在一个公司、供应商、供货商、物流合作伙伴和云服务提供商之间相互联系日益紧密的世界里，第三方风险管理（TPRM）已经从每年一次的检查清单演练发展成为一项重要的日常职能。当世界另一端发生的事故可能导致客户服务中断时，有效和高效地了解和管理这些风险至关重要。除了 TPRM 的必要性之外，这种做法也从 10 年前的电子邮件交流发展到了结合传统尽职调查和高度自动化的持续监控流程。
本文解释了 TPRM 及其实施的驱动因素。它还确定了 TPRM 计划的基本生命周期，并概述了成功的诀窍以及在实施计划时应不惜一切代价避免的陷阱。
持续的地缘政治危机、灾难性的气候事件、意想不到的供应链中断以及不断增加的第三方网络安全威胁，促使企业迅速实施 TPRM 计划，以管理第三方带来的风险。大多数 TPRM 管理人员利用他们的 TPRM 计划来管理网络安全风险、实现数据治理和管理隐私要求，同时提高成本效率。
此外，能够快速成熟其 TPRM 能力的组织正在实现显著的竞争优势。拥有成熟的 TPRM 计划的企业在管理全球、地区和组织中断时，对其声誉和客户造成负面影响的几率要低得多。防止扩展供应链中的错误或配置不当影响为客户提供服务的能力，可能是企业的一项关键职能。TPRM 计划能让企业有效识别、降低和/或接受这些风险。简而言之，正确配置的 TPRM 计划可以防止不必要的意外事件对贵组织造成负面影响。
第三方风险管理的定义
第三方风险管理（TPRM）是一个识别、评估和降低与外部第三方（如销售商、供应商、承包商和业务合作伙伴）合作相关风险的过程。它涉及彻底的尽职调查，以应对可能影响组织运营、财务健康、网络安全、法律地位或服务客户能力的潜在风险。这些风险可能包括网络安全事件、供应链中断、劳动力短缺、金融不稳定、政治因素和地区冲突。TPRM 使组织能够主动管理风险并制定应对计划，而不是在问题出现时才做出反应，从而确保业务连续性并保护关键利益相关者。
第三方风险管理生命周期
TPRM 的价值始于识别风险的过程，并贯穿于企业与供应商之间关系的整个生命周期。TPRM 生命周期包括
- 采购和选择- 这一阶段包括评估每个潜在供应商满足服务或解决方案要求的能力，并对基线安全、隐私、声誉和财务风险进行评分。这可以通过进行问卷评估、访问供应商情报数据库或两者结合的方式来完成。
- 接收和入职- 一旦选定供应商，就可通过手动或批量上传将其纳入中央存储库。这可以通过内部利益相关者填写的接收表单、电子表格导入或现有供应商管理或采购解决方案的 API 来实现。
- 固有风险评分--固有风险是指供应商在考虑贵组织要求的任何特定控制措施之前的风险水平。最佳做法是，在允许供应商访问您的系统和数据之前，通过简单的评估对其固有风险进行评分。这还能让您确定所需的尽职调查级别以及后续风险评估的频率和范围。
- 内部控制评估- 控制评估可用于初始尽职调查和定期满足审计要求。评估过程中发现的风险通常会根据影响、可能性和其他因素进行评分。评估结果还可与其他合规和安全框架（如 ISO、NIST 或 SOC 2）中的关键要求相对应。
- 外部风险监控- 通过利用持续的第三方情报的外部来源，您可以弥补定期评估之间的差距，并根据外部观察结果验证评估响应。风险监控可包括网络情报、业务更新、财务报告、媒体筛查、全球制裁名单、国有企业筛查、政治公众人物（PEP）筛查、违规事件通知等。
- 服务水平协议和性能管理--评估和监控可用于确定供应商是否在整个业务关系中履行其义务。例如，这可以包括评估其按照 SLA 交付、应用补救措施或满足合规要求的能力。
- 离职和终止--在这一阶段，评估将确保所有最终义务均已履行。这可能包括合同审查、结清未付发票、取消系统和数据访问权限、撤销大楼访问权限以及审查隐私和安全合规性。
在规划您的 TPRM 方法时，请记住各方的情况可能会在业务约定期间的任何时候发生变化。检测和管理这些变化对企业的成功至关重要。供应商可能会改变业务运营，关键材料的供应链可能会中断，或者地区机构可能会改变进出口要求。例如，世界各地有关数据隐私的法律正在迅速变化。今天，所有这些情况都在发生，有效实施了 TPRM 流程的公司正在蓬勃发展，而其他公司则落在后面。
鉴于变化的速度很快，组织必然需要对可用信息进行近乎实时的监控和初步分析，以识别和管理风险。这一要求要求某些流程自动收集和传播有关第三方供应商的信息。有效的自动化可使您的 TPRM 办公室在组织遭受声誉风险之前识别风险并推动补救措施。
第三方风险管理计划驱动因素
一些监管和合规要求规定了第三方风险管理，可以为降低供应商风险提供有效的框架。推动 TPRM 计划的监管要求涵盖广泛的市场、供应商和数据，通常由组织类型（如CMMC、EBA、FCA、FFIEC、HIPAA、NERC、NIST、 NYDFS、OCC 及其他组织的法规和指导方针）、组织所在地（如隐私、州特许要求）或客户所在地（如GDPR、CCPA）驱动。要理解这些要求的关键点在于，确保您的计划考虑到贵组织有责任保护的数据、客户通常的居住地以及供应商提供服务时必须满足的标准要求。这些要求必须包含在您的协议中，并扩展到处理受保护数据的供应商。
各组织实施 TPRM 计划的驱动因素如下：
- 遵守监管要求。
- 网络安全风险。
- 有效的 TPRM 计划的竞争优势。
- 内部采购/效率驱动因素。
- 管理内部财务和业务风险。
- 满足客户要求。
无论贵组织建立 TPRM 计划的具体驱动力是什么，在建立工作流程的过程中，确定并与所有内部利益相关者（如高管、董事会、采购、内部审计、财务、IT、信息安全、法律和合规）合作至关重要。
谁应该参与第三方风险管理？
在考虑实施 TPRM 计划时，必须确保所有受影响的内部和外部利益相关者都参与到计划的制定中来。让相关利益者参与进来，可以确保所有人员、流程和技术协调一致，从而制定出有效的计划。至少应将以下人员视为内部利益相关者：
- 高管（首席执行官、首席财务官、首席信息官、首席运营官、首席信息安全官等）
- 总顾问
- 董事会成员
- 内部审计员
根据贵组织的类型、职能和运营情况，可能还有其他内部利益相关者。
外部利益相关者是制定计划时需要考虑的另一个重要群体。外部利益相关者包括
- 供应商
- 监管机构
- 客户
由于 TPRM 计划很少在公司成立之初就开始实施，因此必须考虑与外部供应商已经生效的现有协议/计划，并确保根据拟议的 TPRM 计划对其进行彻底分析。确保将差异记录在案，并制定计划来解决未缓解的风险，并跟踪完成情况。
监管 TPRM 风险管理的影响因素
监管标准是 TPRM 计划的主要驱动力。监管计划具体针对
- 医疗保健
- 联邦政府合同
- 接受信用卡
- 金融服务
- 银行业
- 制造业
所有这些都要求对 TPRM 实施全生命周期流程。这些要求通常是由标准业务过程中收集的敏感数据的类型驱动的。
这种由监管驱动的风险管理的一个主要例子是行业标准PCI-DSS 的一个重要部分，它定义了第三方供应商，并要求供应商不得将持卡人的 "数据代表客户或组织传输给可能危及其数据和环境安全的供应商"。这意味着，虽然公司有义务为自己制定所需的网络安全计划，但仍需监控供应商的网络安全计划，即使他们将风险控制在一定的阈值以下，也要对敏感数据进行访问。
另一个例子是，联邦计划和合同要求对所有能够访问信息的供应商进行严格的安全管理。这一过程远不止是简单的问卷调查和文件交换，还可能包括扫描内部环境和高管对数据保护的法律声明。所涉及的第三方的复杂性、潜在的利益冲突和经济损失促使企业不断改进风险管理实践和风险缓解策略。
传统上，TPRM 由内部人员执行，或外包给顾问，由他们按照完整的程序收集、分析和报告信息。具体来说，由于当前的大流行病限制了旅行，大大限制了实时信息的收集，因此以前使用人员协助评估流程的组织可能需要重新考虑他们的方法。这使得现场评估无法进行，并完全颠覆了第三方风险评估的传统方法，这种方法通常利用亲自访问来监控问卷调查提供的结果。
在当前情况下，供应链的风险复杂性和覆盖范围都在迅速增加，因此使用传统的成功流程根本不可行。要在 TPRM 方面取得成功，就必须更多地使用自动化和工具来收集和初步分析供应商数据。
人工智能在 TPRM 中的作用
随着企业越来越依赖相互关联的供应链和第三方关系，全面的风险洞察和及时的决策势在必行。来自不同来源的数据呈指数级增长，为利用 人工智能和高级分析提供了机会，从而实现更深入的风险评估、预测能力和实时监控。监管审查的增加和复杂威胁的激增，进一步要求采用数据驱动和人工智能驱动的方法进行风险管理。
采用人工智能（AI）相关技术有助于加强现代 TPRM 计划。人工智能的变革能力为简化 TPRM 和供应商风险管理 (SRM)流程提供了无与伦比的机会，为驾驭当代复杂的商业网络提供了更高效、更积极的方法。
以下是在第三方风险管理计划中利用人工智能的几种方法：
- 任务自动化： 人工智能驱动的系统可以简化日常的第三方风险评估、数据分析和报告。这可以提高效率和准确性，同时帮助第三方风险经理专注于更高层次的活动。
- 预测分析： 人工智能模型可以分析历史数据和模式，预测潜在风险，帮助您采取积极措施降低风险。
- 异常检测：人工智能算法可以识别可能预示着欺诈、安全漏洞或其他风险的异常模式或行为。
TPRM 的价值何在？
随着供应链遍布全球，潜在的风险也随之增加，这已超出了简单的安全评估，而需要在新供应商入职时明确确定安全态势。这可能会导致难以评估因大规模 "宏观事件"（如战争和地缘政治动荡、燃料价格、自然灾害和其他地区性灾害）导致的第三方中断风险。从最近发生的事件中我们可以了解到，对于企业来说，简化从供应商处收集网络安全数据的流程从未像现在这样重要。由于第三方和第四方网络的可视性和可控性较低，作为 TPRM 的一部分，对这些组织内部的风险因素进行监控、评估和缓解往往更具挑战性。
供应商风险管理 流程的核心部分不仅仅是对服务供应商进行安全评级。一个成功的 TPRM 管理解决方案可以让您了解第三方生态系统，并围绕以下问题展开：
- 您能否确定哪些人可能受到影响，以及第三方为保护您的数据安全提供了哪些服务？
- 您能否确定哪些第三方为组织提供服务并保证其数据安全？
最终，加强组织、弥补差距（了解差距所在、实施流程和协议）以及解决第三方风险管理问题将改善您的业务，帮助您维持和发展。
实施您的 TPRM 计划
一旦您决定实施 TPRM 计划，您将面临一系列重要问题，这些问题将构成您计划的基础。这些问题包括
- 您是否聘请合作伙伴帮助您启动和实施计划？
- 如何管理内部利益相关者的期望？
- 发生数据泄露时，您需要分配责任吗？
- 第三方开展业务必须满足哪些确切要求？
- 外部利益相关者是否理解需求并能够执行需求？
- 实施这些要求是否会改变与供应商的财务关系？
- 如何在现有关系中推广该计划？
各组织必须集中精力，汇集适当的人员、流程和技术，以实施第三方风险管理计划。了解每项职能的平衡和要求对于计划的成功运作至关重要。
为应对 TPRM 环境中的风险，您应在以下方面启用组织标准和语言：
- 制定合同和服务水平协议要求，以履行与风险相关的承诺。
- 根据业务约定或所提供服务的风险状况分析供应商的风险状况。
- 通过动态监控和基于事件的风险评估，实现报告流程。
- 混合定期风险评估 （自我报告）和持续风险监测（外部报告）方法，以全面识别风险。
- 实施技术解决方案，将采购、绩效和风险管理整合到一个统一的平台上，为利益相关者提供最新信息，满足他们的特定需求。
值得注意的是，在与内部和外部利益相关者建立关系时，并非所有激励措施都必须是惩罚性或限制性的。制定合同或服务水平协议的要求应包括最低绩效标准，但也可以包括对遵守关键风险管理功能的 "奖励"。此外，分析供应商的要求与贵组织的要求可以为双方带来巨大的利益。通过利用现有的合规领域，有可能降低双方的成本，实现互惠互利。
有效实施 TPRM 解决方案的价值在于实现关键风险管理计划，提供早期预警并推动有效的风险缓解。了解 TPRM 的价值只是决定实施该计划的第一步。选择、资源、与现有业务流程的整合以及关系都需要组织的支持和现有第三方生态系统的加入。虽然这是一项复杂的工作，但使用调查问卷、模板、工具、服务水平协议标准和自动化，对于快速成熟您的 TPRM 计划非常有价值。
下一步工作
想知道如何开始？请查看我们的免费最佳实践指南《供应商风险生命周期导航》：每个阶段的成功关键。有兴趣了解我们的第三方风险管理解决方案和服务是否适合贵组织？申请演示。
编者按：本文最初发表于Prevalent.net。2024 年 10 月，Mitratech 收购了人工智能第三方风险管理平台 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
