第三方风险管理（TPRM）实践正因供应链脆弱性、数据泄露及监管压力日益加剧而快速演变。2024年虽在第三方风险管理领域事件频发，但2025年的发展将推动业界借助人工智能等相关技术，更加聚焦业务韧性、透明度与可持续性建设。
本文探讨了2025年第三方风险管理领域的七大趋势预测。
#1. 人工智能将实现预测性与比较性报告，并加速评估与文档工作流程
2024年是人工智能在风险与合规管理领域实现突破性进展的一年，因此可以预见，随着企业逐步成熟其人工智能应用，人工智能与机器学习将在2025年继续发挥关键作用——它们将助力自动化风险评估、优化决策流程，并更快地识别潜在问题。
到2025年，人工智能驱动的系统将通过利用大型语言模型（LLMs）分析海量数据集并识别可能预示新兴风险的模式，帮助组织实时监控第三方风险。同时，人工智能还将提升组织审查佐证材料的能力，并能更有效地发现评估反馈与文件记录之间的矛盾之处。
然而，强大的数据安全、透明度和治理政策对人工智能的成功至关重要。数据印证了这一点：2024年，仅有5%的企业表示因缺乏治理机制而在其第三方风险管理计划中积极运用人工智能，而61%的企业正在探索人工智能的应用场景。随着企业对运用人工智能自动化处理任务和报告日益得心应手，我们预计这一局面将在2025年发生转变。
#2. 监管扩张将统一要求并推动尽职调查升级
全球各国政府和监管机构预计将扩大第三方风险管理要求，尤其在数据隐私、ESG（环境、社会和治理）以及业务韧性方面。跨境企业将面临更复杂的合规挑战，但我们也可能看到全球范围内协调法规的努力，以简化合规流程。
企业将日益需要在两大核心领域加强第三方供应商评估：韧性与环境影响。DORA将作为构建美国金融体系广泛运营韧性措施的来源，与货币监理署（OCC）的工作形成互补。 随着欧盟企业可持续发展报告指令（CSRD）和气候相关财务披露指令（CSDDD）等ESG法规的推行，企业将更严格审查合作伙伴的可持续发展实践，包括碳足迹、劳工实践及道德采购等维度。
#3. 地缘政治因素将推动对潜在集中度风险与韧性风险的追踪
延续韧性主题，中东、东非、南海及乌克兰持续的地区动荡将迫使企业审视其延伸的N级生态系统。企业将通过强化最终业务所有者（UBO）及关键人物分析，预判潜在干扰并规避制裁风险。公司将拓展供应商企业特征数据，以更清晰地识别区域与技术集中风险，从而降低停机风险。
#4. 第三方风险管理责任融入企业文化
多年来，由于外包风险及对IT基础设施依赖程度日益加深，第三方风险管理一直由IT安全团队主导。尽管日益增长的网络威胁以及涉及第三方供应商的高调数据泄露事件仍令人担忧，但企业需要加强跨部门协作才能有效管控风险。随着风险形态演变及新型风险（甚至非安全风险）的涌现，第三方风险管理的责任主体将如何定位？
2025年将成为关键转折点，届时第三方风险管理职能将移交至企业风险团队，从而使该领域更易融入跨企业业务流程。采购团队在第三方风险管理中的作用也将显著增强，因为采购、尽职调查及供应商退出流程均与风险管理紧密相关。
#5. 为实现董事会整体视角，需建立集中化的治理、风险与合规（GRC）及交易伙伴风险管理（TPRM）风险报告体系
通过融入企业风险管理的文化体系，交易风险管理（TPRM）将自然演进为更广泛的治理、风险管理与合规（GRC）应用场景。董事会和高级管理层需要获得整合视角的风险评估——无论风险源于内部或外部——并根据其业务影响进行评分和说明。为迎接这一趋势，应建立并报告整合的关键风险指标，确保这些指标既能满足业务部门需求，也能被非技术背景的受众理解。
#6. 风险聚合提升对业务韧性的关注
鉴于第三方网络安全事件持续蔓延，企业不仅需要评估单个第三方供应商的风险，更需考量整个生态系统中的总体风险。理解来自不同第三方供应商的关联风险如何层层传递并影响组织，将是构建供应链韧性的关键所在。
为应对这一趋势，需整合多个风险领域的持续监控，包括网络安全、运营风险、声誉风险、ESG风险及财务风险。借助实时数据与风险洞察，企业能够即时识别第三方风险状况的变化，从而增强其应对新兴威胁的能力，保障业务韧性。
#7. 第三方安全事件达到临界点
过去三年间，第三方网络安全事件数量呈指数级增长，报告遭遇第三方事件的企业比例从2021年的21%跃升至2024年的60%以上。 第三方数据泄露事件的严重程度也在加剧，仅Change Healthcare单一事件就影响数百万用户。鉴于医疗和金融服务机构已成为第三方攻击的常见目标，预计2025年网络犯罪分子将扩大攻击范围，转向支持教育机构、州政府及制造商等高知名度敏感行业的第三方服务商。
下一步工作
展望2025年，第三方风险管理将迎来重大变革。人工智能的持续发展、法规的协调统一以及对韧性的重视，都将提升第三方风险管理计划的效能与效率。通过拥抱这些创新与趋势，企业能够在第三方风险管理中保持领先地位，并适应不断演变的商业合作格局与监管要求。
若需了解Prevalent如何助您完善TPRM计划以应对这些及其他挑战，请立即申请演示。
编者按 本文最初发表于 Prevalent.net. 2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
