Die Praxis des Third-Party-Risikomanagements (TPRM) entwickelt sich aufgrund wachsender Bedenken hinsichtlich Schwachstellen in der Lieferkette, Datenverstößen und regulatorischem Druck rasant weiter. Während sich das Jahr 2024 im Bereich des Third-Party-Risikomanagements als recht ereignisreich erwies, werden die Entwicklungen im Jahr 2025 zu einer verstärkten Fokussierung auf Geschäftskontinuität, Transparenz und Nachhaltigkeit führen, die durch KI und andere verwandte Technologien ermöglicht werden.
Dieser Beitrag befasst sich mit den sieben wichtigsten Prognosen für das Risikomanagement von Drittanbietern im Jahr 2025.
#1. KI ermöglicht vorausschauende und vergleichende Berichterstattung und beschleunigt Bewertungs- und Dokumentationsprozesse.
2024 war das Jahr, in dem KI ihren Durchbruch im Bereich TPRM hatte. Es liegt daher nahe, dass KI und maschinelles Lernen auch 2025 eine entscheidende Rolle spielen werden, da Unternehmen den Einsatz von KI weiter ausbauen, um Risikobewertungen zu automatisieren, die Entscheidungsfindung zu verbessern und potenzielle Probleme schneller zu erkennen.
Im Jahr 2025 werden KI-gesteuerte Systeme Unternehmen dabei helfen, Risiken durch Dritte in Echtzeit zu überwachen, indem sie ihre großen Sprachmodelle (LLMs) nutzen, um große Datensätze zu analysieren und Muster zu identifizieren, die auf aufkommende Risiken hinweisen könnten. Außerdem ist zu erwarten, dass KI die Art und Weise verbessern wird, wie Unternehmen Belege prüfen und Widersprüche zwischen Bewertungsantworten und Dokumentation feststellen.
Allerdings sind strenge Richtlinien für Datensicherheit, Transparenz und Governance für den Erfolg von KI unerlässlich. Die Zahlen belegen dies. Im Jahr 2024 gaben nur 5 % der Unternehmen an, KI aufgrund mangelnder Governance aktiv in ihren TPRM-Programmen einzusetzen, während 61 % Anwendungsfälle für KI untersuchten. Wir gehen davon aus, dass sich dies im Jahr 2025 ändern wird, da Unternehmen zunehmend bereit sind, KI zur Automatisierung von Aufgaben und Berichten einzusetzen.
#2. Die Ausweitung der Regulierung wird zu einer Harmonisierung der Anforderungen und einer verstärkten Sorgfaltspflicht führen.
Es wird erwartet, dass Regierungen und Aufsichtsbehörden weltweit die Anforderungen an das Risikomanagement durch Dritte ausweiten werden, insbesondere in den Bereichen Datenschutz, ESG (Umwelt, Soziales und Unternehmensführung) und Unternehmensresilienz. Grenzüberschreitende Unternehmen werden mit komplexeren Compliance-Herausforderungen konfrontiert sein, aber es könnten auch Bemühungen zur globalen Harmonisierung der Vorschriften unternommen werden, um die Compliance zu vereinfachen.
Unternehmen werden zunehmend dazu verpflichtet sein, ihre Bewertung von Drittanbietern in zwei Hauptbereichen zu verbessern: ihrer Widerstandsfähigkeit und ihrer Umweltauswirkungen. DORA wird als Quelle für die Entwicklung umfassender Maßnahmen zur Stärkung der operativen Widerstandsfähigkeit im US-Finanzsystem dienen und damit die Bemühungen des Office of the Comptroller of the Currency (OCC) ergänzen. Die Zunahme von ESG-Vorgaben wie EU CSRD und CSDDD wird Unternehmen dazu veranlassen, die Nachhaltigkeitspraktiken ihrer Partner, einschließlich CO2-Bilanz, Arbeitspraktiken und ethischer Beschaffung, genauer unter die Lupe zu nehmen.
#3. Geopolitische Faktoren werden die Verfolgung potenzieller Konzentrations- und Resilienzrisiken vorantreiben
Um beim Thema Resilienz zu bleiben: Die anhaltende regionale Instabilität im Nahen Osten, in Ostafrika, im Südchinesischen Meer und in der Ukraine wird Unternehmen dazu zwingen, ihre erweiterten Ökosysteme mit N-ten Parteien zu überprüfen. Unternehmen werden versuchen, Störungen zu antizipieren und potenzielle Sanktionsprobleme durch eine verbesserte Analyse der wirtschaftlichen Eigentümer (UBO) und Schlüsselpersonen abzuwenden. Unternehmen werden versuchen, die firmografischen Daten ihrer Lieferanten zu erweitern, um mehr Klarheit zu gewinnen und die Risiken regionaler und technologischer Konzentrationen besser zu verstehen, um so das Risiko von Ausfallzeiten zu verringern.
#4. Das Risiko von Drittanbietern wird Teil der Unternehmenskultur
Jahrelang wurde das Risikomanagement für Dritte aufgrund der Risiken des Outsourcings und der wachsenden Abhängigkeit von IT-Infrastrukturen von IT-Sicherheitsteams geleitet. Und obwohl zunehmende Cyber-Bedrohungen und hochkarätige Sicherheitsverletzungen, an denen Drittanbieter beteiligt sind, nach wie vor Anlass zur Sorge geben, müssen Unternehmen die Zusammenarbeit innerhalb der Organisation verbessern, um Risikoziele zu erreichen. Wer wird angesichts sich entwickelnder Risiken und neu auftretender Risiken (auch solcher, die nicht die Sicherheit betreffen) für das Risikomanagement für Dritte zuständig sein?
2025 wird sich als entscheidendes Jahr erweisen, in dem das Risiko durch Dritte auf die Risikomanagementteams der Unternehmen verlagert wird, damit es als Disziplin leichter in unternehmensübergreifende Geschäftsprozesse integriert werden kann. Es ist zu erwarten, dass auch die Beschaffungsteams eine größere Rolle im TPRM spielen werden, da Beschaffung, Due Diligence und Lieferanten-Offboarding alle enge Verbindungen zum Risikomanagement haben.
Nr. 5: Zentralisierte GRC- und TPRM-Risikoberichterstattung wird für eine konsolidierte Sichtweise des Vorstands erforderlich sein.
Indem TPRM Teil der kulturellen Struktur des Unternehmensrisikomanagements wird, wird es sich natürlich in Richtung umfassenderer Anwendungsfälle für Governance, Risikomanagement und Compliance (GRC) entwickeln. Vorstände und Führungskräfte werden konsolidierte Übersichten über Risiken benötigen – unabhängig davon, ob diese intern oder extern verursacht werden –, die entsprechend ihrer Auswirkungen auf das Geschäft bewertet und erläutert werden. Bereiten Sie sich auf diesen Trend vor, indem Sie konsolidierte Schlüsselrisikoindikatoren erstellen und darüber berichten, die für geschäftliche und nicht-technische Zielgruppen verständlich sind.
#6. Risikobündelung verbessert die Fokussierung auf die Widerstandsfähigkeit des Unternehmens
Aufgrund der anhaltenden Verbreitung von Cybersicherheitsvorfällen bei Drittanbietern müssen Unternehmen nicht nur einzelne Drittanbieter bewerten, sondern auch das Gesamtrisiko ihres gesamten Ökosystems. Das Verständnis dafür, wie miteinander verbundene Risiken verschiedener Drittanbieter sich gegenseitig verstärken und auf das Unternehmen auswirken können, ist entscheidend für den Aufbau einer widerstandsfähigen Lieferkette.
Um sich auf diesen Trend vorzubereiten, sollten Sie eine kontinuierliche Überwachung über mehrere Risikobereiche hinweg durchführen, darunter Cyber-, Betriebs-, Reputations-, ESG- und Finanzrisiken. Mit Echtzeitdaten und Risikoinformationen können Unternehmen Veränderungen im Risikoprofil ihrer Drittanbieter sofort erkennen und so ihre Fähigkeit verbessern, aufkommende Bedrohungen für ihre Geschäftsresilienz zu mindern.
#7. Sicherheitsvorfälle bei Drittanbietern erreichen den Wendepunkt
Die Zahl der Cybersicherheitsvorfälle durch Dritte ist in den letzten drei Jahren exponentiell gestiegen, von 21 % der Unternehmen, die 2021 einen Vorfall durch Dritte gemeldet haben, auf über 60 % im Jahr 2024. Auch die Schwere der Verstöße durch Dritte hat zugenommen, wobei allein bei Change Healthcare Millionen von Menschen von dem Vorfall betroffen waren. Da Organisationen im Gesundheitswesen und im Finanzdienstleistungssektor bereits häufig Ziel von Angriffen durch Dritte sind, ist davon auszugehen, dass Cyberkriminelle ihre Aktivitäten im Jahr 2025 ausweiten und Dritte angreifen werden, die hochkarätige und sensible Branchen wie Bildungseinrichtungen, Landesregierungen und Hersteller unterstützen.
Nächste Schritte
Mit Blick auf das Jahr 2025 wird das Risikomanagement für Dritte eine bedeutende Entwicklung durchlaufen. Die kontinuierliche Weiterentwicklung der KI sowie harmonisierte Vorschriften und ein Fokus auf Resilienz werden die Effektivität und Effizienz von TPRM-Programmen verbessern. Durch die Nutzung dieser Innovationen und Trends können Unternehmen beim effektiven Management von Risiken durch Dritte die Nase vorn behalten und sich an die sich wandelnden Rahmenbedingungen für Geschäftspartnerschaften und regulatorische Anforderungen anpassen.
Wenn du mehr darüber erfahren möchtest, wie Prevalent dir dabei helfen kann, dein TPRM-Programm zu verbessern, um diese und andere Herausforderungen zu meistern, dann frag noch heute nach einer Demo.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
