Jedes Unternehmen hat Verkäufer und jedes Unternehmen hat Lieferanten. Diese Begriffe werden im Risikomanagement für Dritte synonym verwendet, und obwohl sie beide unter den Begriff "Dritte" fallen, sind sie nicht dasselbe. Lieferanten und Zulieferer können unterschiedliche Risiken für Ihr Unternehmen darstellen und erfordern unter Umständen unterschiedliche Taktiken zur genauen Risikobewertung. In diesem Beitrag erfahren Sie, warum sich ein Anbieter von einem Lieferanten unterscheidet und wie Sie die unterschiedlichen Risiken, die beide darstellen, verwalten und mindern können.
Was ist eine dritte Partei?
Ein Dritter ist ein externes Unternehmen, eine Einzelperson oder eine andere Einheit, die Waren oder Dienstleistungen für Ihr Unternehmen bereitstellt. Ihr Unternehmen verlässt sich auf diese externen Einheiten, zu denen Lieferanten, Verkäufer, Auftragnehmer, Dienstleister und Geschäftspartner gehören, um den regulären Betrieb durchzuführen.
Was sind einige Beispiele für Drittunternehmen?
Die Palette der Drittanbieter reicht von kleinen Lieferanten bis hin zu großen Unternehmen, die umfassende Lösungen anbieten.Einige Beispiele für Drittunternehmen sind:
- Software-Verkäufer: Diese Unternehmen entwickeln und verkaufen Softwareprodukte oder bieten Software-as-a-Service-Lösungen (SaaS) für Unternehmen an.Denken Sie an Microsoft, das seine Office-Suite verkauft, oder an Salesforce, das seine CRM-Plattform anbietet.
- Hardware-Lieferanten: Hersteller oder Lieferanten, die physische Geräte oder Infrastrukturen wie Computer, Server, Netzwerkgeräte oder andere Hardwarekomponenten anbieten.Denken Sie an Cisco für Netzwerkgeräte oder Apple für Laptops und Handys.
- Originalausrüstungshersteller (OEM): Diese Zulieferer liefern Halbfertigprodukte oder Komponenten für die Endprodukte, die Ihr Unternehmen an seine Kunden verkauft, z. B. Automobilteile oder Computersoftware.Intel ist ein gutes Beispiel. Das Unternehmen verkauft seine Prozessoren an Computerhersteller wie Dell und HP.
- Beratungs- oder Dienstleistungsunternehmen: Externe Firmen, die Fachwissen und Beratung in bestimmten Bereichen wie Management, Strategie, Technologie, Finanzen, Recht oder Personalwesen anbieten.
- Logistik- und Transportdienstleister: Unternehmen, die sich auf Versand-, Lager- oder Transportdienstleistungen spezialisiert haben und den reibungslosen Transport von Waren und Materialien für Unternehmen sicherstellen.FedEx und DHL sind zwei Beispiele dafür.
- Marketing- und Werbeagenturen: Externe Agenturen, die Unternehmen mit Marketingstrategien, Kampagnen, kreativen Dienstleistungen, Medieneinkauf oder Öffentlichkeitsarbeit unterstützen.
- Anbieter von Gehaltsabrechnungen: Unternehmen, die die Lohn- und Gehaltsabrechnungen der Mitarbeiter verwalten und dafür sorgen, dass alle anfallenden Lohnsteuern korrekt abgeführt werden. ADP ist einer der größten Namen in diesem Bereich.
- Sicherheitsdienstleistungen: Anbieter, die Cybersicherheitslösungen, physische Sicherheit, Risikobewertung oder andere sicherheitsbezogene Dienstleistungen zum Schutz von Unternehmen vor Bedrohungen anbieten.
- Reinigung und Bürodienstleistungen: Unternehmen, die mit der Reinigung von Büros, der Vernichtung von Daten oder der Bereitstellung von Büromaterialien beauftragt werden, gelten ebenfalls als Dritte.
Jeder der oben genannten Anbieter oder Lieferanten kann in unterschiedlichem Maße Zugang zu Ihren wichtigen Systemen und Daten haben. Sie können sich nach Belieben in Ihrem physischen Arbeitsbereich bewegen, wie z. B. Reinigungsdienste, oder sie haben ein spezielles Log-in für Unternehmensdateien, wie z. B. Marketing- und Werbeagenturen. Dieser Zugang bedeutet, dass sie auch das Risiko negativer Auswirkungen auf Ihr Unternehmen mit sich bringen. Wenn Sie wissen, wie Sie Ihre Beziehungen zu den verschiedenen Arten von Dritten gestalten, sollten Sie Ihre Strategie für das Risikomanagement mit Dritten (TPRM) entsprechend anpassen.
Was ist der Unterschied zwischen einem Verkäufer und einem Lieferanten beim Risikomanagement für Dritte?
Die Begriffe "Dritter", "Verkäufer" und "Lieferant" werden häufig verwendet, um den Kontext von Geschäftsbeziehungen zu definieren. Wie bereits erwähnt, ist ein Dritter jede Einheit, die sich außerhalb der direkten Kontrolle Ihres Unternehmens befindet und sich auf Ihre Kerntätigkeit und/oder Ihr Endprodukt auswirkt. Dritte können Waren, Dienstleistungen oder andere Ressourcen zur Unterstützung der Hauptgeschäftsbeziehung bereitstellen. Dabei kann es sich um Einzelpersonen, Organisationen oder Unternehmen handeln.
Obwohl alle Verkäufer und Lieferanten als Dritte betrachtet werden können, geben die Begriffe "Verkäufer" und "Lieferant" zusätzlichen Aufschluss über die Art der Geschäftsbeziehung. Ein "Verkäufer" bietet ein Produkt oder eine Dienstleistung zur endgültigen Verwendung an, während ein "Lieferant" eine Komponente liefert, die umgewandelt oder weiterverkauft werden soll. Während ein Verkäufer einem Unternehmen hilft, steuert ein Lieferant Vorleistungen bei. So bietet beispielsweise ein Anbieter von Rechtsdienstleistungen eine bestimmte Dienstleistung (Datenspeicherung) für Anwaltskanzleien an, um diese zu unterstützen, während ein Lieferant von Autoteilen Komponenten für den Bau eines Autos oder Lastwagens liefert.
Was ist ein Verkäufer?
Ein Lieferant ist ein Unternehmen, das etwas bereitstellt, das Ihr Unternehmen zur Durchführung seiner normalen Geschäftstätigkeit verwendet. Dabei handelt es sich um eine fertige Ware oder eine Dienstleistung, die Sie oder Ihr Unternehmen als Kunde nutzen. Denken Sie zum Beispiel an ein Web-Content-Management-System für Ihr Marketingteam oder eine Buchhaltungssoftware im Büro Ihres Finanzchefs. Das Unternehmen, das Ihrem IT-Team die Laptops verkauft, mit denen Ihre Mitarbeiter arbeiten? Das ist Ihr Hardware-Anbieter.
Es kann sein, dass Anbieter ihre eigenen Produkte von Grund auf neu entwickeln und erstellen. Vor allem Software-Anbieter verwenden oft Komponenten anderer Unternehmen oder Open-Source-Code-Repositories, um ihre Anwendungen zu erstellen. Hardware-Anbieter können auch OEM-Beziehungen mit anderen Unternehmen unterhalten.
Es kann sich aber auch um reine Dienstleistungsanbieter wie Marketingagenturen, Buchhaltungsfirmen oder Managed-Services-Unternehmen handeln. Der springende Punkt ist, dass die Anbieter eine fertige Ware oder Dienstleistung anbieten, die von ihren Kunden - Ihrem Unternehmen - für die Abwicklung ihrer eigenen Geschäfte genutzt werden kann.
Was ist ein Lieferant?
Ein Zulieferer ist eine dritte Partei, die einem anderen Unternehmen wichtige Spezialgüter, Dienstleistungen oder Rohstoffe zur Verfügung stellt. Lieferanten spielen eine entscheidende Rolle in Ihrer Wertschöpfungskette und bieten alles an, von Rohstoffen und Komponenten für die Fertigung bis hin zur technologischen Infrastruktur für SaaS-Plattformen. Sie können in die Lieferkette des Käufers eingebunden sein und eine entscheidende Rolle in dessen Betrieb spielen. So würde beispielsweise ein Unternehmen, das regelmäßig Rohstoffe oder Teile von einem anderen Unternehmen bezieht, dieses Unternehmen als Zulieferer betrachten.
Lieferantenrisiken vs. Lieferantenrisiken in Drittpartei-Beziehungen
Im Zusammenhang mit den Beziehungen zu Dritten sind die Risiken von Lieferanten und Verkäufern zwar ähnlich, unterscheiden sich aber deutlich aufgrund der Art der von ihnen erbrachten Dienstleistungen oder Produkte und der Rolle, die sie im Betrieb eines Unternehmens spielen.
Risiken für Lieferanten:
Lieferantenrisiken sind Risiken im Zusammenhang mit Unternehmen oder Einzelpersonen, die Rohstoffe, Komponenten oder Dienstleistungen liefern, die für die Produktions- oder Betriebsabläufe eines Unternehmens unerlässlich sind. Zu den Lieferantenrisiken können gehören:
- Risiken der Cybersicherheit: Risiken von Datenschutzverletzungen und Cyber-Vorfällen, die Lieferanten und ihre erweiterten Netzwerke betreffen.
- Risiken bei der Einhaltung von Vorschriften: Herausforderungen bei der Einhaltung gesetzlicher Normen und bewährter Praktiken der Branche, wie z. B. die von NIST und ISO festgelegten, in der gesamten Lieferkette.
- Geschäftliche und finanzielle Risiken: Risiken in Bezug auf die finanzielle Stabilität von Lieferanten, wie Konkurs, Fusionen und Übernahmen sowie aufsichtsrechtliche Sanktionen.
- Ereignis-Risiken: Risiken, die sich aus Naturkatastrophen, politischer Instabilität oder anderen bedeutenden Ereignissen ergeben, die zu einer Unterbrechung der globalen Lieferkette führen.
- Soziale Verantwortung der Unternehmen und ESG-Risiken: Risiken im Zusammenhang mit Umwelt-, Sozial- und Governance-Faktoren, einschließlich Arbeitspraktiken und regulatorischem Druck.
- Kapazitäts-Risiken: Das Risiko, dass Lieferanten aufgrund verschiedener Faktoren - von wirtschaftlicher Stabilität bis hin zu regulatorischen Änderungen - nicht in der Lage sind, Liefertermine einzuhalten.
- Leistungs-Risiken: Risiken im Zusammenhang mit der Fähigkeit der Lieferanten, die Qualitäts- und Konsistenzkriterien, die pünktliche Lieferung und andere Leistungsvereinbarungen zu erfüllen.
Risiken für den Anbieter:
Lieferantenrisiken sind Risiken im Zusammenhang mit Unternehmen oder Einzelpersonen, die fertige Produkte oder Dienstleistungen direkt an das Unternehmen zum Weiterverkauf oder zur betrieblichen Nutzung liefern. Zu den Lieferantenrisiken gehören:
- Cyber-Risiko: Risiken, die den Geschäftsbetrieb aufgrund von Datenschutzverletzungen, DDoS-Angriffen, Ransomware-Schwachstellen, Angriffen auf die Software-Lieferkette und/oder anderen böswilligen Aktivitäten beeinträchtigen können. Zu den jüngsten Beispielen gehören der Einbruch in das Gesundheitswesen bei PJ&A und der Angriff auf die Lieferkette von MOVEit.
- Compliance-Risiko: Risiken im Zusammenhang mit Anbietern, die sich nicht an die verschiedenen Datenschutzvorschriften halten, und die möglichen rechtlichen und finanziellen Folgen einer Nichteinhaltung.
- Finanzielles Risiko: Risiken aufgrund der finanziellen Instabilität eines Anbieters, die sich auf seine Fähigkeit zur Lieferung von Produkten oder Dienstleistungen auswirken können.
- ESG-Risiken: Der zunehmende Fokus der Anleger auf ethische Geschäftspraktiken, einschließlich Menschenrechte und Umweltverantwortung.
- Reputationsrisiko: Risiken im Zusammenhang mit der Bedrohung des Namens, des Firmenwerts oder der Glaubwürdigkeit eines Unternehmens, die sich auf seine Einnahmen auswirken können.
Auch wenn es Überschneidungen gibt, konzentrieren sich die Risiken von Lieferanten oft mehr auf die Aspekte Produktion und Lieferkette, während die Risiken von Anbietern den Schwerpunkt auf die Qualität des Endprodukts, die Einhaltung von Vorschriften und die Erbringung von Dienstleistungen legen. Ein umfassendes Risikomanagement für Dritte erfordert ein Verständnis und eine Abschwächung der verschiedenen Risikotypen.
Die Bedeutung des Risikomanagements für Drittparteien
Die Zusammenarbeit mit Dritten birgt Risiken, die sich möglicherweise negativ auf den Betrieb, den Ruf und die Einhaltung von Vorschriften auswirken können. Zur effektiven Verwaltung dieser Risiken gehört die Bewertung, Überwachung und Abschwächung von Bedrohungen. Ein solides TPRM-Programm mindert das Risiko finanzieller Verluste, Rufschädigung und rechtlicher Konsequenzen und sorgt dafür, dass der Geschäftsbetrieb widerstandsfähig und sicher bleibt.
Sicherstellung eines effektiven Risikomanagements für Drittparteien
Angesichts der Tatsache, dass Cyberangriffe zunehmend von Dritten ausgehen, Datenschutzbedenken neue Vorschriften nach sich ziehen und sich Unterbrechungen auf globale Lieferketten auswirken, ist es von entscheidender Bedeutung, sicherzustellen, dass Ihre Anbieter und Lieferanten über die erforderlichen Kontrollen und Prozesse verfügen, um Ihr Unternehmen zu schützen.
Ein TPRM-Programm versetzt Unternehmen in die Lage, Risiken zu erkennen, zu mindern und zu akzeptieren, um unerwünschte Überraschungen zu vermeiden. Zu den wichtigsten Schritten zur Minderung dieser Risiken gehören:
1) Gründliche Due-Diligence-Prüfung
- Führen Sie eine umfassende Bewertung des Rufs, der finanziellen Stabilität und der Erfolgsbilanz der Drittpartei durch.
- Beurteilen Sie ihre Erfahrung, ihr Fachwissen und ihre Referenzen bei früheren Kunden.
- Überprüfen Sie, ob die Drittpartei die für ihr Angebot relevanten Industrienormen und Zertifizierungen einhält.
2) Klare Anforderungen und Erwartungen definieren
- Formulieren Sie Ihre geschäftlichen Anforderungen, Ziele und Leistungserwartungen klar und deutlich in schriftlichen Vereinbarungen, Verträgen oder Service Level Agreements (SLAs).
- Definieren Sie spezifische Leistungen, Zeitvorgaben, Qualitätsstandards und Messgrößen für die Leistung.
- Besprechen und verhandeln Sie im Vorfeld alle Anforderungen an Anpassung, Support oder Wartung.
3) Einführung eines soliden vertraglichen Schutzes
- Erstellen Sie rechtsverbindliche Verträge, in denen die Rollen, Verantwortlichkeiten und Haftungen aller Parteien klar festgelegt sind.
- Enthalten Sie Klauseln zum Datenschutz und zur Datensicherheit, zu den Rechten am geistigen Eigentum, zu den Kündigungsbedingungen und zu Streitbeilegungsmechanismen.
- Legen Sie Abhilfemaßnahmen und Strafen für Nichteinhaltung, Verstöße oder Nichterfüllung der vereinbarten Bedingungen fest.
4) Kombination regelmäßiger Risikobewertungen mit kontinuierlicher Überwachung
- Durchführung regelmäßiger Audits, Bewertungen oder Überprüfungen des Betriebs, der Sicherheitsmaßnahmen und der Einhaltung der vertraglichen Verpflichtungen der Drittpartei.
- Füllen Sie die Lücken zwischen den Bewertungen mit einer laufenden externen Risikoüberwachung, um neue und aufkommende Probleme aufzudecken.
- Aufrechterhaltung eines offenen Kommunikationsflusses, um alle Bedenken und Probleme umgehend zu lösen.
5) Einführung strenger Informationssicherheitspraktiken
- Vergewissern Sie sich, dass die Drittpartei über solide Datenschutzmaßnahmen verfügt, einschließlich Verschlüsselung, Zugangskontrollen und Protokollen für die Reaktion auf Zwischenfälle.
- Festlegung von Protokollen für den Umgang mit Daten und deren gemeinsame Nutzung zum Schutz sensibler Informationen.
- Verpflichten Sie den Anbieter zu regelmäßigen Sicherheitsaktualisierungen, Schwachstellenbewertungen und Audits.
6) Aufrechterhaltung von Notfallplänen
- Entwickeln Sie Notfallpläne für den Fall, dass es zu lieferantenbedingten Unterbrechungen kommt, z. B. alternative Beschaffungsoptionen oder Ersatzlieferanten, falls möglich.
- Erwägen Sie Redundanz- oder Failover-Mechanismen, um die Auswirkungen von Dienstunterbrechungen zu minimieren.
- Dokumentieren Sie die Verfahren für die Reaktion auf Vorfälle und die Wiederherstellung im Katastrophenfall und testen Sie sie regelmäßig.
7) Förderung einer starken Kommunikation und Zusammenarbeit
- Pflegen Sie regelmäßige Kommunikationskanäle mit den wichtigsten Mitarbeitern des Anbieters oder Lieferanten, um Probleme umgehend zu lösen und eine gute Arbeitsbeziehung zu fördern.
- Festlegung von Eskalationsverfahren für die Beilegung von Streitigkeiten oder kritischen Vorfällen.
- Fördern Sie eine offene und transparente Kommunikation, um das gegenseitige Verständnis und die Anpassung der Erwartungen zu erleichtern.
- Durch die Befolgung dieser bewährten Verfahren können Unternehmen Risiken verringern, die Beziehungen zu Anbietern und Lieferanten besser kontrollieren und sicherstellen, dass ihre Geschäftsinteressen während der gesamten Dauer des Auftrags geschützt sind.
Nächste Schritte für das Risikomanagement von Drittanbietern und Lieferanten
Es ist von entscheidender Bedeutung, die Feinheiten Ihrer Beziehungen zu Drittanbietern und Lieferanten zu verstehen und zu lernen, mit Risiken umzugehen. Erfahren Sie, wie Sie Ihr TPRM-Programm aufbauen können, und prüfen Sie, ob unsere Lösungen für das Risikomanagement von Drittanbietern zu den Anforderungen Ihres Unternehmens passen - fordern Sie noch heute eine Demo an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
