加拿大 OSFI 准则 B-10 合规性

Prevalent 公司与您合作，以成熟的最佳实践和丰富的实际经验为基础，建立全面的第三方风险管理 (TPRM) 计划。

我们的专家与您的团队合作，共同定义和实施 TPRM 流程和解决方案；选择风险评估问卷和框架；优化您的计划，以应对从采购和尽职调查到终止和离职的整个第三方风险生命周期。

作为这一过程的一部分，Prevalent 可以帮助您确定：

• 明确的角色和职责（如 RACI）
• 第三方库存
• 基于组织风险承受能力的风险评分和阈值
• 基于第三方关键性的评估和监测方法
• 第四方映射
• 持续监控数据的来源（网络、业务、声誉、财务）
• 关键绩效指标（KPI）和关键风险指标（KRI）
• 管理保护数据的政策、标准、系统和流程
• 针对服务水平的合规性和合同报告要求
• 事件响应要求
• 风险和内部利益攸关方报告
• 风险缓解和补救战略

Prevalent 可集中并自动分发、比较和管理招标书 (RFP) 和信息请求书 (RFI)。我们的解决方案还能提供业务、声誉、财务和数据泄露风险洞察，为供应商选择决策提供信息和背景资料。

Prevalent 将每个选定的供应商转入签约和/或入职尽职调查阶段，自动推进供应商的第三方生命周期。

Prevalent 拥有一个由 750 多个预建模板组成的库，可用于持续的第三方风险评估。这些模板与本地网络、运营、声誉和财务风险监控功能集成，可持续验证评估结果并填补评估之间的空白。

内置的补救建议可确保第三方及时、满意地处理风险。

有了这种能力，Prevalent 可以在签订第三方协议之前对第三方进行评估，在整个合作关系中定期进行评估，并在合作关系发生重大变化时进行持续监控。

Prevalent 提供合同前尽职调查评估，根据八项标准进行明确评分，以捕捉、跟踪和量化所有第三方的固有风险。标准包括

• 验证控件所需的内容类型
• 对业务绩效和运营的关键性
• 地点及相关法律或监管考虑因素
• 对第四方的依赖程度（避免集中风险）
• 接触过业务流程或面向客户的流程
• 与受保护数据的交互
• 财务状况和健康
• 声誉

通过这种固有的风险评估，您的团队可以自动对供应商进行分级；设定适当的进一步审查级别；并确定持续评估的范围。

基于规则的分层逻辑可利用一系列数据交互、财务、监管和声誉方面的考虑因素对供应商进行分类。

Prevalent 拥有一个由 750 多个预建模板组成的第三方风险评估库。评估可在合同续签时进行，也可按任何要求的频率（如每季度或每年）进行。评估问卷可以是全球性的，也可以是区域性的，以满足独特的法律或运营要求。

Prevalent 可根据风险评估结果提供内置补救建议。这些建议由工作流程和任务管理功能提供支持，以确保第三方及时、满意地处理风险。

集成的本地网络、运营、声誉和财务风险监控功能可在定期评估之间标记重大变化，并可触发通知、后续评估或其他行动。

有了这项功能，Prevalent 可以让您的企业在签订协议之前、作为合同续签流程的一部分、根据风险和关键程度定期进行风险评估，或者在第三方协议发生重大变化时进行评估。

Prevalent 可通过问卷评估或被动扫描第三方面向公众的基础设施来识别第四方和第 N 方分包关系。由此生成的关系图描述了可能使您的环境面临风险的信息路径和依赖关系。

对通过此流程发现的供应商进行持续监控，以识别财务、环境、社会和治理、网络、业务和数据泄露风险，并进行制裁/PEP 筛选。

这种方法为解决潜在的技术或地域集中风险提供了见解。

Prevalent 可集中分发、讨论、保留和审查供应商合同。它还提供了工作流程功能，可自动完成从入职到离职的合同生命周期。主要功能包括

• 集中跟踪所有合同和合同属性，如类型、关键日期、价值、提醒和状态，并提供基于角色的自定义视图
• 工作流程功能（基于用户或合同类型），实现合同管理生命周期自动化
• 自动提醒和逾期通知，以简化合同审查
• 集中合同讨论和意见跟踪
• 合同和文件存储，具有基于角色的权限，并对所有访问进行审计跟踪
• 支持离线合同和文件编辑的版本控制跟踪
• 基于角色的权限，可分配职责、访问合同和读/写/修改访问权限

有了这种能力，您就可以确保在供应商合同中明确规定责任，并对 SLA 进行相应的跟踪和管理。

Prevalent 为开展隐私评估和降低第三方及内部隐私风险提供了一个集中式协作平台。主要数据安全和隐私评估功能包括

• 定期评估和绘制关系图，以揭示个人数据的存在位置、共享位置和访问权限--所有这些都汇总在风险登记册中，以突出关键风险点
• 隐私影响评估，以发现存在风险的业务数据和个人身份信息 (PII)
• 通过 "普遍合规框架"（PCF），根据 GDPR 和其他隐私法规对供应商进行评估--通过将已识别的风险与特定控制措施进行映射，揭示潜在的热点问题
• GDPR 风险和应对措施与控制措施的映射。包括合规百分比评级和特定利益相关者报告。
• 包含数千家公司 10 多年数据泄露历史的数据库--包括被盗数据的类型和数量、合规性和监管问题，以及实时供应商数据泄露通知
• 集中入职、分发、讨论、保留和审查供应商合同--确保从合作关系一开始就执行数据保护规定

有了 Prevalent，审计人员就可以建立一个计划，有效地实现和证明合规性。该解决方案通过收集供应商风险信息、量化风险、建议补救措施以及针对数十种政府法规和行业框架生成报告，实现了第三方风险管理合规性审计的自动化。

Prevalent 可将从基于控制的评估中收集到的信息自动映射到 ISO 27001、NIST、GDPR、CoBiT 5、SSAE 18、SIG、SIG Lite、SOX、NYDFS 和其他监管框架，使您能够快速直观地了解并满足重要的合规要求。

此外，Prevalent 还可通过嵌入式机器学习洞察力，揭示单个供应商或群体的风险趋势、状态和常见行为的异常情况。这将使您能够快速识别评估、任务、风险等方面的异常值，从而开展进一步调查。

Prevalent 可自动对第三方业务复原力和连续性进行评估、持续监控、分析和补救，同时自动将结果映射到 NIST、ISO 和其他控制框架。

为了补充业务复原力评估并验证结果，Prevalent：

• 自动进行持续的网络监控，预测可能对第三方业务造成的影响
• 从超过 550,000 个公共和私人声誉信息来源中获取定性见解，这些信息可能预示着供应商的不稳定性
• 从 200 万家企业的全球网络中获取财务信息，以确定供应商的财务健康状况或运营问题

这种积极主动的方法使您的组织能够最大限度地减少第三方干扰的影响，并始终满足合规要求。

Prevalent 平台包括基于 ISO 22301 标准实践的全面业务复原力评估，使组织能够：

• 根据供应商的风险状况和对业务的重要性对其进行分类
• 概述恢复点目标（RPO）和恢复时间目标（RTO）
• 集中管理系统库存、风险评估、RACI 图表和第三方
• 确保在业务中断期间与供应商保持一致的沟通

当需要终止或退出关键服务时，Prevalent 可利用可定制的调查和工作流程，报告系统访问、数据销毁、访问管理、相关法律合规性、最终付款等情况。该解决方案还可根据离职评估的答案提出行动建议，并在必要时将任务分配给审查人员。

Prevalent 可持续跟踪和分析第三方面临的外部威胁。该解决方案可监控互联网和暗网的网络威胁和漏洞，以及声誉、制裁和金融信息的公共和私人来源。

所有监测数据都与评估结果相关联，并集中在每个供应商的统一风险登记册中，从而简化了风险审查、报告和应对措施。

监测来源包括

• 1,500 多个犯罪论坛；数千个洋葱页面；80 多个暗网特殊访问论坛；65 多个威胁源；50 多个用于粘贴泄漏凭证的网站 - 以及多个安全社区、代码库和漏洞数据库，覆盖 55 万家公司
• 包含全球数千家公司 10 多年数据泄露历史的数据库
• 550,000 个公共和私人声誉信息来源，包括并购活动、商业新闻、负面新闻、监管和法律信息、运营更新等
• 由 200 万家企业组成的全球网络，5 年来的组织变革和财务业绩，包括营业额、损益、股东资金等。
• 30,000 个全球新闻来源
• 一个包含 180 多万名政治公众人物档案的数据库
• 全球制裁名单以及 1,000 多份全球执行名单和法院文件

Prevalent 平台包含一个庞大的标准化评估库（包括 NIST 和 ISO 最佳实践框架的评估）和自定义功能，可灵活评估第三方。对于提交SOC 2 报告而非完整第三方风险评估的第三方，Prevalent 可帮助您映射 SOC 2 报告中发现的控制漏洞，在中央评估平台内创建针对第三方的风险项目，并针对缺陷和其他风险进行跟踪和报告。

无论网络安全框架如何，Prevalent 都能帮助您缩短评估时间并降低风险。