Dritte proaktiver zu erkennen und geeignete Maßnahmen zu ergreifen, bevor Ihr Unternehmen davon betroffen ist.
5. Bringen Sie Ihr eigenes Haus in Ordnung
Bevor Sie Anbieter und Lieferanten nach ihren Plänen zur Geschäftskontinuität fragen, sollten Sie sicherstellen, dass Ihr Unternehmen selbst über einen solchen Plan verfügt. Zu den wichtigsten Elementen eines Plans zur Geschäftskontinuität gehören:
- Anbieter- und Anlageninventar: Hier ist ein Plan zur Einstufung und Profilerstellung hilfreich.
- Verfahren zur Aufrechterhaltung des Geschäftsbetriebs:
Ermittlung des Schweregrads von Ausfällen oder Störungen und Dokumentation von Plänen zur Umsetzung von Gegenmaßnahmen. - Kommunikationsplan für Störungen:
Zusammenstellung von Listen mit internen und externen Kontakten, um angesichts der sich entwickelnden Situation auf dem Laufenden zu bleiben. - Ausfall- oder Notfallpläne: Was sind die Pläne, wann sollen sie umgesetzt werden und was ist ein normaler Betrieb?
- Zeitpläne: Definition der Wiederherstellung und Wiederaufnahme des Betriebs.
Der Business Continuity- und Resilienzplan Ihres Unternehmens sollte regelmäßig von einem multidisziplinären Team überprüft werden, um sicherzustellen, dass er aktuell und für alle Bereiche des Unternehmens relevant ist. Es ist wichtig zu beachten, dass ein Business Resilience-Plan bei Naturkatastrophen, Pandemien, Lieferantenausfällen, finanziellen Problemen oder bei Cybersicherheitsvorfällen wie Ransomware-Angriffen gleichermaßen wertvoll ist.
Nächster Schritt: Laden Sie den kostenlosen Fragebogen zu betrieblicher und finanzieller Resilienz von Drittanbietern herunter.
Um Ihnen und Ihrem Team den Einstieg in die Ermittlung der Geschäftskontinuitätspraktiken Ihrer Lieferanten und Zulieferer zu erleichtern (und Ihre eigenen zu stärken), haben wir einen Fragebogen mit 10 Fragen zur Bewertung operativer und finanzieller Risiken entwickelt. Der Fragebogen wurde speziell dafür konzipiert, um festzustellen, ob Dritte die notwendigen Maßnahmen zur Geschäftskontinuität umgesetzt haben, um den Betrieb während Rezessionen und anderen wirtschaftlichen Turbulenzen aufrechtzuerhalten. Die Umfrage kann auch an die spezifischen Anforderungen und Richtlinien Ihres Unternehmens angepasst werden. Darüber hinaus bieten wir zusätzliche Vorlagen für Ressourcen zur Geschäftskontinuität an, um umfassendere Fragen der Kontinuität zu behandeln.
Laden Sie den Fragebogen zu operativer und finanzieller Resilienz von Drittanbietern herunter oder vereinbaren Sie noch heute eine Demo-
,
um zu erfahren, wie Prevalent Ihnen helfen kann.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
