Das Management von Lieferantenrisiken ist "die Disziplin zur Verringerung oder Beseitigung des Restrisikos, mit dem Unternehmen und Behörden bei der Zusammenarbeit mit externen Dienstleistern und IT-Anbietern sowie damit verbundenen Dritten konfrontiert sind"[1] Das Management von Lieferantenrisiken umfasst folgende Aspekte:
- Onboarding und Zentralisierung der Verwaltung von Drittparteien
- Einstufung von Anbietern nach dem inhärenten Risiko, das sie für das Unternehmen darstellen
- Bewertung von Drittanbietern, je nach Stufe, anhand von Compliance- und Sicherheitsstandards
- Beseitigung von Risiken auf ein akzeptables Restrisiko-Niveau
- Berichterstattung an interne Teams und Aufsichtsbehörden über die Fortschritte
Das Problem bei vielen Risikomanagementprogrammen für Lieferanten ist, dass ein Großteil dieser Aktivitäten mit manuellen Tabellen und E-Mails abgewickelt wird. Dieser langsame und kostspielige Ansatz kann zu Fehlern führen und unnötige Risiken aufrechterhalten. Viele Unternehmen möchten diese Arbeit effizienter durchführen, haben aber Schwierigkeiten, die richtigen Funktionen zu finden, die ihnen dabei helfen.
Gehen wir fünf Kategorien von Kriterien durch, die bei der Auswahl einer Lösung zur Automatisierung und Beschleunigung Ihres Risikomanagementprogramms für Lieferanten zu berücksichtigen sind.
5 Kategorien von Kriterien für die Auswahl einer Risikomanagementlösung für Lieferanten
Eine Lösung für das Management von Lieferantenrisiken (Vendor Risk Management, VRM) sollte Ihr Programm schrittweise in fünf Schlüsselkategorien ausbauen:
1) Verwalten Sie alle Ihre Lieferanten an einem Ort
Die erste Kategorie konzentriert sich auf die anfängliche Kontrolle über Ihr Ökosystem von Drittanbietern. Hier prüfen Sie die Fähigkeiten einer Lösung zur Aufnahme von Anbietern und bewerten deren inhärentes Risiko. Inhärente Risikokennzahlen können Ihnen Aufschluss darüber geben, wie Sie Anbieter einstufen und kategorisieren. Auf diese Weise können Sie Ihre Anbieter nach dem Risiko bewerten, das sie für Ihr Unternehmen darstellen.
2) Raus aus dem Spreadsheet-Gefängnis
Eine Lösung für das Risikomanagement von Lieferanten sollte Ihnen helfen, aus dem "Tabellenkalkulationsgefängnis" herauszukommen. Automatisierte Bewertungsfunktionen ermöglichen es Ihren Teams, mit Anbietern zusammenzuarbeiten und Informationen über deren Sicherheitskontrollen zu sammeln. Die richtige VRM-Lösung wird den Umfang der Hin- und Her-Kommunikation während des gesamten Lieferantenlebenszyklus erheblich reduzieren.
3) Klügere Entscheidungen treffen
Eine leistungsstarke Lösung ermöglicht es Ihnen, die Antworten auf die Bewertungen anhand von externen Cybersicherheitsbewertungen und Geschäftsrisikodaten zu überprüfen. Idealerweise wünschen Sie sich eine Lösung, die die Risikoinformationen aus der kontinuierlichen Überwachung mit den Bewertungsdaten der Anbieter in einem einzigen Risikoregister kombiniert. Dies führt zu einer ganzheitlicheren Sicherheitsbewertung und erleichtert eine fundierte Entscheidungsfindung.
4) Reparieren, was wichtig ist
Durch die Ergänzung von Bewertungsdaten mit kontinuierlichen Bedrohungsdaten sind Sie besser in der Lage, Risiken Dritter zu priorisieren und zu beseitigen. Um dies zu erreichen, benötigen Sie leistungsfähige Berichtsfunktionen sowie Automatisierungsfunktionen zur Auslösung von Abhilfeworkflows.
5) Kontinuierlich, intelligent und automatisiert
In dieser Kategorie bewerten Sie die Fähigkeit einer VRM-Lösung, kontinuierliche Einblicke zu liefern, die Ihre laufenden Risikomanagementinitiativen unterstützen. Letztendlich wollen Sie eine Lösung, die Ihnen hilft, ein berechenbareres und proaktiveres Risikomanagementprogramm für Drittanbieter aufzubauen.
Nächste Schritte bei der Bewertung von Risikomanagementlösungen von Anbietern
Sind Sie bereit für den nächsten Schritt bei der Evaluierung von Risikomanagementlösungen für Anbieter? Laden Sie unser RFP-Toolkit herunter, das eine Bewertung enthält, die Folgendes umfasst:
- Projektumfang, -ziele und -resultate
- KPIs und Zeitpläne für Projekte
- Lösungsanforderungen und Anwendungsfälle
- Detaillierte Antwortkriterien des Anbieters
Außerdem erhalten Sie sofortigen Zugriff auf eine detaillierte Tabelle zum Vergleich von Risikomanagement-Anbietern und zur automatischen Bewertung der Ergebnisse. Beginnen Sie noch heute mit Ihrer Bewertung!
[1] "Magic Quadrant for IT Vendor Risk Management Tools". Gartner. August 24, 2020. Joanne Spencer und Edward Weinstein.
Eine Checkliste für Risikomanagementlösungen von Lieferanten
Nutzen Sie diese Tabelle, um Ihr aktuelles VRM-Programm zu bewerten, Lösungsanbieter zu vergleichen und zu ermitteln, welche Lücken Sie schließen müssen. In der Tabelle werden die Auswahlkriterien in die fünf oben genannten Kategorien eingeteilt.
Verwalten Sie alle Anbieter an einem Ort
Wie gut ermöglicht die Lösung das Onboarding von Anbietern und das Verständnis der ihnen innewohnenden Risiken?
| Kriterien | Kriterien erfüllt? |
|---|---|
| 1) APIs und Verbindungen zu gängigen Lösungen zur Automatisierung des Onboarding | |
| 2) Automatisierte Vorlage zur Programmierung der Lieferantenanbindung | |
| 3) Profiling- und Tiering-Bewertung und integrierte Logik zur Umsetzung einer wiederholbaren Methodik für die Bewertung von Anbietern | |
| 4) Bewertung und Verfolgung der inhärenten und verbleibenden Risiken, um eindeutig festzustellen, welche Anbieter die größten Risiken für das Unternehmen darstellen | |
| 5) Dienstleistungen zur Einbindung und Bewertung neuer Anbieter für Teams mit geringen Ressourcen |
Raus aus dem Tabellenkalkulations-Gefängnis
Wie gut automatisiert die Lösung den Fragebogen zur Risikobewertung des Lieferanten?
| Kriterien | Kriterien erfüllt? |
|---|---|
| 1) Bibliothek mit Hunderttausenden von verifizierten Anbieterprofilen für eine schnellere und effizientere Einbindung von Anbietern und Risikobewertung | |
| 2) Eine große Anzahl von vorgefertigten Bewertungsvorlagen, die an spezifische Mandate oder Rahmenvorgaben angepasst werden können | |
| 3) Ein Assistent zur Erstellung benutzerdefinierter Bewertungen bietet Flexibilität bei der Bewertung von Anbietern anhand individueller Anforderungen. | |
| 4) Automatisierte Arbeitsabläufe und Aufgaben, um den Bewertungsprozess zu beschleunigen und einen klaren Weg zu den nächsten Schritten zu bieten | |
| 5) Zentralisierte Dokumente, Verträge, Vereinbarungen und Nachweise, die ein Repository für mehrere Teams darstellen | |
| 6) Out-of-the-Box-Berichterstattung für mehrere Compliance- und Rahmenanforderungen unter Verwendung eines einzigen Fragebogens zur Eingabe der Antworten, was Zeit spart | |
| 7) Optionen zur Auslagerung der Fragebogengestaltung sowie der Erhebung und Analyse von Daten an Experten, um Ressourcenknappheit zu vermeiden |
Klüger werden
Bietet die Lösung externe Risikoinformationen, um die Antworten auf Bewertungen zu validieren und Lücken zwischen den regelmäßigen Bewertungen zu schließen?
| Kriterien | Kriterien erfüllt? |
|---|---|
| 1) Cyber-Überwachung aus dem Deep/Dark Web für Echtzeit-Risikoerkenntnisse | |
| 2) Unternehmensüberwachung aus Hunderttausenden von Quellen, die Informationen zu geschäftlichen, regulatorischen oder rechtlichen Fragen liefern RESTful API, um Verbindungen zu anderen Systemen zu ermöglichen |
|
| 3) Einheitliches Risikoregister, das Cyber- und Geschäftsrisikoereignisse mit Bewertungsergebnissen korreliert, um die vom Anbieter gemeldeten Kontrolldaten zu validieren | |
| 4) Verwandeln Sie eingehende Cyber- und Geschäftsereignisdaten von Anbietern in umsetzbare Risiken und verschaffen Sie sich einen Echtzeit-Risikoüberblick. Auslösen von Aktionen wie dem Senden von Benachrichtigungen, dem Erstellen von Aufgaben oder Markierungen oder dem Erhöhen von Risikobewertungen, um den Prozess der Risikominderung zu beschleunigen |
|
| 5) Flexible Risikogewichtung, die die Bedeutung spezifischer Risiken für das Unternehmen genau definiert | |
| 6) Kennzeichnung und Kategorisierung - entweder automatisch oder manuell - zur Eskalation eines Risikos und Weiterleitung an den zuständigen Ansprechpartner zur Behebung | |
| 7) Eine Matrix, die eine dynamische Risikoanalyse auf der Grundlage der Wahrscheinlichkeit eines Vorfalls und seiner potenziellen Auswirkungen auf das Unternehmen ermöglicht |
Reparieren, was wichtig ist
Wie gut sind die Berichterstattungsfunktionen der Lösung, und wie gut hilft sie bei der Behebung von Problemen?
| Kriterien | Kriterien erfüllt? |
|---|---|
| 1) Integrierte Anleitung zur Abhilfe mit Empfehlungen zur Beschleunigung des Risikominderungsprozesses | |
| 2) Ein einheitlicher Berichtsrahmen, der es Ihnen ermöglicht, die Antworten auf den Fragebogen auf ein beliebiges Regelwerk oder einen Industriestandard, eine Richtlinie oder eine Methodik abzustimmen | |
| 3) Einhaltung von Vorschriften, Rahmenwerken und Richtlinien für CMMC, ISO 27001, NIST, GDPR, CoBiT 5, SSAE 18, SIG, SIG Lite, NYDFS, usw. | |
| 4) Die Möglichkeit, die "prozentuale Übereinstimmung" anzuzeigen, um den Fortschritt bei den Bemühungen zur Risikominderung zu demonstrieren | |
| 5) Umfassende Berichterstattung für jeden Anbieter und für alle Anbieter | |
| 6) Projektion der Risikobewertung über einen bestimmten Zeitraum, nachdem die Abhilfemaßnahmen durchgeführt und die Risiken gemindert wurden | |
| 7) Workflows und Ticketing zur Automatisierung der Kommunikation | |
| 8) Berichterstattung über mehrere Sicherheits-, Compliance- und Datenschutzvorschriften mit integrierten Berichtsvorlagen und Status | |
| 9) Leitende und operative Dashboards | |
| 10) Dienste zur Verwaltung des Sanierungsprozesses für eingeschränkte Teams |
Proaktiv und fortlaufend sein
Liefert die Lösung kontinuierliche Erkenntnisse für Ihre laufenden Risikomanagement-Initiativen?
| Kriterien | Kriterien erfüllt? |
|---|---|
| 1) Proaktive und inkrementelle Bewertungen, ausgelöst durch Erkenntnisse und Ergebnisse der kontinuierlichen Überwachung | |
| 2) Proaktive und inkrementelle Aktualisierungen und Ereignisbenachrichtigungen | |
| 3) Kontinuierliche Cyber-Überwachung, Bewertung und Alarmierung | |
| 4) Handlungsbefähigung - automatisierte Playbooks | |
| 5) Bibliothek mit Regeln und nachrichtendienstlichen Maßnahmen | |
| 6) Verhaltensanalyse und -erkennung mit multidimensionaler Analyse |
Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich veröffentlicht auf Prävalent.net. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.
