Die Kulisse schaffen
Als eines der weltweit führenden Kreuzfahrtunternehmen betreibt Norwegian Cruise Line Holdings (NCLH) ein umfangreiches globales Netzwerk aus Partnern, Lieferanten und Technologieanbietern, das für einen reibungslosen Betrieb seiner Flotte sorgt. Hinter den Kulissen bringt diese Größe jedoch auch Komplexität mit sich – insbesondere beim Management von Lieferanten- und IT-Risiken.
Die Herausforderung
Vor achtzehn Monaten erkannte NCLH die Notwendigkeit eines einheitlicheren und widerstandsfähigeren Ansatzes für die Überwachung von Drittanbietern in seinen Unternehmensabläufen. Unterschiedliche Prozesse in den Bereichen IT, Recht und Lieferkette machten es schwierig, sich ein vollständiges Bild von den Risiken durch Lieferanten zu verschaffen. Um den Betrieb zu schützen und die Compliance in einem zunehmend digitalen Ökosystem sicherzustellen, machte sich das Unternehmen daran, ein umfassendes Programm zum Risikomanagement für Drittanbieter (TPRM) von Grund auf aufzubauen.
Die Gelegenheit
Vor dieser Initiative erfolgte das Lieferantenrisikomanagement bei NCLH weitgehend ad hoc. Verschiedene Teams führten Teile der Due Diligence und Risikobewertung durch, jedoch ohne zentrales Rahmenwerk oder einheitliche Standards. Angesichts Tausender Lieferanten, die den Geschäftsbetrieb unterstützen, war die Herausforderung klar: Es galt, ein formelles, skalierbares Programm zu etablieren, das sich auf die wichtigsten und risikoreichsten IT-Lieferanten des Unternehmens konzentriert. Das bedeutete, Verantwortlichkeiten zu definieren, Bewertungen zu standardisieren und Transparenz über alle Abteilungen hinweg zu gewährleisten – und gleichzeitig die Grundlagen für zukünftige Automatisierung und Analysen zu schaffen.
Die Lösung: Mitratech TPRM
Unter der Leitung von John Kolich begann das IT-Compliance-Team mit der Entwicklung eines umfassenden IT-Programms, das von Grund auf neu aufgebaut wurde. Der erste Schritt bestand darin, den Umfang auf etwa 200 bis 250 wichtige IT-Anbieter einzugrenzen, um sicherzustellen, dass die wichtigsten Beziehungen sofortige Aufmerksamkeit erhielten.
Um dieses neue Programm zu ermöglichen, suchte NCLH nach einer Technologie, mit der sich Lieferantendaten zentralisieren, Bewertungen automatisieren, Cybersicherheitsrisiken überwachen und die Zusammenarbeit zwischen den Abteilungen vereinfachen lassen. Nach der Bewertung mehrerer Tools entschied sich das Team für die Mitratech Third-Party Risk Management-Plattform, da diese folgende Funktionen bietet:
- Zentralisierung von Lieferanteninformationen – Konsolidierung von Daten aus den Bereichen IT, Recht und Lieferkette in einer einzigen zuverlässigen Quelle für vollständige Transparenz in Bezug auf wichtige Lieferantenbeziehungen.
- Automatisierung des Onboardings – Ersetzen manueller Aufnahmeformulare und Tabellenkalkulationen durch standardisierte digitale Workflows, die Geschwindigkeit, Genauigkeit und Konsistenz verbessern.
- Unterstützung bei der laufenden Neubewertung und kontinuierlichen Überwachung – Ermöglicht planmäßige, automatisierte Überprüfungen der Lieferantenleistung und Risikolage, um sicherzustellen, dass das Programm aktuell und konform bleibt.
- Nachverfolgung von Abhilfemaßnahmen und Leistung – Nutzung automatisierter Warnmeldungen und Dashboards, um Risikofeststellungen nachzuverfolgen, die Lösung von Problemen zu überwachen und Programmverbesserungen im Laufe der Zeit aufzuzeigen.
- Anpassung im Zuge der Weiterentwicklung des Programms – Bereitstellung konfigurierbarer Workflows und Analysen, die mit dem sich weiterentwickelnden TPRM-Framework von NCLH mitgewachsen sind, von der ersten Einführung bis zur unternehmensweiten Umsetzung.
Zusammen gaben diese Fähigkeiten NCLH eine strukturierte, skalierbare Grundlage für die Überwachung durch Dritte – eine Grundlage, die sowohl die unmittelbaren Prioritäten als auch die langfristigen Risikomanagementziele des Unternehmens unterstützen konnte.
Norwegian nutzt außerdem das Mitratech ROC Managed Services Team, um die manuelle Arbeit der Nachverfolgung von Lieferantenantworten und der Sicherstellung, dass Umfragen hochgeladen und ausgewertet werden, auszulagern. Durch den Wegfall dieser manuellen Komponente der Bewertung kann sich Norwegian auf die kritischsten Risiken in der Lieferantenbeziehung konzentrieren und sein TPRM-Programm weiter optimieren.
Die Ergebnisse
Zu Beginn der Einführung begann das IT-Risiko-Team von NCLH, die Cyber-Überwachungsfunktionen der Plattform zu nutzen, um benutzerbezogene Warnmeldungen und potenzielle Schwachstellen in Echtzeit zu verfolgen. Zum ersten Mal konnten Teams aus der IT-Abteilung und anderen Abteilungen Risikokennzahlen gleichzeitig einsehen und darauf reagieren, anstatt sich auf fragmentierte Updates aus verschiedenen Systemen verlassen zu müssen. Kolich merkte an, dass die Möglichkeit, zeitnah Einblick in die Cybersicherheit von Anbietern zu erhalten, bereits dazu beigetragen hat, die Priorisierung von Anbieterüberprüfungen und die Koordination von Folgemaßnahmen innerhalb des Unternehmens zu verbessern.
Die Ergebnisse auf einen Blick
Im ersten Jahr hat das IT-Risiko-Team von NCLH erfolgreich mit Mitratech zusammengearbeitet, um:
- Ein formelles, unternehmensweites Rahmenwerk für Risiken durch Dritte einrichten, das mit der Unternehmensführung abgestimmt ist.
- Standardisieren Sie Bewertungen und Überprüfungen bei risikoreichen IT-Anbietern und verbessern Sie so die Effizienz und Konsistenz.
- Verbessern Sie die Zusammenarbeit zwischen Rechts-, IT- und Lieferkettenteams durch eine verbesserte Transparenz der TPRM-Cyberrisiken.
- Legen Sie den Grundstein für kontinuierliche Verbesserungen mit den bevorstehenden Roadmap-Erweiterungen in den Bereichen Cyber-Überwachung, Erkennung von Sicherheitsverletzungen und KI-gesteuerte Automatisierung.
Ausblick + nächste Schritte
Nachdem die Grundlagen für ein formelles Risikomanagementprogramm für Dritte geschaffen wurden, konzentriert sich Norwegian Cruise Line Holdings nun darauf, seine Fähigkeiten zu erweitern und zu vertiefen. Nachdem das IT-Risikoteam alle landgestützten Einrichtungen und Systeme erfolgreich unter einheitliche Aufsicht gestellt hat, richtet es nun seine Aufmerksamkeit auf die maritime Umgebung und erweitert die Überwachung von Dritten auf die Betriebstechnologien und Lieferanten, die seine Flotte auf See versorgen.
Das Team arbeitet weiterhin eng mit Mitratech zusammen, um die Automatisierung zu verbessern, die Transparenz zu erhöhen und die Lieferantenüberwachung an die Unternehmensstrategie für Risikomanagement und Compliance anzupassen.
Durch die Umwandlung früher Erfolge in langfristige Reife ebnet NCLH den Weg für ein wirklich vernetztes, datengestütztes Risikomanagement für Lieferanten – eines, das sich vom Hauptsitz bis zu jedem Schiff seiner globalen Flotte erstreckt.
TPRM 
