组织变革（如并购与剥离）会使企业架构变得复杂且支离破碎。这些转型往往涉及大量第三方供应商、分包商、供货商及其他相关方的接入与退出，而每个环节都可能带来潜在的未知风险，从而对业务运营造成不利影响。
第三方风险管理（TPRM）在此类情境中扮演着关键情报来源的角色。完善的TPRM计划有助于识别并评估与第三方相关的风险，并在过渡过程中实施风险缓解策略，从而保障组织的业务运营安全。本文将深入探讨在并购、剥离及其他业务转型过程中，应对第三方风险复杂性所需的知识体系与工具。
情境至关重要：为各类业务转型场景做好规划
理解业务转型的背景是妥善应对第三方风险、确保团队成功的关键。这使团队能够针对可能出现的各种情景进行培训并预先应对，同时在高度不确定的环境中提供洞察力，帮助团队理解对运营流程的潜在影响。规划使团队能够构建具有运营韧性的第三方风险管理（TPRM）方案，以应对并购、剥离及其他转型活动。常见的业务事件触发因素包括：
- 合并：指两家公司合并形成新公司。合并还可能包含原独立实体相关的供应商和供货商关系。
- 收购：当所有权发生变更或另一家公司（包括其第三方供应商及相关供应链）被收购时。
- 剥离：指企业出售或分拆其部分业务投资或在某实体中的权益的行为。
- 合资企业：指两家或多家公司共同参与商业经营，但各自保持独立法人身份的经营形式。
- 新拓展业务：
包含已发展为独立业务的试点项目或独立业务单元。 - 第三方与扩展供应链中的并购活动：供应商 、经销商及其他相关方可能面临具有上游影响的业务转型。
成功实施交易风险管理（TPRM）并购与剥离（MAD）计划的建议
在深入探讨针对团队需求定制的TPRM流程之前，有三个通用最佳实践值得考虑。这些建议为管理和缓解各类业务转型过程中的潜在风险奠定了基础。
1. 建立关键利益相关者关系
为有效管理业务转型并预判变化，与组织内部关键利益相关者保持紧密关系至关重要。需与董事会、高级管理层及关键部门（如信息安全、法务、采购、合规、隐私保护、财务和供应链合作伙伴）建立信任与协作关系。
强化这些利益相关方关系，能使您的第三方风险管理策略与更广泛的业务目标保持一致，并让您及时了解即将发生的组织变革。这种协调与认知有助于在变革发生时做出迅速而明智的决策，从而提升您有效管理风险的能力。
2. 保持对第三方风险的整体视角
在确定第三方服务的关键性后，评估这些关系可能给贵组织带来的更广泛运营风险：
- 财务状况：通过分析收入与支出的趋势、偿付能力或破产风险、信用评级以及流动性水平，评估第三方机构的财务健康状况。这些因素对于理解其财务稳定性和可靠性至关重要。
- 运营：评估其运营韧性、资源管理能力、员工流失率、并购与资产剥离经验，以及基础设施承载能力。这有助于衡量其在变化条件下履行合同义务的能力。
- 地缘政治/集中度：评估第三方如何管理与地缘政治问题、自然灾害及特定地域挑战（如离岸外包和集中度风险）相关的风险。理解这些方面对于在多样化环境中规划风险缓解措施至关重要。
- 网络安全与数据隐私：评估其网络安全措施的有效性。其防护体系能否充分抵御网络攻击、数据泄露、数据丢失及勒索软件？评估其威胁与漏洞管理实践，以及应对新兴网络风险的准备程度。
- 环境、社会与治理（ESG）：
分析第三方如何履行其ESG义务。其环境政策是否完善？是否遵循符合贵公司价值观的社会与治理标准？ - 合规与制裁：确保第三方遵守可能影响您业务的相关法律法规。不合规行为可能使您的组织面临法律和监管风险。
- 声誉：评估公众和行业对该第三方的认知，包括任何负面新闻报道。
3. 构建扩展供应链库存体系
在全面掌握运营风险状况后，需对整个供应链的现状进行彻底评估。预先识别所有供应商及其依赖关系至关重要。这种主动策略有助于发现潜在风险，并促进未来业务转型更有效地管理。
系统地对这些供应商进行分类，评估其角色、依赖关系及潜在脆弱性。这将构建更具韧性的供应链体系，使其能够适应新的业务场景，确保供应链支持而非阻碍您的战略目标。
并购过程中的第三方风险管理
在奠定坚实基础后，让我们探讨并购中的TPRM最佳实践。在此情境下，完善的入职 评估流程至关重要。关键步骤包括：
- 评估第三方需求：确定企业是否需要其他第三方提供类似产品或服务。查阅公司及被收购实体的供应链库存清单，对比这些清单，并做好评估准备，对重叠服务进行剥离，并据此终止相关合同。
- 合同审查：审查被收购公司的第三方合同，确保其审计要求与收购方一致。核实第三方是否达到合同规定的服务水平及关键绩效指标（KPI）。
- 开展固有风险评估：在选择与被收购实体相关的新第三方进行入职时，需识别其对贵组织构成的基础风险。利用这些信息指导尽职调查流程，同时运用前文所述的关键性标准。
- 风险评估验证：确认第三方是否拥有独立的风险评估或认证（如SOC 2 或ISO适用性声明），且该评估或认证在过去12个月内完成，并可向贵组织提供。
- 尽职调查不足时的补救措施：若第三方风险评估未达贵组织标准，应开展进一步尽职调查。此项调查应包含基于标准化框架（如NIST或ISO）的详细第三方风险评估。
- 持续监控：运用持续监控工具和流程，验证风险评估响应措施，并识别初始评估后可能出现的新风险。
- 审查业务单元扩张：评估现有第三方合作关系的任何扩展，以确定是否会给贵组织带来额外风险。
在收购过程中需考虑的额外尽职调查活动：
- 扩展关系：评估第四方及第N方关系，以规避安全风险及可能影响盈利能力的冗余重复。
- 收购整合：制定一套结构化的流程，将收购项目纳入技术基础设施体系。此举将降低组织风险并增强运营韧性。
- 合同漏洞：通过纳入审计权、违规通知及第三方义务条款，解决合同中的安全风险。将数据安全要求延伸至分包商，并明确界定信息安全预期。
- 风险例外：当业务部门未能缓解第三方风险时，问题便随之产生。业务部门至少应采用风险例外机制，对无法缓解的风险予以确认并实施控制措施。
剥离期间的交易对手风险管理
若您的团队正在管理业务剥离，建立完善的流程来处理第三方供应商的离职事宜以及内部职能部门或部门的撤离至关重要。
若职能部门或业务单元被剥离，且将作为第三方继续与贵组织保持业务往来，则需建立过渡服务协议。 需明确流程管理方，并确定剥离完成后何时向收购方开放访问权限。审查被剥离实体是否仍可使用贵方基础设施、保留敏感信息或执行关键内部流程。完成剥离后，应隔离该实体以限制访问权限，直至控制措施实施到位。此举可确保业务或运营在剥离过程中不受干扰。
剥离业务期间终止第三方供应商合作的最佳实践
- 保持沟通畅通：在供应商离职过程中，通过定期沟通来管理潜在风险。告知供应商离职时间表，解答疑问，并就预期情况保持透明。
- 撤销对实体建筑、数据及IT基础设施的访问权限：终止供应商对敏感数据和知识产权的访问权限。删除其登录凭证，要求归还公司财产，更改登录信息，取消所有应用程序的访问权限，并拒绝通过API进行任何访问。
- 对合同进行最终审查：审查合同中关于终止的条款和规定，确保您有权终止与供应商的关系或将其过渡给继任实体。与法律和采购团队进行最终审查，以识别范围蔓延问题，并确保供应商已履行所有合同义务。
- 支付未结账单：在收到供应商交付的最终成果后，请根据合同条款进行核查，并厘清双方剩余义务，随后安排最终付款事宜。
- 评估信息安全合规性与数据隐私：确保终止程序符合您的法律义务。与供应商讨论所有未了结的承诺，包括保密协议、竞业禁止协议及保密条款。
- 更新供应商管理数据库：记录供应商与贵机构的合作历史，提供终止合作关系的依据说明，并完整记录终止流程。保留相关记录有助于快速解决问题，同时规避法律风险。
- 持续监控供应商潜在未来风险：风险并非在完成离职流程并终止合约后就彻底消除。离职后仍需持续监控潜在风险领域，以防范未来风险，例如用户凭证在暗网被公开出售的情况。
合资企业风险管理
合资企业（JVs）在管理第三方风险方面面临独特挑战，尤其当贵组织与合作伙伴共同持有可能属于临时性安排的资产时。在这种情况下，您可能需要将业务伙伴视为第三方。
合资企业风险管理关键举措
- 开展全面风险评估：
通过彻底的风险评估，识别组织基础设施和信息面临的潜在风险。这一基础步骤对于发现漏洞并制定有效的风险缓解策略至关重要。
- 控制应用与职责分离：实施并维护适当的控制措施，确保职责明确分离，以应对合资企业带来的特定挑战。随着合资企业的发展，需评估是否需要采取额外措施以保障本组织的利益。
- 协同开展风险管理：整合所有第三方专业知识，确保合资企业成功。组织会议帮助各方理解已识别风险、现行风险管理策略以及向所有合作伙伴传达风险的方法。这种协作方式促进透明度和相互理解，这对有效管理合资企业风险至关重要。
- 在整个合作关系周期中管理供应商：持续审查并评估为合资企业提供服务的第三方供应商。定期监控其绩效表现，严格执行相关合同条款，并在供应商不再符合合资企业标准或其服务不再需要时及时终止合作。
聚焦这些领域有助于提升合资企业对第三方风险的管理水平，并促进企业整体成功。应定期复盘每个环节，确保风险管理策略持续有效，并能适应合资企业不断变化的特性。
下一步工作
通过我们的白皮书《并购期间第三方风险管理的战略指南》，深入了解业务转型期间第三方风险管理要点。下载入职与离职指南，将第三方风险管理（TPRM）融入您的并购流程（MAD）。随后预约演示，了解Prevalent如何助您在业务转型期间实现第三方风险管理计划的自动化与加速。
编者按 本文最初发表于 Prevalent.net. 2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
