In einer zunehmend vernetzten Geschäftswelt ist es nicht mehr akzeptabel, Risiken für Ihr Unternehmen aufgrund mangelhafter Sicherheitspraktiken Ihrer Partner, Anbieter oder Lieferanten zu ignorieren. Cyberkriminelle wissen, dass der einfachste Weg, in ein Unternehmen einzudringen, über dessen Drittanbieter führt.
Tatsächlich ergab die Prevalent 2023 Third-Party Risk Management Study, dass 41 Prozent der Unternehmen in den letzten 12 Monaten eine schwerwiegende Datenverletzung durch Dritte erlebt haben. Infolgedessen werden Teams für Informationssicherheit zunehmend in die Bemühungen um Programme zum Risikomanagement durch Dritte (TPRM) einbezogen.
Vorteile der Weiterentwicklung Ihres Risikomanagementprogramms für Dritte
Die kontinuierliche Weiterentwicklung Ihres TPRM-Programms ist entscheidend, um den sich ständig verändernden Risiken durch Dritte immer einen Schritt voraus zu sein. Ein ausgereiftes TPRM-Programm hat mehrere Vorteile:
- Ausgereifte Programme schützen ein Unternehmen besser, indem sie sicherstellen, dass Drittanbieter, Lieferanten und Partner zu Beginn und während der gesamten Geschäftsbeziehung ordnungsgemäß überprüft und überwacht werden.
- Ausgereiftere TPRM-Programme sind auch effizienter und effektiver. Durch die Einrichtung wiederholbarer Prozesse kann Ihr Unternehmen Risiken mit weniger manuellen Ad-hoc-Prozessen bewerten und überwachen, die zu Störungen, Verstößen oder Geldstrafen führen könnten.
- Ein ausgereiftes TPRM-Programm verbessert die Entscheidungsfindung, indem es einen besseren Einblick in die Beziehungen zu Dritten bietet. Dadurch können Teams fundiertere Entscheidungen darüber treffen, mit wem sie zusammenarbeiten, welche Fragen sie im Rahmen dieser Beziehungen stellen sollten und wann eine Beziehung beendet werden sollte.
Trotz dieser offensichtlichen Vorteile kann der Aufbau und die Weiterentwicklung eines TPRM-Programms eine Herausforderung darstellen. Um dieser Herausforderung zu begegnen, behandelt dieser Artikel:
- Überprüft die Herausforderungen, denen Teams beim Aufbau und der Skalierung ausgereifterer Prozesse gegenüberstehen, sowie die Arten von Risiken, die gemanagt werden sollten.
- Definiert die Reife des TPRM-Programms im Kontext des Capability Maturity Model, einem gängigen Rahmenwerk zur Messung der Reife.
- Untersucht jede Stufe des TPRM-Reifegradmodells und die Schritte, die erforderlich sind, um zu einem höheren Reifegrad zu gelangen.
Herausforderungen bei der Weiterentwicklung Ihres Risikomanagementprogramms für Dritte
Bevor wir definieren, wie ein ausgereiftes TPRM-Programm aussieht, sollten wir uns mit den üblichen Herausforderungen befassen, denen Unternehmen gegenüberstehen und die ihre Reife hemmen.
Silos instand halten
In vielen Unternehmen liegt die Verantwortung für TPRM beim IT-Sicherheitsteam, aber die Beschaffung ist für die Beziehungen zuständig. Andere Teams im Unternehmen, wie beispielsweise die Rechtsabteilung, haben in der Regel ebenfalls Einfluss auf die Beziehungen zu Dritten. Wenn die verschiedenen Teams in Ihrem Unternehmen keine Daten austauschen oder keine gemeinsamen Prozesse nutzen, wird es schwierig sein, Ihr Programm aufzubauen und zu skalieren.
Manuelle Prozesse verwenden
Die Verfolgung von Anforderungen, Antworten von Lieferanten und Maßnahmen zur Risikominderung in Tabellenkalkulationen oder gemeinsam genutzten Dokumenten ist fehleranfällig und führt häufig zu Dateninkonsistenzen. Dieser Ansatz ist außerdem nicht überprüfbar, wenn Änderungen vorgenommen werden. Vor allem aber sind manuelle Prozesse einfach nicht skalierbar. Während es möglich sein mag, einen einzelnen Lieferanten mithilfe einer Tabellenkalkulation zu verfolgen, ist die manuelle Verwaltung von Hunderten oder Tausenden von Lieferanten unmöglich.
Fokus ausschließlich auf Onboarding
In den meisten Fällen werden vor der Aufnahme eines neuen Lieferanten Risikobewertungen durch Dritte durchgeführt. Obwohl erste Bewertungen natürlich wichtig sind, umfassen ausgereifte TPRM-Programme eine kontinuierliche Überwachung aller Risikofaktoren bei allen Lieferanten. Schließlich sind Risiken nicht statisch. Sie können sich erhöhen, wenn ein Lieferant einen Wechsel in der Geschäftsführung durchführt, einen Geschäftsbereich verkauft, eine Cybersicherheitsverletzung erleidet oder eine behördliche Prüfung nicht besteht. Das Risiko kann sich auch verringern, wenn ein neues Produkt eingeführt wird oder ein Lieferantenwechsel zu einer Qualitätsverbesserung oder Kostensenkung führt.
Keine Transparenz bei vierten und weiteren Parteien
Das Risiko geht über Ihre direkten Partner und Lieferanten hinaus. Auch die Lieferanten Ihrer Lieferanten – sogenannte 4th und Nth Parties – können ein Risiko darstellen. Die meisten TPRM-Programme – insbesondere manuelle Programme – sind nicht in der Lage, diese erweiterten Parteien angemessen zu identifizieren und zu überwachen.
Arten von Risiken durch Dritte, die von ausgereiften TPRM-Programmen abgedeckt werden
Eine weitere Herausforderung, der sich Ihr Unternehmen auf dem Weg zu einem ausgereiften TPRM-Programm stellen muss, ist das Verständnis der operativen Risiken, die entstehen, wenn ein Anbieter oder Lieferant die erforderlichen Service Level Agreements (SLAs) nicht erfüllen kann. Ein ausgereifteres Programm ermöglicht es Ihnen jedoch, ein breiteres Spektrum an Bedrohungen und Risiken zu erkennen, darunter:
Cyberrisiko
Cybersicherheit ist bei der Risikobewertung von Drittanbietern von entscheidender Bedeutung. Ransomware, Distributed Denial of Service (DDoS) und andere Angriffe können Ihr Unternehmen lahmlegen und es Ihnen unmöglich machen, Ihren geschäftlichen Verpflichtungen nachzukommen. Der SolarWinds-Hack im Jahr 2020, bei dem Angreifer die Orion-Codebasis von SolarWinds kompromittierten, um Hintertüren zu installieren, war zwar der vielleicht bedeutendste Cyberangriff der letzten Jahre, aber keineswegs der einzige Angriff auf Dritte.
- Ein Angriff auf Latitude Financial Services, einen führenden australischen Anbieter von Privatkrediten, legte persönliche Daten von über 330.000 Kunden zweier Dienstleister von Latitude offen. Zu den offengelegten Daten gehörten Reisepässe und Passnummern. Die Angreifer drangen in das System eines Lieferanten ein, um an die Anmeldedaten von Latitude-Mitarbeitern zu gelangen.
- Kundeneigene Netzwerkinformationen (CPNI) von über 9 Millionen Mobilfunkkunden von AT&T wurden gestohlen, nachdem Angreifer in das System eines Marketinganbieters von AT&T eingedrungen waren.
- Die persönlichen Daten von Millionen von Rentnern der Gewerkschaft United Auto Workers wurden vom Leistungsadministrator NationBenefits gestohlen – darunter Krankenversicherungsnummern, Medicare-Informationen und Sozialversicherungsnummern. Die Angreifer nutzten eine Schwachstelle in der von NationBenefits verwendeten Dateiübertragungssoftware aus, um sich Zugang zu verschaffen.
Compliance-Risiko
Die meisten Unternehmen unterliegen einer Vielzahl sich ständig weiterentwickelnder regulatorischer Anforderungen zum Schutz sensibler Daten und Systeme. Viele dieser Vorschriften, darunter HIPAA, der California Consumer Privacy Act (CCPA), der Virginia Consumer Data Protection Act und die Europäische Datenschutz-Grundverordnung (DSGVO), verpflichten Unternehmen zum Schutz der privaten Daten ihrer Verbraucher, Kunden und Mitarbeiter. Andere Vorschriften betreffen den Schutz nicht öffentlicher Finanzdaten. Verstöße können zu Geldstrafen und Rufschädigung führen.
Finanzielles Risiko
Beschaffungsteams müssen Einblick in die finanzielle Stabilität ihrer Drittanbieter und Lieferanten haben, einschließlich der Schulden ihrer Lieferanten und der Kredite, die sie ihren Kunden gewähren. Eine Insolvenzerklärung kann zu Geschäftsverlusten und Unterbrechungen der Lieferkette führen.
Soziale Verantwortung von Unternehmen
Die Bedenken der Anleger hinsichtlich Umwelt-, Sozial- und Governance-Praktiken (ESG) nehmen weiter zu. So wurde beispielsweise nach dem Einmarsch Russlands in die Ukraine für viele Unternehmen die Zusammenarbeit mit Firmen, die mit der russischen Regierung verbunden sind, unattraktiv. Unternehmen müssen sich auch gegen Vorwürfe schützen, dass ihre Lieferkette in Menschenrechtsverletzungen, Kinderarbeit oder Umweltschäden verwickelt ist.
Reputationsrisiko
Negative Medienberichte oder schlechte Nachrichten über einen Lieferanten können den Ruf seiner Kunden schädigen. Das kann passieren, wenn der Lieferant in unethische Einstellungspraktiken, Qualitätsprobleme bei seinen Produkten, kriminelle Aktivitäten oder Umweltkatastrophen verwickelt ist.
Definition der TPRM-Reife anhand des Capability Maturity Model
Im Allgemeinen zeichnen sich weniger ausgereifte Programme durch unvorhersehbare oder schlecht kontrollierte Prozesse aus, während ausgereiftere Programme proaktiv, vorhersehbar, gemessen und kontrolliert sind. Ein Reifegradmodell kann einen Entwurf für die Bewertung und Weiterentwicklung der Geschäftspraktiken Ihres Unternehmens zu einem bestimmten Zeitpunkt liefern und dabei helfen, einen Weg zu einem höheren Prozessreifegrad zu definieren. In diesem Dokument nutzen wir das Capability Maturity Model, das Ende der 1980er Jahre von Watts Humphries und anderen am Software Engineering Institute der Carnegie Mellon University entwickelt wurde, als Grundlage für die Untersuchung des Reifegrades von TPRM-Programmen.
Das Capability Maturity Model berücksichtigt, dass sich Prozesse im Laufe der Zeit weiterentwickeln und dass Unternehmen mit zunehmender Erfahrung und Wissen ihre Prozesse verbessern können, um effizienter, effektiver und berechenbarer zu werden. Das Reifegradmodell kann auf jede Art von Unternehmensprozess angewendet werden, darunter Softwareentwicklung, Projektmanagement, Qualitätssicherung oder Kundensupport.
Die 5 Säulen der TPRM-Reife
Das Capability Maturity Model für das Risikomanagement von Drittanbietern untersucht fünf wichtige Säulen, die für den aktuellen und anhaltenden Erfolg eines TPRM-Programms erforderlich sind. Innerhalb jeder Säule untersuchen wir weniger ausgereifte und ausgereiftere Ansätze.
1. Abdeckung von Unternehmen
Die meisten Unternehmen beginnen ihre TPRM-Programme mit der Bewertung ihrer wichtigsten Lieferanten. Dies ist ein logischer Ansatz, aber Risiken können von jedem Unternehmen ausgehen. Ausgereiftere Unternehmen verfügen über eine einheitliche Methode zur Einstufung oder Risikobewertung von Lieferanten, um sicherzustellen, dass alle in das Programm einbezogen werden, einschließlich Lieferanten der 4. und N. Ebene.
2. Inhalt
Fragebögen zur Risikobewertung beginnen oft als Ad-hoc-Initiativen. Die Fragen werden den Anbietern vorgelegt, und die frei formulierten Antworten werden ausgewertet. Ausgereiftere Programme überprüfen die Bewertungsfragen regelmäßig, um zu verstehen, was mit der Frage in Bezug auf das Risiko für das Unternehmen ermittelt werden soll, und gewichten die Fragen entsprechend. Ausgereiftere Programme achten auch sorgfältig darauf, dass die Anbieter die angeforderten Nachweise für die Einhaltung der Vorschriften vorlegen.
3. Rollen und Verantwortlichkeiten
Weniger ausgereifte Programme halten sich zwar an Richtlinien, verfügen jedoch nicht über eine Dokumentation der Verfahren und klar definierte Rollen und Verantwortlichkeiten. Ausgereifte Programme schulen die an der Bewertung beteiligten Personen und veröffentlichen ein Betriebshandbuch, das sie auch befolgen, um sicherzustellen, dass die Prozesse standardisiert sind. Noch ausgereiftere Programme verfügen über dokumentierte RACI-Diagramme, in denen die verantwortlichen, rechenschaftspflichtigen, konsultierten und informierten Personen im gesamten Unternehmen festgelegt sind.
4. Sanierung
Die Kennzahlen für Abhilfemaßnahmen konzentrieren sich auf die Effizienz, Standardisierung und Qualität des Risikomanagementansatzes nach der Identifizierung von Risiken. Weniger ausgereifte Programme identifizieren Risiken und fordern Abhilfemaßnahmen von Anbietern. Ausgereiftere Programme implementieren Bewertungsmechanismen, um Risiken und Abhilfemaßnahmen zu gewichten, und schreiben Anbietern standardisierte Richtlinien für Abhilfemaßnahmen vor.
5. Unternehmensführung
Zur Governance gehört auch, wie das Programm gemessen und sein Erfolg nachgewiesen wird. Weniger ausgereifte Programme verfügen nicht über ausreichende Bewertungsberichte und Programmprüfungen durch Dritte. Ausgereiftere Programme aggregieren Bewertungsdaten von Dritten, um Teams die notwendigen Informationen zur Risikomessung und Entscheidungsfindung zur Verfügung zu stellen und Drittanbieter und Lieferanten anhand von Leistungskennzahlen (KPIs) und Risikokennzahlen (KRIs) zu bewerten.
Wichtige Fragen, die Sie stellen sollten
Ein Überblick über die Programm-Säulen, die zur TPRM-Reife beitragen.
Reifegrade des Risikomanagements von Drittanbietern
Im Capability Maturity Model wird die Programmreife in jedem der fünf Bereiche auf einer Skala von fünf Stufen bewertet, die von unreif (1) bis visionär (5) reicht. Die Bewertung ist standardisiert, um sicherzustellen, dass alle TPRM-Programme auf einheitliche Weise beurteilt und bewertet werden. Auf diese Weise können Sie die Reifegradbewertung eines Anbieters mit denen von Wettbewerbern ähnlicher Größe, Komplexität und Branche vergleichen.
Das TPRM-Fähigkeitsreife-Modell.
Stufe 1: Unreif
Organisationen auf der ersten Stufe des Reifegradmodells messen TPRM keine Priorität bei. Das Risikomanagement erfolgt isoliert. Die Aktivitäten sind ad hoc und reaktiv und finden nur statt, wenn ein Problem auftritt oder wenn es offensichtliche Warnsignale seitens der Lieferanten gibt. Da die Prozesse nicht dokumentiert und nur unzureichend definiert sind, ist es unwahrscheinlich, dass eine erfolgreiche Bewertung für einen einzelnen Lieferanten wiederholbar ist.
TPRM in Stufe 1 ist ein manueller Prozess für eine begrenzte Anzahl von Lieferanten. Die Fragebögen für Lieferanten sind uneinheitlich und werden als separate Tabellenkalkulationen verteilt. Die Antworten können in narrativer Form vorliegen und sind daher schwer hinsichtlich ihres Risikos zu bewerten. Es gibt keine Standards für Risikominderungsmaßnahmen. Die Teams überwachen die Lieferanten nicht hinsichtlich der laufenden Einhaltung von Vorschriften oder neuer Risiken.
Voraussetzungen für den Aufstieg in Stufe 2: In Stufe 1 haben sich Organisationen noch nicht dazu verpflichtet, Risiken durch Dritte zu verstehen oder zu messen. Neu gegründete Teams haben noch keine Prozesse definiert und dokumentiert, die eine Wiederholbarkeit ermöglichen. Der Aufstieg in Stufe 2 erfordert zusätzliche Disziplin, um Richtlinien und Prozesse zu definieren, die eine einheitliche Vorgehensweise bei Bewertungen gewährleisten.
Stufe 2: Entwicklung
In Stufe 2 haben einige (aber nicht alle) Teams Prozesse definiert und dokumentiert, die wiederholbare Ergebnisse ermöglichen. Beispielsweise können Sicherheitsteams standardisierte Fragebögen und Anforderungen für Penetrationstests haben, oder die Finanzabteilung kann standardisierte Parameter für die Offenlegung von Finanzdaten haben. Andere Teams arbeiten jedoch weiterhin ad hoc. Dieser isolierte Ansatz führt zu inkonsistenten Bewertungen und verhindert die Skalierung von Programmen.
Ohne einen standardisierten Ansatz können Lieferanten nicht entsprechend ihrem Risikograd eingestuft werden. Dies führt zu einem höheren Risiko, wenn kritische Lieferanten nur oberflächlich bewertet werden, und zu Ineffizienzen, wenn Lieferanten mit geringem Risiko übermäßig geprüft werden. Unternehmen der Stufe 2 verwenden weiterhin Tabellenkalkulationen und gemeinsam genutzte Dokumente, wodurch ein zuverlässiges, überprüfbares und gründliches TPRM unerreichbar bleibt.
Voraussetzungen für den Aufstieg in Stufe 3: Organisationen der Stufe 2 mangelt es an Informationen, Dokumentation und Konsistenz. Sie benötigen die Unterstützung der Geschäftsleitung, um TPRM-Anforderungen für alle Funktionen zu definieren, sowie ein Mittel zur Berichterstattung über Risiken und Risikominderungsmaßnahmen. Um ein skalierbares Programm zu erreichen, ist Automatisierung erforderlich.
Stufe 3: Skalierbar
Auf Stufe 3 verfügt das TPRM über ausreichende Ressourcen und die Prozesse sind innerhalb der einzelnen Funktionen einer Organisation einheitlich. Die meisten Silos wurden abgebaut und die Teams haben ihre Aktivitäten zur Identifizierung und Bewertung von Risiken standardisiert, dokumentiert und integriert. Die Risikoüberwachung wurde über Geschäfts- und IT-Risiken hinaus auf Corporate Governance, Compliance und Reputationsrisiken ausgeweitet. Risikostufung
ist standardisiert, und Unternehmen beginnen mit der Einführung von Vertragslebenszyklusmanagement und formellen Offboarding-Verfahren.
Prozesse auf Stufe 3 sind halbautomatisiert. Beispielsweise können beim Onboarding automatisierte Fragebögen zum Einsatz kommen, während die Überwachung der Abhilfemaßnahmen und der fortlaufenden Einhaltung der Anforderungen weiterhin manuell erfolgt. Dadurch können Teams das TPRM moderat skalieren, es können jedoch weiterhin Lücken in der Transparenz bestehen bleiben.
Voraussetzungen für den Aufstieg in Stufe 4: Standardisierte Prozesse, Berichterstattung und Automatisierung sind in allen Abteilungen erforderlich. Die Berichterstattung in Stufe 3 erfolgt in der Regel durch einzelne Abteilungen. Um aufzusteigen, sollten sich Unternehmen darauf konzentrieren, Silos zu beseitigen und eine zentralisierte Berichterstattung einzuführen.
Stufe 4: Optimiert
Unternehmen der Stufe 4 betrachten TPRM als strategische Anforderung und haben ihre Richtlinien und Verfahren in allen Abteilungen standardisiert. TPRM-Teams führen automatisierte, standardisierte Lieferantenrisikobewertungen durch, einschließlich Lieferantenrisikomonitoring, Bewertungsworkflow und Remediation Management über den gesamten Lieferantenlebenszyklus hinweg. Risikominderungsmaßnahmen sind formalisiert und das Lieferantenmonitoring ist vollständig implementiert. Durch die Automatisierung ist das Programm außerdem vollständig auditierbar.
Unternehmen der Stufe 4 können TPRM auf alle Lieferanten über den gesamten Lieferantenlebenszyklus hinweg skalieren. Die Berichterstattung über KPIs und KRIs erfolgt automatisiert, und Initiativen zur kontinuierlichen Verbesserung sind datengesteuert. Die Kommunikation mit Dritten konzentriert sich auf die gegenseitigen Vorteile eines TPRM-Programms.
Voraussetzungen für den Aufstieg auf Stufe 5: Institutionalisierung eines Programms zur Überprüfung jedes Teils des TPRM-Programms, um im Laufe der Zeit schrittweise Verbesserungen zu erzielen. Mindestens einmal jährlich sind IT- und Nicht-IT-Risiken sowie Strategien zu deren Minderung zu überprüfen.
Stufe 5: Visionär
Stufe 5 ist eine ambitionierte Reifegradstufe, die nur wenige Unternehmen erreichen können. Sie steht für ein vollständig automatisiertes TPRM-Programm, das Risiken antizipiert, wirksame Kontrollen zuweist und Lieferanten hinsichtlich Cyber-, Betriebs-, Finanz-, Umwelt-, Compliance-, Reputations-, ESG- und Leistungsrisiken überwacht. Ein visionäres Unternehmen arbeitet proaktiv mit Lieferanten zusammen, um deren Geschäft zu verbessern und gleichzeitig Risiken zu senken.
Auf Stufe 5 bleibt ein Restrisiko bestehen, das jedoch bei Bedarf schnell durch formelle, bewährte Verfahren behoben und anschließend vom Unternehmen akzeptiert werden kann.
TPRM-Reifegradkriterien nach Säule und Stufe.
Der nächste Schritt auf dem Weg zur Reife Ihres TPRM-Programms: Nehmen Sie an der kostenlosen Bewertung teil
Ein ausgereiftes TPRM-Programm kann dabei helfen, potenzielle Risiken im Zusammenhang mit Beziehungen zu Dritten zu identifizieren und zu mindern, wodurch die Wahrscheinlichkeit negativer Auswirkungen auf das Unternehmen verringert wird. Durch die Vorhersage von Risiken durch Dritte können Unternehmen kostspielige Störungen sowie finanzielle und rufschädigende Schäden vermeiden. Durch die Automatisierung der Risikoidentifizierung und -kontrolle sowie die Integration der Bedürfnisse aller Beteiligten liefert ein ausgereiftes TPRM-Programm Unternehmen genauere und umfassendere Informationen über Beziehungen zu Dritten und ermöglicht so eine bessere Entscheidungsfindung.
Berechnen Sie die Reife Ihres TPRM-Programms
Ganz gleich, ob Sie gerade erst mit Ihrem Risikomanagementprogramm für Dritte beginnen oder daran arbeiten, ein bestehendes Programm weiterzuentwickeln – Prevalent kann Ihnen dabei helfen. Prevalent automatisiert das Risikomanagement für Dritte mithilfe einer einzigen Plattform, auf der Informationen zu Risiken durch Dritte gesammelt, Risiken quantifiziert, Abhilfemaßnahmen empfohlen und Berichtsvorlagen bereitgestellt werden. Die Prevalent-Plattform umfasst eine Bibliothek mit über 750 standardisierten Bewertungen, Anpassungsmöglichkeiten, kontinuierliche Risikoüberwachung sowie integrierte Workflows und Abhilfemaßnahmen.
Um anhand des Capability Maturity Model Continuum festzustellen, wo Sie mit Ihrem TPRM-Programm stehen, fordern Sie noch heute eine kostenlose Bewertung der Programmreife an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
