Anhaltende pandemiebedingte Unterbrechungen der Lieferkette. Eine zunehmende Zahl von Datenschutzverletzungen, die auf Dritte abzielen. Stärkere behördliche Kontrolle der Unternehmensführung. Wenn uns die letzten 18 Monate etwas gelehrt haben, dann, dass Widerstandsfähigkeit und Flexibilität zu den am meisten geschätzten geschäftlichen - und persönlichen - Qualitäten gehören. Da viele Unternehmen derzeit für das Jahr 2022 planen, ist jetzt eine gute Gelegenheit, auf die Erkenntnisse des Jahres 2021 zurückzublicken, um die Agilität und Widerstandsfähigkeit Ihres Risikomanagementprogramms für Dritte weiter zu verbessern.
Auf der Grundlage von Hunderten von Kunden- und Branchengesprächen, die wir im letzten Jahr geführt haben, erfahren Sie hier, was Sie unserer Meinung nach in den nächsten 12 Monaten erwarten sollten und wie Sie Ihre Programme entsprechend anpassen können.
Anmerkung des Herausgebers: Fünf der folgenden Prognosen wurden ursprünglich in einem Artikel auf VMBlog.com veröffentlicht, der ebenfalls von Brad Hibbert von Prevalent verfasst wurde.
1. Ransomware wird im Jahr 2022 die wichtigste Taktik bei Angriffen auf die Software-Lieferkette und Datenschutzverletzungen durch Dritte sein
Nach einem herausragenden Jahr mit viel beachteten Ransomware-Angriffen, die von Drittanbietern ausgingen (z. B. Kaseya
und andere), wird es 2022 nur noch mehr geben, da Cyberkriminelle ihre Angriffsmethoden weiter perfektionieren, ihre Raffinesse erhöhen und dem Geld folgen. Zu den Hauptangriffszielen werden Drittanbieter gehören, die Waren und Dienstleistungen für die Automobilindustrie, mittelständische Banken und den Einzelhandel liefern.
Aufgrund des Volumens und der Kritikalität der Daten und Systeme, zu denen sie Zugang haben, werden Drittanbieter zu den Hauptzielen gehören.
Unternehmen tun gut daran, im Jahr 2022 proaktive Risikobewertungen von Ereignissen einzuführen und eine kontinuierliche Überwachung von Cyberangriffen und Sicherheitsverletzungen zu implementieren, um ein Frühwarnsystem für potenzielle Angriffe auf ihr Ökosystem von Drittanbietern zu erhalten.
Bonus-Stretch-Vorhersage: Trotz der Zunahme von Ransomware-Angriffen auf Organisationen des Gesundheitswesens werden Cyberkriminelle im Jahr 2022 ein Gewissen bekommen und aufgrund des Risikos des Verlusts unschuldiger Menschenleben aufhören, Krankenhäuser anzugreifen. Schließlich gibt es eine Ehre unter Dieben.
2. Das Risikomanagement für Dritte ist nicht mehr nur ein Kästchen, obwohl die Einhaltung der Vorschriften der wichtigste organisatorische Faktor ist
Obwohl viele Unternehmen versuchen, robustere Risikomanagementprogramme für Dritte zu implementieren, um die Anforderungen an die Informationssicherheit und den Datenschutz zu erfüllen, wissen wir alle, dass die Einhaltung der Vorschriften nur eine Mindestschwelle darstellt. Unternehmen können zwar eine Vielzahl von Cybersicherheitsstandards einhalten, aber dennoch Risiken ausgesetzt sein, die beispielsweise die Widerstandsfähigkeit des Unternehmens oder Umwelt-, Sozial- und Governance-Risiken (ESG) betreffen.
Risikoscheue Unternehmen werden jedoch über die Einhaltung von Vorschriften hinausgehen und in eine spürbare Risikominderung investieren. Zu den wichtigsten Faktoren, die diesen Trend ermöglichen, gehören die Differenzierung von Mitbewerbern im Wettbewerb um neue Geschäfte und der Schutz bestehender Geschäfte.
Da viele Compliance-Standards und -Rahmenwerke Spielraum für Interpretationen und Anpassungen lassen, werden sich die Kunden zunehmend bewusst, dass ein Zertifikat nicht gleichbedeutend mit Risikofreiheit ist, und verlangen im Gegenzug mehr Einblick und Klarheit über die Aktivitäten zur Risikominderung. Versuchen Sie, Ihre Compliance-Bemühungen auf neue Bereiche auszudehnen, wobei der Schwerpunkt nicht nur auf der Erfüllung der Anforderungen liegt, sondern auf dem Nachweis einer tatsächlichen Risikominderung im Laufe der Zeit.
3. Ein erhöhtes Bewusstsein auf Vorstands- und Geschäftsführungsebene für das Risikomanagement bei Dritten bedeutet, dass bessere Messgrößen benötigt werden
Möglicherweise aufgrund der zunehmenden Zahl von Datenschutzverletzungen durch Dritte, der anhaltenden pandemiebedingten Unterbrechungen der Lieferkette und der neuen aufsichtsbehördlichen Transparenz in Bezug auf ESG ist das Risikomanagement von Dritten ein häufiges Thema unter Führungskräften und Vorständen.
Bis zum Jahr 2022 werden die Führungskräfte nachweisbare Verbesserungen in Bezug auf die Risikominderung suchen, um die Ausgaben für das Risikomanagement für Dritte kontinuierlich zu rechtfertigen. Dies bedeutet eine erneute Konzentration auf Kennzahlen, die ein aussagekräftiges Bild des Drittparteirisikos zeichnen. Programme für Drittanbieter werden an ihrer Fähigkeit gemessen werden, die Behebung von Risiken und ethische Fortschritte nachzuweisen, ohne den normalen Geschäftsbetrieb zu behindern, und gleichzeitig Kostenkontrolle und Effizienz zu demonstrieren. Dies erfordert, dass Sie Ihre Berichterstattung über die Anzahl der durchgeführten Bewertungen hinaus weiterentwickeln, um festzustellen, wie viel Risiko Sie aus dem Geschäft genommen haben.
4. Bestimmte Tätigkeiten im Zusammenhang mit Dritten, die von der Beschaffung, der Rechtsabteilung, dem Risikomanagement und der IT-Abteilung durchgeführt werden, werden im Rahmen des Vendor Lifecycle Management zusammengeführt.
Im Laufe des Jahres 2021 haben wir eine allmähliche, aber stetige Konvergenz von Teams, die mit Drittanbietern zu tun haben, in einem konsolidierten Arbeitsablauf beobachtet. Diese Teams - zuständig für alles von der Beschaffung
und Onboarding
Diese Teams - die für alles von der Beschaffung und dem Onboarding neuer Anbieter bis hin zur Verwaltung ihrer Leistung im Laufe der Zeit zuständig sind - werden weiterhin Risikoinformationen aus ähnlichen Datenquellen nutzen und beginnen, die Erkenntnisse ihrer Kollegen bei der Unterstützung von Vertragsverhandlungen und Diskussionen im Zusammenhang mit ihren jeweiligen Arbeitsbereichen zu nutzen. Jedes Team wird weiterhin eine Schlüsselrolle im Lebenszyklus von Drittanbietern spielen, und die Konnektivität zwischen den Systemen wird den Prozess rationalisieren, um ein effizientes Onboarding und Offboarding zu unterstützen.
Dies wird sich bis 2022 auszahlen, da sowohl die Drittparteien als auch die Unternehmen von einem vereinfachten, einheitlichen Prozess mit weniger Wiederholungen profitieren werden. Um diesem Trend Rechnung zu tragen, sollten Sie Ihre bestehenden Arbeitsabläufe
und Daten, um festzustellen, ob sie von mehreren Beteiligten genutzt werden können.
5. Verstärkte Konzentration auf die Prüfung von Anbietern und die vorvertragliche Sorgfalt
Programme für das Risikomanagement von Drittanbietern haben weiterhin Nachholbedarf bei alten Verträgen, die keine ausreichenden risikobasierten Klauseln enthalten und bei denen die Risikosituation vor der Unterzeichnung nicht sorgfältig geprüft wurde. Anstatt reaktiv auf Mängel zu reagieren, wird im Jahr 2022 ein pragmatischerer Ansatz verfolgt, um das Risiko, das von einem Dritten ausgeht, im Vorfeld zu ermitteln und, was wichtig ist, Abhilfemaßnahmen und Lösungen als notwendige Verpflichtungen zu definieren, um einen Vertrag zu sichern.
Leicht zugängliche Einblicke in die Leistung von Drittanbietern durch passives Cyber-Scanning, Korrelation von Geschäftsereignissen, Sicherheitsverletzungen, ESG-Vergleiche und finanzielle Bewertungen zeichnen ein aussagekräftiges Bild, noch bevor Sie eine Bewertung des Drittanbieters abschicken, und rechtfertigen die Ausgaben auch im Verhandlungsprozess. Überprüfen Sie, wie Sie die Due-Diligence-Prüfung vor Vertragsabschluss durchführen, inventarisieren Sie Ihre Datenquellen und überlegen Sie, wie Sie diese Informationslücken schließen können.
6. Stärkerer Fokus auf nicht-IT-sicherheitsbezogene Risikodimensionen, einschließlich ESG, Gesundheit und Sicherheit, Vielfalt und Ethik
Während ESG und Ethik bisher oft nur als Anhängsel zu Verträgen dienten (tatsächlich verfolgt weniger als die Hälfte der Unternehmen diese Risiken aktiv), ermöglicht es die bessere Verfügbarkeit von Daten und Berichten den Unternehmen, Dritte in diesen Bereichen stärker zur Verantwortung zu ziehen. Da das erneute Interesse von Verbrauchern und Kollegen die ethische Beschaffung vorantreibt, erwarten Führungskräfte zunehmend einen solideren Prozess mit aussagekräftigen Metriken, um Fortschritte nachzuweisen.
Bis zum Jahr 2022 wird die ethische Beschaffung zunehmend in den Bewertungs- und Überprüfungsprozess eingebettet sein und nicht mehr nur als bare Münze genommen werden. Dritte spielen eine wichtige Rolle, wenn es darum geht, handlungsfähige Veränderungen in der Unternehmensethik zu demonstrieren, was ein zunehmend marktfähiges Instrument sein wird. Um diesem Trend im Jahr 2022 Rechnung zu tragen, sollten Sie sich ansehen, wie Sie Ihre Drittparteien bewerten. Kann der Markenwert Ihres Unternehmens einen Imageschaden verkraften, wenn ein Lieferant seinen ethischen Verpflichtungen nicht nachkommt?
7. Stärkere Betonung der Verfolgung und Durchsetzung von Verpflichtungen nach Vertragsabschluss (z. B. KRIs und SLAs)
Ergänzend zu unserer früheren Vorhersage einer verstärkten Due-Diligence-Prüfung vor Vertragsabschluss wird im Jahr 2022 ein größerer Schwerpunkt auf die Leistung nach Vertragsabschluss gelegt. Das Management der Lieferantenbeziehungen im Laufe des Lebenszyklus eines Anbieters wurde in der Vergangenheit oft von Projektteams und Geschäftssponsoren übernommen, die oft zu beschäftigt sind, um Erkenntnisse und Bedenken an einem zentralen Ort zu konsolidieren. Dies führt dazu, dass das "Stammeswissen" über die Leistung von Drittanbietern oft über das gesamte Unternehmen verstreut ist und bei der Abwanderung von Teams verloren geht.
Im Jahr 2022 wird man sich verstärkt darauf konzentrieren, die Konsistenz und Zentralisierung des iterativen Leistungsmanagements von Anbietern zu fördern. Dies wird durch die Vorteile, die es bietet, wie z. B. wirksame Verhandlungsinstrumente und Hebel, sowie durch die mit den Ergebnissen verbundene Transparenz der Belastbarkeit/Sicherheitsrisiken vorangetrieben. Generell sollten Unternehmen ihre Programme für das Risikomanagement von Drittanbietern so anpassen, dass das Risiko in jeder Phase des Lebenszyklus des Anbieters berücksichtigt wird, nicht nur beim Onboarding oder einmal pro Jahr bei der Erneuerung.
8. Größere Offenheit für die Inanspruchnahme von Managed Services zur Ergänzung interner Teams und zur Ermöglichung einer Skalierung über Top-Tier-IT-Anbieter hinaus
Da sich die Erwartungen an das Risikomanagementprogramm von Drittanbietern mit der Konvergenz der verschiedenen Zielgruppen und der zu verwaltenden Risikokriterien weiterentwickeln, steigt der damit verbundene Aufwand und das Fachwissen wird knapper. Neue Risiken bedeuten, dass die Informationssicherheit nicht mehr das einzige Spiel in der Stadt ist. Allerdings ist dieses Fachwissen nicht immer ohne weiteres intern verfügbar, und es stehen auch nicht die Mechanismen oder Ressourcen zur Verfügung, um die Risiken zu erfassen und angemessen zu dokumentieren. Infolgedessen erkennen immer mehr Risikomanagement-Teams ihre Wissens- und Ressourcenlücken und ziehen mehr ausgelagerte Dienstleistungen in Betracht, um ihre Programme zu bereichern.
Im Jahr 2022 sollten Sie eine interne Kompetenz- und Ressourcenbewertung vornehmen, um festzustellen, ob die Auslagerung eines Teils Ihres Risikomanagementprogramms an Dritte Ihrem Team die Möglichkeit gibt, seine Bemühungen zur Risikominderung zu beschleunigen. Viele Kunden berichten beispielsweise, dass sie durch die Nutzung von Managed Services ihre manuelle Arbeit um 50 % reduzieren, die Risikoidentifizierung um 44 % beschleunigen und die Produktivität ihres Teams um den Faktor 3 bis 4 steigern konnten.
9. Eine tiefere Analyse ist erforderlich, um den Bedarf an organisatorischer Risikobewertung zu ermitteln.
Da die Anbieter weiterhin mit der lästigen Anforderung konfrontiert sind, dieselben Informationen auf unterschiedliche Weise darzustellen, werden diejenigen, die den Luxus haben, dies abzulehnen, dies zunehmend tun. Stattdessen werden Dritte vorgefertigte Materialien wie ISO- oder SOC-II-Berichte anbieten, die die Unternehmen unter Druck setzen werden, eine tiefere Analyse und Zuordnung zu ihren internen Bedürfnissen vorzunehmen.
Auch wenn dies als nachteilig erscheinen mag, wenn es nicht mit dem Risikomanagementprogramm des Drittanbieters übereinstimmt, besteht ein versteckter Vorteil darin, dass der Drittanbieter wahrscheinlich verhältnismäßig mehr Aufwand in die Erstellung hochwertiger Antworten und Artefakte investiert hat. Die Herausforderung im Jahr 2022 wird daher darin bestehen, diese robusteren Materialien in die bevorzugte Struktur zu übertragen, um eine echte Analyse der Kontrollen zu ermöglichen. Halten Sie nach Lösungen Ausschau, die eine automatische Zuordnung von Risikokontrollen ermöglichen, um mehrere Anforderungen zu erfüllen.
10. Einige Unternehmen werden ihre TPRM-Programme auf die Risiken der 4. und N. Partei ausweiten.
Während die Programme für das Risikomanagement von Drittanbietern weiterhin um die Kontrolle über ihren Bestand an Drittanbietern ringen, beginnen einige Organisationen, über die Drittanbieter hinauszugehen und die Risiken zu berücksichtigen, die von ihren Drittanbietern ausgehen. Diese Entwicklung erfordert einen Wechsel von einer auf die Einhaltung von Vorschriften ausgerichteten Sichtweise zu einer stärker risikoorientierten Sichtweise.
Im Jahr 2022 werden Verbesserungen in der Technologie und ein größeres Vertrauen in und Bewusstsein für die breitere Lieferkette bedeuten, dass es zur Norm wird, die vorgelagerten 4. Unternehmen sollten darauf vorbereitet sein, eine Beziehungskarte zu erstellen, die die Verbindungen und Datenflüsse in ihrem Lieferantenökosystem visuell darstellt.
Bereiten Sie Ihr TPRM-Programm auf das Jahr 2022 vor
Die Untersuchung dieser 10 wichtigsten Trends wird Ihr TPRM-Programm auf eine solide Grundlage für 2022 und darüber hinaus stellen und sicherstellen, dass Sie agil und bereit für die Zukunft sind. Registrieren Sie sich für eine kostenlose Bewertung des Reifegrads Ihres TPRM-Programms, um loszulegen. Das Ergebnis dieser Bewertung zeigt Ihnen, welche Schritte Sie unternehmen müssen, um Ihr Programm zu verbessern. Oder kontaktieren Sie uns noch heute für ein Strategiegespräch.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
