Was ist Vendor Offboarding?
Vendor Offboarding bezeichnet die Praxis, einem Lieferanten den Zugriff auf Systeme, Daten und die Unternehmensinfrastruktur zu entziehen – und sicherzustellen, dass alle weiteren im Vertrag festgelegten Maßnahmen durchgeführt werden. Vendor Offboarding zielt darauf ab, einen reibungslosen und sicheren Übergang zu gewährleisten, Risiken und Störungen des Geschäftsbetriebs zu minimieren und sensible Informationen zu schützen.
Viele Unternehmen übersehen die Bedeutung eines sicheren und programmatischen Offboarding-Prozesses und setzen sich damit zukünftigen Risiken aus. In diesem Artikel behandeln wir folgende Themen:
- Beispiele für häufige Risiken im Zusammenhang mit der Beendigung der Zusammenarbeit mit einem Lieferanten
- Herausforderungen beim Management des Lieferanten-Offboardings
- 7 bewährte Methoden zum sicheren Auslaufen von Geschäftsbeziehungen
Laden Sie sich auch den vollständigen Leitfaden zur Sorgfaltspflicht beim Offboarding von Lieferanten herunter, um weitere Informationen zu diesem Thema zu erhalten, darunter eine Checkliste mit 40 Punkten, mit der Sie Ihren Offboarding-Prozess noch heute verbessern können.
Arten von Risiken, die beim Offboarding von Lieferanten zu berücksichtigen sind
Eine ordnungsgemäße Beendigung der Zusammenarbeit mit Lieferanten ist für das Risikomanagement von entscheidender Bedeutung, insbesondere da die Teams für Sicherheit, Beschaffung und Lieferantenmanagement die Überwachung der Lieferanten einstellen, wenn die Geschäftsbeziehung endet. Ein unvollständiger oder übereilt durchgeführter Beendigungsprozess kann zu finanziellen Verlusten, behördlichen Strafen und Reputationsschäden führen.
Cyberrisiko
Eine Verletzung der Daten, die ein Anbieter nach der Kündigung aufbewahrt, kann zu Reputationsproblemen, Rechtskosten und behördlichen Feststellungen führen. Es gibt mehrere Beispiele dafür, wie unvollständige Offboarding-Prozesse von Drittanbietern oder Lieferanten Unternehmen geschädigt haben.
- Im Jahr 2023 meldete UScellular einen Datenverstoß, bei dem die privaten Daten von rund 5 Millionen Kunden offengelegt wurden. Anstatt UScellular direkt anzugreifen, nahmen die Kriminellen einen „ehemaligen Drittanbieter“ ins Visier, um an die Daten zu gelangen. Wenn ein Anbieter aus dem Unternehmen ausscheidet, sollte er alle Ihre Daten zurückgeben oder sicher löschen.
- Im Januar 2023 kam es zu einer Datenpanne bei einem ehemaligen Cloud-Anbieter von AT&T, von der 8,9 Millionen Mobilfunkkunden betroffen waren. Infolgedessen erklärte sich AT&T bereit, eine Geldstrafe in Höhe von 13 Millionen US-Dollar an die FCC zu zahlen, die Verwaltung von Kundendaten zu verbessern und strengere Vorschriften für den Umgang mit Daten bei seinen Anbietern durchzusetzen, um künftige Verstöße zu verhindern. Diese Datenpanne ereignete sich Jahre nach Vertragsende und unterstreicht, wie wichtig es ist, Anbieter auch nach Vertragsende kontinuierlich zu überwachen.
- Im Jahr 2021 kam es im Lexington Medical Center zu einer Sicherheitsverletzung, als eine unbefugte Person eines ehemaligen Lieferanten, der Healthgrades Operating Company, Zugriff auf Sicherungsdateien auf archivierten Servern erhielt, die geschützte Gesundheitsdaten (ePHI) enthielten. Healthgrades hatte zuvor Patientenaufklärungsdienste für das Lexington Medical Center erbracht. Wenn es aufgrund von Aufbewahrungsrichtlinien nicht möglich ist, Daten sicher zu löschen, sollten Unternehmen sicherstellen, dass der Lieferant über Kontrollen verfügt, um unbefugten Zugriff auf die Daten zu verhindern.
Finanzielles Risiko
Das Ende einer Lieferantenbeziehung kann zusätzliche Kosten verursachen. Beispielsweise kann der Lieferant eine Gebühr für die vorzeitige Kündigung ausgehandelt haben. Darüber hinaus können Ihrem Unternehmen Kosten für die Suche, Auswahl und Einarbeitung eines Ersatzlieferanten entstehen, wie z. B. Einarbeitungs- und Schulungskosten. Ohne einen reibungslosen Übergangsprozess kann es zu Verzögerungen bei der Lieferung von Teilen, Produkten und Dienstleistungen durch neue Lieferanten kommen, was wiederum die Lieferfähigkeit Ihres Unternehmens gegenüber seinen Kunden beeinträchtigen kann.
Rechtliches Risiko
Wenn Ihre Rechtsabteilung den Vertrag während der Verhandlungen und bei jeder Entwicklung im Laufe der Geschäftsbeziehung nicht gründlich prüft, kann es zu Streitigkeiten über die Eigentumsrechte an geistigem Eigentum (IP) oder die Kündigungsparameter kommen. Die Rechtskosten können erheblich sein, wenn es zu Streitigkeiten über das Recht einer Organisation zur Kündigung eines Vertrags kommt.
Reputationsrisiko
Die Pflege guter Beziehungen zu Lieferanten ist wichtig, auch wenn Geschäftsvereinbarungen gekündigt werden. Andere Lieferanten könnten eine schlechte Kommunikation oder Vertragserfüllung mit einem Lieferanten als Beweis dafür interpretieren, dass Ihr Unternehmen ein schwieriger Geschäftspartner ist. Dies kann sich auch negativ auf Ihre Beziehungen zu anderen bestehenden Lieferanten oder potenziellen Geschäftspartnern auswirken.
Diese Beispiele zeigen, dass Unternehmen bei der Beendigung der Zusammenarbeit mit Lieferanten eine Vielzahl von Geschäftsrisiken bewerten müssen.
Herausforderungen beim Offboarding von Lieferanten
Beschaffungs-, Lieferantenmanagement- und Sicherheitsteams betrachten das Risikomanagement für Dritte (TPRM) oft als eine Maßnahme, die vor der Aufnahme eines neuen Lieferanten durchgeführt werden muss. Daher ist es nicht verwunderlich, dass das Offboarding von Lieferanten in vielen Unternehmen nur eine nachträgliche Überlegung ist. Während fast 90 % der Unternehmen Risiken in der Beschaffungs- und Auswahlphase verfolgen, verfolgen weniger als 80 % Service Level Agreements (SLAs) und Offboarding-Risiken in späteren Phasen des Beziehungslebenszyklus. Die Sorgfaltspflicht bei der Lieferantenbeschaffung und -auswahl ist zwar eine wichtige Aufgabe, doch die Messung und das Management von Risiken erstrecken sich über die gesamte Dauer der Beziehung zu einem Lieferanten. Dazu gehört auch das Management des Beziehungsendes durch ein gründliches Lieferanten-Offboarding.
Begrenzte Beteiligung der Interessengruppen
Wie beim Onboarding von Lieferanten können Wissenssilos es schwierig machen, alle erforderlichen Aufgaben für das Offboarding von Lieferanten zu identifizieren. Die Beschaffungsabteilung kann einen Lieferanten darüber informieren, dass ein Vertrag nicht verlängert wird, aber die Rechtsabteilung muss die Vertragsbedingungen prüfen und Details zu den erforderlichen Schritten für eine ordnungsgemäße Kündigung bereitstellen. In einigen Fällen muss die Technikabteilung möglicherweise das mit dem Lieferanten geteilte geistige Eigentum identifizieren. Die Fertigung und der Betrieb müssen bestätigen, welche Schritte erforderlich sind, um Produktionsausfälle zu vermeiden. Die Finanzabteilung muss ausstehende Rechnungen oder Gutschriften des Lieferanten identifizieren. Die IT-Sicherheit muss sicherstellen, dass Daten vernichtet und Systemzugriffe widerrufen werden. Ohne die Koordination zwischen diesen Teams ist das Offboarding eine komplizierte Aufgabe.
Nachlässige Sorgfaltspflicht beim Offboarding
Es ist einfacher, sich auf Aktivitäten mit neuen Lieferanten zu konzentrieren als auf solche, die ausgemustert werden. Um die oben genannten Risiken zu mindern, ist es entscheidend, bei der Ausmusterung eines Lieferanten gründlich vorzugehen. Dazu müssen alle Teammitglieder, die mit dem Lieferanten interagieren, potenzielle Risiken identifizieren, sich auf Maßnahmen zur Risikominderung einigen und den Fortschritt sorgfältig verfolgen. Manuelle Methoden zur Durchführung der Due Diligence führen unweigerlich zu versäumten Aufgaben und ungelösten Risiken.
Unvollständige Transparenz bei der Risikominderung
Die Verfolgung von Aufgaben in Tabellenkalkulationen oder gemeinsam genutzten Dokumenten kann den Offboarding-Prozess inkonsistent und fehleranfällig machen. Die Vollständigkeit und Genauigkeit einer Aufgabenliste hängt von der Fachkompetenz aller am Offboarding-Prozess Beteiligten ab. So kann es beispielsweise vorkommen, dass ein weniger erfahrener Mitarbeiter wichtige Aufgaben übersieht oder einen Punkt fälschlicherweise als erledigt markiert, ohne dass die vollständigen Unterlagen eines Lieferanten vorliegen. Tabellenkalkulationen, auf die mehrere Mitarbeiter Zugriff haben, verfügen zudem nicht über Kontrollmechanismen.
Bewährte Praktiken für das Offboarding von Anbietern
Ein zentralisierter Prozess kann Teams dabei helfen, das Offboarding von Lieferanten zu automatisieren, die Vollständigkeit sicherzustellen und Risiken effektiv zu minimieren. Hier sind sieben bewährte Vorgehensweisen, die beim Offboarding zu beachten sind:
1. Halten Sie die Kommunikationswege offen
Teams können Risiken mindern, indem sie während des gesamten Offboarding-Prozesses den Kontakt zum Anbieter aufrechterhalten. Dazu gehört, den Anbieter über den Zeitplan für das Offboarding zu informieren, Fragen zu beantworten und klare Anweisungen zu den Erwartungen während des Prozesses zu geben. Eine Lösung, die die Interaktion mit Anbietern zentralisiert, Aufgaben und Zeitpläne verwaltet und Genehmigungsworkflows erfordert, reduziert den manuellen Aufwand für die Bearbeitung dieser Angelegenheiten erheblich.
2. Führen Sie eine abschließende Überprüfung des Vertrags durch.
Überprüfen Sie die Kündigungsbestimmungen des Vertrags, um sicherzustellen, dass Sie das Recht haben, die Geschäftsbeziehung zu beenden, und wenn ja, welche Fristen dafür gelten. Wenn Sie aufgrund eines Vertragsbruchs kündigen, stellen Sie sicher, dass entsprechende Mitteilungen versandt wurden und die Rechte des Anbieters zur Behebung von Mängeln gewahrt wurden. Im Laufe der Zeit können sich die Vertragsbedingungen geändert haben. Eine abschließende Überprüfung durch die Rechts- und Beschaffungsabteilung kann Umfangsänderungen aufdecken und sicherstellen, dass der Anbieter alle vertraglich vereinbarten Waren und Dienstleistungen geliefert hat.
Überprüfen Sie abschließend die KPIs, ausstehende Lieferungen und Zahlungen. Wenn der Lieferant Teile liefert, stellen Sie sicher, dass die Garantie- und Supportvereinbarungen, die auch nach der Kündigung bestehen bleiben, klar sind.
3. Begleichen Sie alle ausstehenden Rechnungen
Nachdem Sie die Vertragsbedingungen sorgfältig geprüft und die verbleibenden Verpflichtungen beider Parteien ermittelt haben, stellen Sie sicher, dass Sie die endgültigen Leistungen erhalten und die Restzahlungen planen. Berücksichtigen Sie bei der Berechnung der Zahlungen unbedingt alle Gutschriften oder Rückgaben, da diese nach Beendigung der Geschäftsbeziehung möglicherweise nur schwer wieder einzutreiben sind.
4. Zugriff auf IT-Infrastruktur, Daten und physische Gebäude widerrufen
Partner und Lieferanten benötigen möglicherweise Zugriff auf Ihre Systeme, beispielsweise auf solche, die für den Einkauf, die Technik, das Marketing und Finanzdaten verwendet werden. Bei der Beendigung der Zusammenarbeit mit einem Lieferanten ist es wichtig, dessen Zugriff auf Ihr geistiges Eigentum und andere sensible Daten zu beenden. Dazu gehören:
- Sicherstellen, dass Sie über eine Liste aller Lieferantenkonten verfügen, und Löschen der Anmeldedaten.
- Stellen Sie dem Anbieter eine vollständige Liste aller firmeneigenen Geräte zur Verfügung, die zurückgegeben werden müssen. Beachten Sie bei der Wiederverwendung zurückgegebener Geräte die Anforderungen zur Datenaufbewahrung.
- Ändern aller Anmeldedaten, einschließlich gemeinsam genutzter Anmeldedaten, wenn ein Anbieter über erweiterte Systemrechte verfügt.
- Deaktivierung des Zugriffs auf alle Anwendungen, einschließlich VPNs und Cloud-Apps, für die Dateifreigabe und Nachrichtenübermittlung.
- Entzug aller Zugriffsrechte, die der Anbieter möglicherweise über APIs hatte, da diese ein nützlicher Angriffsvektor sein könnten, wenn ein Hacker später den Anbieter kompromittiert.
Einige Mitarbeiter des Anbieters hatten möglicherweise physischen Zugang zu Ihren Büros oder Serverräumen. Deaktivieren Sie alle Schlüsselkarten und Ausweise und stellen Sie sicher, dass der Anbieter alle physischen Schlüssel zurückgibt. Manchmal kann es erforderlich sein, die Zugangscodes für Serverräume zu ändern. Arbeiten Sie mit Ihren physischen Sicherheitsteams zusammen, um sicherzustellen, dass ein klarer Prozess für die Verwaltung des physischen Zugangs von Anbietern vorhanden ist.
5. Überprüfung der Einhaltung von Datenschutz- und Informationssicherheitsvorschriften
Anbieter haben oft Zugriff auf sensible Daten, die möglicherweise gesetzlichen Anforderungen wie CCPA, DSGVO, PCI DSS und anderen unterliegen. Passen Sie Ihre Verfahren zur Beendigung von Anbieterverträgen während des Offboardings an Ihre gesetzlichen Verpflichtungen an. Risikomanagement-Plattformen von Drittanbietern verfügen über integrierte Berichtsfunktionen, die diesen gesetzlichen Verpflichtungen entsprechen und den Compliance-Prozess vereinfachen.
Wenn der Anbieter Kopien Ihrer sensiblen Daten besitzt, könnten diese bei einer späteren Sicherheitsverletzung offengelegt werden. Morgan Stanley hat es versäumt, die Außerbetriebnahme von Servern durch einen Dritten ordnungsgemäß zu überwachen. Eine anschließende Sicherheitsverletzung durch den Dritten führte zur Offenlegung personenbezogener Daten und zu einer Geldstrafe in Höhe von 60 Millionen US-Dollar durch das Office of the Comptroller of the Currency (OCC). Stellen Sie sicher, dass sämtliches geistiges Eigentum und alle sensiblen Daten zurückgegeben werden. Außerdem ist eine eidesstattliche Erklärung des Anbieters erforderlich, in der bestätigt wird, dass elektronische Kopien auf der Infrastruktur des Anbieters – einschließlich der Geräte der Mitarbeiter – sicher gelöscht wurden. Überprüfen Sie mit dem Anbieter die verbleibenden Verpflichtungen wie Vertraulichkeits-, Geheimhaltungs- und Wettbewerbsverbotsvereinbarungen.
6. Aktualisieren Sie Ihre Lieferantenmanagement-Datenbank
Nicht alle Kündigungen sind dauerhaft. Sie sollten eine klare Aufzeichnung der Geschichte des Anbieters in Ihrem Unternehmen haben, einschließlich der Leistungskennzahlen (KPIs) des Anbieters. Um rechtliche Risiken zu reduzieren, sollten Sie die Gründe für die Beendigung der Geschäftsbeziehung klar dokumentieren und eine vollständige Abrechnung der Kündigungsverfahren führen. Stellen Sie sicher, dass Sie über Aufzeichnungen aller Kommunikationen, Verträge und anderer Dokumente zwischen Ihrem Unternehmen und dem Anbieter verfügen, damit Sie alle Fragen oder Probleme in Zukunft schnell lösen können.
7. Lieferanten kontinuierlich auf potenzielle zukünftige Risiken überwachen
Auch wenn der Vertrag gekündigt und alle Aufgaben erfolgreich abgeschlossen wurden, können lange nach Beendigung der Geschäftsbeziehung noch Risiken für Ihre Systeme und Daten sowie Compliance- oder Reputationsrisiken auftreten. Durch die kontinuierliche Überwachung mehrerer Risikovektoren wird sichergestellt, dass Ihr Team einen umfassenden Überblick über potenzielle zukünftige Risiken hat.
Nächste Schritte zur Verbesserung Ihres Lieferanten-Offboarding-Prozesses
Die manuelle Verwaltung des Offboardings von Lieferanten in einem großen Unternehmen kann selbst gut besetzte Risikomanagementteams überfordern. Maßnahmen wie die Zentralisierung von Lieferantendaten und die Sicherstellung einheitlicher Offboarding-Prozesse im gesamten Unternehmen können zwar hilfreich sein, doch profitieren die meisten großen Unternehmen enorm vom Einsatz einer speziellen Risikomanagementplattform eines Drittanbieters.
Eine dedizierte TPRM-Plattform kann:
- Bieten Sie eine einzige Quelle für zuverlässige Lieferanteninformationen und fördern Sie die Zusammenarbeit zwischen internen Stakeholdern und Lieferanten in einer zentralen Lösung.
- Zentralisieren Sie das Vertragslebenszyklusmanagement und automatisieren Sie Aufgaben, um sicherzustellen, dass die Vertragsbestimmungen zum Schutz des Unternehmens eingehalten werden.
- Automatisieren Sie die Bewertung und kontinuierliche Überwachung von Lieferantenrisiken – vom Onboarding bis zum Offboarding –, indem Sie die Ergebnisse in einem einzigen Risikoregister zentralisieren, das koordinierte Maßnahmen ermöglicht.
- Bieten Sie Remediation-Beratung an, um sicherzustellen, dass ausgeschiedene Lieferanten die Compliance- und Sicherheitsanforderungen Ihres Unternehmens auf einem akzeptablen Risikoniveau erfüllen.
- Liefern Sie einen vorgeschriebenen Prozess, um letzte Aufgaben zu erledigen und gemäß den Compliance-Anforderungen Bericht zu erstatten.
Möchten Sie erfahren, wie Prevalent Ihnen dabei helfen kann, Risiken beim Offboarding im Rahmen Ihres umfassenden Lebenszyklusmanagements für Drittanbieter zu reduzieren? Fordern Sie noch heute eine Demo an.
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
