In der heutigen hochvernetzten und globalisierten Welt ist Ihr Unternehmen wahrscheinlich auf eine Vielzahl von Dritt-, Viert- und N-Parteien angewiesen. Jedes Unternehmen in Ihrem Lieferanten-Ökosystem oder Ihrer Lieferkette sowie jeder ihrer Lieferanten und Partner kann ein gewisses Maß an Geschäfts- und/oder Cyberrisiken für Ihr Unternehmen darstellen.
Risikomanagement-Tools von Drittanbietern können Ihrem Unternehmen dabei helfen, seine Lieferkette besser zu verstehen, die Due-Diligence-Prozesse für Lieferanten zu beschleunigen, Risiken kontinuierlich zu bewerten und zu analysieren sowie Abhilfemaßnahmen und Risikominderungen effizient zu verwalten.
Dieser Artikel befasst sich mit vier Kategorien von Risikomanagement-Tools von Drittanbietern und beleuchtet die Vor- und Nachteile der einzelnen Tools.
Warum sind TPRM-Tools wichtig?
Das Risikomanagement für Dritte (Third-Party Risk Management, TPRM) hat sich von einer einmal jährlich durchgeführten Checklistenübung zu einer unverzichtbaren täglichen Praxis entwickelt. Da die Technologie einen beispiellosen Datenaustausch und eine beispiellose Arbeitsverteilung ermöglichte, gaben viele Unternehmen die Kontrolle über ihre Daten und die Verwaltung ihrer Systeme und Prozesse an Drittanbieter ab, um im Gegenzug Effizienzsteigerungen, Kosteneinsparungen und Skaleneffekte zu erzielen. In jüngerer Zeit hat sich dieser Kontrollverlust durch die weit verbreitete Verfügbarkeit und Einführung von Cloud-basierten Softwarelösungen noch beschleunigt.
Mit der Ausweitung der Informationswirtschaft verfügen Akteure, von Einzeltätern bis hin zu Nationalstaaten, über eine immense Angriffsfläche, die ihnen mehrere Wege zu ihren ausgewählten Zielen eröffnet. Wie die jüngsten Angriffe auf die Lieferkette gezeigt haben, beispielsweise durch Ausnutzung von Schwachstellen in Technologien von SolarWinds, Kaseya und Microsoft Exchange, führt der Weg des geringsten Widerstands oft über die Lieferanten und Zulieferer eines Unternehmens.
Das Risiko durch Lieferanten beschränkt sich jedoch nicht nur auf Daten und Datenschutz. Finanzielle und marktbezogene Probleme können zu Betriebsstörungen führen. Mängel in den Bereichen Umwelt, Soziales und Unternehmensführung (ESG) können zu Rechtsstreitigkeiten und Reputationsschäden führen. Und Verstöße gegen Gesetze zur Bekämpfung von Bestechung und Korruption (ABAC) sowie gegen Gesetze zur modernen Sklaverei können zu einer Haftung Ihres Unternehmens führen.
Je komplexer Ihre Lieferkette ist und je mehr Lieferanten Sie haben, desto größer ist das Risiko, dass Sie mit Risiken durch Dritte konfrontiert werden. Deshalb ist es für die Widerstandsfähigkeit Ihres Unternehmens entscheidend, Risiken durch Dritte zu identifizieren, zu verstehen und zu bewältigen.
Welche Branchen benötigen TPRM-Tools?
Während einige Unternehmen mit kleinen, risikoarmen Lieferantengemeinschaften möglicherweise mit Tabellenkalkulationen als Standard-Tools für das Risikomanagement von Drittanbietern auskommen, sind speziell entwickelte Lösungen für das Risikomanagement von Drittanbietern für Unternehmen, die in bestimmten Bereichen tätig sind, unverzichtbar, darunter:
-
Finanzwesen, Gesundheitswesen, Versicherungen, Rechtswesen, Einzelhandel und andere Unternehmen, die mit sensiblen Kunden- oder Patientendaten umgehen
-
Kritische Dienste und Infrastruktur, wie Energie und Versorgungsunternehmen
-
Branchen mit komplexen Lieferketten, wie Automobilhersteller und andere Fertigungsunternehmen
-
Regierungsauftragnehmer, Pharmaunternehmen und andere Organisationen, die mit hochwertigem geistigem Eigentum umgehen
Wenn Sie in einer der oben genannten Branchen tätig sind oder anderweitig auf ein großes Ökosystem von Drittanbietern angewiesen sind, können Sie mit TPRM-Tools Ihre Lieferanten identifizieren und profilieren, Risikoinformationen sammeln und verwalten, die Auswirkungen von Risiken auf Ihr Unternehmen analysieren und Abhilfemaßnahmen und Risikominderungen effizient verwalten.
1. Der traditionelle Ansatz: Tools zur Steigerung der Produktivität im Büro
In der Vergangenheit waren Risikomanagementprozesse für Dritte sehr manuell und basierten in der Regel auf einer Kombination aus Fragebögen, die per E-Mail an Lieferanten verschickt wurden, wobei die Antworten in Tabellenkalkulationen erfasst wurden. Die am häufigsten verwendeten Tools für TPRM waren Standard-E-Mail- und Office-Produktivitätslösungen wie Microsoft Office.
Diese Tools erleichterten zwar die Kontaktaufnahme mit Anbietern und die grundlegende Organisation der Antworten auf Risikobefragungen, überließen jedoch die gesamte Analyse, Priorisierung, Validierung und das Management von Abhilfemaßnahmen den einzelnen Risiko- oder IT-Teammitgliedern oder erforderten die Programmierung von Makros und Formeln in Tabellenkalkulationen. Daher reichte es Risikomanagern oft aus, wenn ein Anbieter lediglich bestätigte, dass er über bestimmte Sicherheitskontrollen verfügte. In der heutigen Umgebung sich schnell entwickelnder Cybersicherheitsrisiken reichen einmalige Bestätigungen für Auditoren und Aufsichtsbehörden nicht mehr aus.
In einigen Fällen nutzten größere Unternehmen auch hochgradig angepasste Datenbanklösungen, die auf Technologien wie Oracle, MySQL und DB2 basierten. Diese waren jedoch kostspielig in der Erstellung und Wartung. Außerdem erwiesen sie sich als schwerfällig in der Anwendung und wurden schnell überholt, da die Lieferketten immer komplexer wurden und die Bedrohungen an Raffinesse und Häufigkeit zunahmen.
2. Rahmenwerke zur Risikobewertung durch Dritte
Ein zentraler Grundsatz des TPRM besteht darin, die potenziellen Risiken Ihres Unternehmens zu verstehen und die Sicherheits- und Datenschutzkontrollen von Anbietern/Lieferanten im Hinblick auf diese Risiken zu berücksichtigen. Dies beginnt mit der Durchführung von fragebogenbasierten Risikobewertungen, um Informationen von Dritten zu sammeln und potenzielle Mängel zu identifizieren, die Ihr Unternehmen gefährden könnten.
Anstatt Fragebögen zum Lieferantenrisiko von Grund auf neu zu erstellen, stützen die meisten Unternehmen ihre Bewertungen auf etablierte Risikomanagementrichtlinien oder -rahmenwerke. Für die Zwecke dieses Artikels betrachten wir Risikomanagement-Rahmenwerke als die zweite Kategorie von TPRM-Tools.
Die bekanntesten Rahmenwerke für das Risikomanagement sind die vom National Institute of Standards and Technology (NIST) und der Internationalen Organisation für Normung (ISO) veröffentlichten. Ihre umfassenderen Governance-, Risiko- und Compliance-Prozesse (GRC) entsprechen möglicherweise bereits einem dieser Industriestandards – und beide können Ihrem Unternehmen und seinen Lieferanten eine gemeinsame Sprache für die Diskussion von Risiken bieten.
Die Risikomanagement-Frameworks von NIST und ISO schreiben standardisierte Ansätze zur Identifizierung, Quantifizierung und Berichterstattung von Risikokennzahlen und Risikobewertungen vor. Darüber hinaus kann die Verwendung gemeinsamer Risikoprofile zur Quantifizierung sowohl interner Risiken als auch Risiken durch Dritte zu konsistenten Bewertungen führen, anhand derer Sanierungsmaßnahmen priorisiert werden können.
Der Einstieg mit NIST oder ISO bietet Ihrem Programm einen Rahmen für den Erfolg und legt gleichzeitig die Definitionen fest, die für genaue und reproduzierbare Ergebnisse erforderlich sind. Vor diesem Hintergrund ist es wichtig zu beachten, dass NIST und ISO nur zwei Quellen für Leitlinien zur Risikobewertung sind. Weitere Beispiele sind:
-
Branchenübliche Fragebögen (z. B. der Standard Information Gathering (SIG)-Fragebogen, der H-ISAC-Fragebogen für Gesundheitsorganisationen oder der Prevalent Compliance Framework (PCF)-Fragebogen) bieten anerkannte Inhaltspools, mit denen Ihre Lieferanten wahrscheinlich bereits vertraut sind.
-
Compliance-spezifische Fragebögen für DSGVO, CCPA, CMMC oder andere Vorschriften, die eine Risikobewertung durch Dritte erfordern. In unserem Abschnitt zur Compliance finden Sie spezifische Bewertungsanforderungen für mehr als 20 Vorschriften.
-
Eigene Fragebögen, die Sie intern entwickeln, um spezifische Geschäftsanforderungen zu erfüllen oder besondere Berichtsanforderungen zu erfüllen.
Um mehr über die Vor- und Nachteile der einzelnen Optionen zu erfahren, empfehlen wir Ihnen die Lektüre des Artikels „So wählen Sie einen Fragebogen zur Risikobewertung von Lieferanten aus“.
Einschränkungen von DIY-Risikobewertungen
NIST, ISO oder ein anderes Risikomanagement-Framework können eine solide Grundlage für Ihr TPRM-Programm bilden. Wenn Sie das von Ihnen gewählte Framework jedoch nicht in Verbindung mit einer speziellen Risikomanagementlösung eines Drittanbieters verwenden, benötigen Sie erfahrene Fachleute, um die empfohlenen Verfahren auf effektive und skalierbare Weise umzusetzen.
Selbst mit einem gut dokumentierten Prozess kann es für kleine Risikomanagementteams schnell zu einer Überforderung werden, Entscheidungen zu Risiken durch Dritte zu konzipieren, zu versenden, nachzuverfolgen, zu korrelieren und mit einer gewissen Konsistenz oder Regelmäßigkeit zu treffen.
3. Tools zur Überwachung von Lieferantenrisiken
Risikobewertungen ermöglichen es Ihnen, Informationen zu Sicherheit, Datenschutz und Compliance-Kontrollen direkt von Ihren Lieferanten einzuholen. Selbst wenn sie auf einem Standard-Framework basieren, bieten sie jedoch nur begrenzte Einblicke in Risiken durch Dritte, weil:
-
Fragebögen basieren auf Selbstauskünften der bewerteten Unternehmen, was Raum für Fehler, Fehlinterpretationen und Auslassungen lässt.
-
Abgeschlossene Bewertungen liefern einen Teilüberblick über das Risiko, der sich auf den Umfang des Fragebogens beschränkt.
-
Ein Bewertungsergebnis liefert eine Momentaufnahme der Risikoumgebung, die sich ständig weiterentwickelt.
-
Es kann schwierig sein, Antworten auf Risikobewertungen von Lieferanten zu erhalten.
Externe Tools zur Überwachung von Lieferantenrisiken können Ihnen dabei helfen, die Lücke zwischen regelmäßigen Bewertungen zu schließen und die Bewertungsergebnisse anhand realer Ereignisse zu validieren. Schließlich kann ein Lieferant alle Ihre Sicherheitskontrollanforderungen erfüllen und dennoch Opfer einer Datenpanne werden.
Darüber hinaus konzentrieren sich Bewertungen häufig auf IT-Sicherheit oder Datenschutzkontrollen und bieten keinen Einblick in Geschäftsrisiken wie Insolvenzen, Compliance-Verstöße, Rechtsstreitigkeiten, Streiks und andere Ereignisse, die Ihre Lieferkette stören könnten.
OSINT-Suchen
Eine Möglichkeit, Informationen zu Risiken von Anbietern und Lieferanten zu finden, ist die Open-Source-Intelligence (OSINT), also Informationen, die aus öffentlich zugänglichen Quellen gesammelt werden. OSINT kann Informationen umfassen, die durch Methoden wie den US-amerikanischen Freedom of Information Act oder einen Besuch in der Bibliothek gewonnen werden, aber die naheliegendste Form sind Informationen, die durch Recherchen im Internet und in sozialen Medien gefunden werden.
Eine einfache Internetsuche zu einem potenziellen Anbieter kann finanzielle, rechtliche, ethische oder andere geschäftliche Risiken aufdecken, die während des Beschaffungs- und Auswahlprozesses sonst möglicherweise nicht zutage treten würden. Viele Unternehmen versäumen es sogar, diese grundlegende Sorgfaltspflicht auf Basis von OSINT zu erfüllen.
Das Deep Web
Die Recherche im Internet nach potenziellen Partnern und die Einrichtung von Google Alerts für Nachrichten zu Anbietern sind zwar ein guter Anfang, aber bedenken Sie, dass die überwiegende Mehrheit der im World Wide Web verfügbaren Informationen nicht von Google, Edge, Safari, Firefox und anderen gängigen Browsern indexiert wird (d. h. das „Surface Web“).
Der Hauptgrund dafür, dass dieses „Deep Web“ aus Websites, Dateien und Datenbanken nicht indexiert ist, liegt darin, dass es entweder hinter Registrierungsformularen oder Paywalls versteckt ist. Prevalent bietet beispielsweise Whitepaper, Forschungsberichte und On-Demand-Webinare an, für deren Zugriff eine Registrierung erforderlich ist. Obwohl diese Inhalte für die breite Öffentlichkeit zugänglich sind, gehören sie dennoch zum Deep Web.
Das Dark Web
Böswillige Akteure nutzen OSINT häufig auch, um potenzielle Ziele zu identifizieren und auszukundschaften. Angreifer nutzen nicht nur das Surface Web und das (legale) Deep Web, um Risikoinformationen zu sammeln, sondern auch das Dark Web.
Das Dark Web ist ein Teil des Deep Web, in dem kriminelle Aktivitäten stattfinden. Foren im Dark Web bieten Zugang zu gestohlenen Zugangsdaten, Schwachstellen- und Exploit-Daten, Hacking-Tools und anderen Informationen, die für Angriffe auf Dritte genutzt werden können. Es liegt also auf der Hand, dass es unerlässlich ist, sich über OSINT-Informationen zu Ihrem Unternehmen und seinen Dritten auf dem Laufenden zu halten, um Cyberkriminellen einen Schritt voraus zu sein.
Tools zur kontinuierlichen Risikoüberwachung
Die Nutzung von OSINT ist eine wichtige Methode, um Ihre Risikobewertungspraktiken für Lieferanten durch extern beobachtbare Risikoinformationen zu ergänzen. Selbst wenn sich Ihre OSINT-Erfassung jedoch auf Browsersuchen und Warnmeldungen beschränkt, stellen manuelle Arbeit und Informationsüberflutung große Hindernisse dar. Ein einzelnes Ereignis, das einen Ihrer Drittanbieter betrifft, kann Hunderte von Warnmeldungen auslösen. Die Verwaltung dieser Datenflut ohne ein automatisiertes Überwachungstool kann überwältigend und unhaltbar sein.
Es gibt mehrere kostenlose und kostengünstige OSINT-Tools, mit denen Sie über das Surface Web hinausgehen und Cyberrisiken identifizieren können. Die meisten davon erfordern jedoch technisches Fachwissen und zusätzliche Analysen, um Daten zu liefern, die für Risikomanager nützlich sind.
Eine weitere, leichter zugängliche Möglichkeit, OSINT-basierte Risikomonitoringdaten zu erhalten, ist die Verwendung einer Sicherheitsbewertungslösung. Diese automatisierten Lösungen können OSINT-Daten zu bestimmten Unternehmen aggregieren und korrelieren und Risikobewertungen zuweisen, was weitere Untersuchungen erforderlich machen und Ihnen anderweitig dabei helfen kann, Ihre Risikomanagementmaßnahmen zu priorisieren.
Einschränkungen der Risikoüberwachung für TPRM
Risikoüberwachungsinstrumente können Ihnen zwar nützliche Informationen über aktuelle und potenzielle Anbieter und Lieferanten liefern, sie bieten jedoch nur eine externe, von außen nach innen gerichtete Sicht auf Risiken durch Dritte. Um ein vollständigeres Bild der Risiken zu erhalten, ist es wichtig, eine kontinuierliche Überwachung in Verbindung mit regelmäßigen Risikobewertungen durchzuführen. Durch die Vereinheitlichung von Überwachung und Bewertung können Sie nicht nur externe Bedrohungen für Ihre Dritten identifizieren, sondern auch deren Fähigkeit zur Minderung dieser Bedrohungen bestimmen – bevor sie sich auf Ihr Unternehmen auswirken.
Weitere Quellen für Informationen zu Risiken im Zusammenhang mit Anbietern und Lieferanten finden Sie in unserem Artikel „7 wichtige Quellen für Informationen zu Risiken durch Dritte“.
4. Automatisierte Plattformen für das Risikomanagement von Drittanbietern
Die meisten Unternehmen mit mehr als einigen Dutzend Lieferanten werden letztendlich eine einheitliche, automatisierte Lösung benötigen, um ein effektives, konsistentes und skalierbares Programm für das Risikomanagement und die Compliance von Drittanbietern aufrechtzuerhalten.
Aufgrund der umfangreichen Bandbreite und Tiefe der Funktionen, die sie bieten, könnten Anbieter von Risikomanagementplattformen für Dritte zusammenzucken, wenn Sie diese Lösungen als „Tool“ bezeichnen. Nichtsdestotrotz ist die TPRM-Plattform die vierte Art von Risikomanagement-Tool für Dritte, deren Einsatz Sie in Betracht ziehen sollten.
Risikomanagement-Plattformen von Drittanbietern vereinheitlichen und automatisieren die Bewertungs- und Überwachungsprozesse. Auf einer grundlegenden Ebene ermöglichen sie Ihnen, Lieferantenrisiken ganzheitlich zu identifizieren, über Risiken in Bezug auf Geschäfts- und Compliance-Anforderungen zu berichten und den Behebungsprozess zu optimieren.
TPRM-Plattform-Tools wie die von Prevalent bieten Bewertungs- und Überwachungsfunktionen im Kontext des gesamten Lieferantenlebenszyklus:
-
Beschaffung und Auswahl
-
Aufnahme & Onboarding
-
Inhärentes Risiko Scoring
-
Risikobewertung des Anbieters
-
Überwachung von Lieferantenrisiken
-
SLA & Leistungsmanagement
-
Offboarding und Beendigung
Eine TPRM-Plattform bietet die kombinierten Funktionen der anderen in diesem Artikel genannten Tools für das Risikomanagement von Drittanbietern. Eine Plattform kann den Onboarding- und Bewertungsprozess von Lieferanten automatisieren, öffentliche und private Quellen für Risikodaten kontinuierlich überwachen und anschließend korrelierte Risikoberichte liefern, die auf jedes Risikomanagement-Framework, jede gesetzliche Vorschrift, jeden Industriestandard und/oder jede interne Anforderung abgestimmt sind.
Vorteile von TPRM-Plattformen
Eine Risikomanagementplattform von Drittanbietern bietet internen Teams und externen Dritten eine zentralisierte, kollaborative Umgebung zur Identifizierung, Bewertung und Reduzierung von Risiken. Zu den Vorteilen einer TPRM-Plattform gehören:
-
Reduzierte Kosten und Risiken bei der Auswahl von Drittanbietern
-
Schnelle und sichere Einbindung von Anbietern und Lieferanten
-
Verbesserte Transparenz hinsichtlich Lieferantenprofilen und damit verbundenen Risiken
-
Erhöhte Effizienz durch einheitliche Risikoidentifizierung und -behebung
-
Kontinuierliche Transparenz öffentlicher und privater Quellen für Risikoinformationen
-
Zeitersparnis durch zentralisierte Compliance-, SLA- und Restrisikoberichterstattung
-
Sicherheit bei der Beendigung von Geschäftsbeziehungen
Alternativen zu TPRM-Plattformen
Wenn Sie gerade erst mit dem Risikomanagement für Drittanbieter beginnen und/oder kein plattformbasiertes Tool benötigen, ist der Beitritt zu einem Netzwerk für Drittanbieterrisiken eine Alternative, die Sie in Betracht ziehen sollten. Diese abonnementbasierten Dienste bieten On-Demand-Zugriff auf Bibliotheken mit standardisierten Risikoberichten zu Anbietern, die auf abgeschlossenen Risikobewertungen und/oder kontinuierlichen Überwachungsdaten basieren. Standalone-Risikomanagement-Netzwerke bieten zwar kein vollständiges Lebenszyklusmanagement für Anbieter, aber sie ermöglichen einen schnellen Zugriff auf geprüfte Risikoberichte, die bei der Due Diligence von Anbietern helfen.
Wenn Sie spezifischere Anforderungen haben, aber nicht über internes TPRM-Fachwissen oder -Ressourcen verfügen, sollten Sie in Betracht ziehen, die Arbeit an Dienstleister für die Risikobewertung von Lieferanten auszulagern. Bei diesem Managed-Service-Ansatz arbeiten Sie mit einem Team von Experten zusammen, die den Lieferantenlebenszyklus in Ihrem Auftrag verwalten (z. B. Onboarding von Lieferanten, Sammeln von Nachweisen, Überprüfen von Bewertungen, Identifizieren von Risiken, Bereitstellen von Leitlinien zur Behebung von Mängeln usw.).
Nächste Schritte zur Auswahl eines TPRM-Tools
Ihre Organisation hat mehrere Optionen, wenn es um Risikomanagement-Tools von Drittanbietern geht. Ganz gleich, ob Sie On-Demand-Berichte zu Lieferantenrisiken, ein Expertenteam für die Verwaltung des Bewertungsprozesses oder eine TPRM-Plattformlösung für Unternehmen benötigen – Prevalent steht Ihnen zur Seite. Wir helfen Ihnen sogar dabei, die richtigen TPRM-Tools und -Prozesse zu finden, die Ihren spezifischen Anforderungen entsprechen. Starten Sie noch heute mit einer kostenlosen TPRM-Reifegradbewertung oder fordern Sie eine Demo an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
