理解贵组织的第三方风险管理生命周期对于识别和修复供应商风险至关重要。然而，将第三方风险管理（TPRM）视为一次性风险评估和修复举措，实属常见误区。
The fact is, your organization encounters distinct risks at each step of the vendor relationship, so it’s important to develop a TPRM program that can address the entire third-party lifecycle. A programmatic process is the fastest path to stopping the pain of third-party risk management, making informed risk-based decisions, and adapting and growing your program over time. This post covers the key stages of the third-party lifecycle and shares best practices for mitigating risk at each stage.
1. 供应商的遴选与选择
供应商风险管理始于供应商选择，通常涉及多个团队且优先级各异。例如：工程团队侧重供应商的技术能力，采购团队关注企业稳定性，安全团队评估数据保护措施，合规团队则核查报告与审计要求。
此外，供应商在风险评估问卷中常提供前后不一致甚至自相矛盾的回答，这使得准确评估其对组织构成的风险变得极其困难。当组织缺乏统一的供应商信息来源时，这些问题尤为突出。
供应商选择与筛选最佳实践
使用供应商风险管理数据库
Many organizations are still stuck using spreadsheets to correlate vendor risk assessment questionnaire answers
with security controls, compliance, and other requirements. Consider using a vendor risk management database or a third-party risk management platform to speed selection, improve vendor risk identification, and maintain a single source of truth for vendor data.
基于风险特征的标准化问卷
每个供应商的风险评估等级各不相同（即与他们为贵组织提供的服务相关的风险）。处理个人身份信息（PII）或受保护健康信息（PHI）的供应商，其风险等级将远高于管道维修公司。应根据风险评估结果，为不同层级的供应商制定标准化问卷。 对于风险等级较低的供应商，简易问卷即可满足需求；而涉及贵公司IT环境或敏感数据的供应商，则需采用更全面的问卷。
将ESG纳入供应商选择流程
环境、社会和治理（ESG）风险正日益成为全球企业关注的焦点。投资者和消费者都开始期待企业认真考量其第三方合作伙伴所涉及的环境、道德和社会成本。在供应商风险管理生命周期的初期阶段，将ESG风险评估与安全及数据隐私控制评估同步纳入考量，有助于规避那些在环境破坏、现代奴役及其他有违道德的商业行为方面存在不良记录的企业。
2. 接诊与入职培训
供应商入驻流程通常涉及手动或批量上传档案信息。将预配置的电子表格或API连接至现有的供应商管理或采购解决方案，是创建供应商中央存储库的更高效方式。通过基于角色的访问权限，可让不同团队填充供应商数据并邀请其他员工参与协作。
供应商接纳与入职的最佳实践
建立正式审批流程
应建立书面化的正式审批流程来接纳新供应商。建议在供应商接纳流程中纳入支付条款、发票开具及信息安全标准的标准模板。
设定并传达切实可行的入职时间框架
入职流程可能相当漫长。您需要向供应商提供访问设施或系统的凭证；确保他们能够履行职责；并敲定付款条款及其他流程。务必设定切实可行的入职时间表，并向供应商和内部部门传达相关安排。
关注合规性
许多组织依赖其对第三方合规性的初始评估来维持整个供应商生命周期内的合规性。然而，随着合同的演变，持续考量合规要求至关重要。范围蔓延现象时有发生，导致供应商获得对敏感数据和系统的访问权限——这些在采购和选型阶段往往未被充分考虑。务必在供应商入驻阶段全面掌握数据存储位置及供应商的访问权限范围。 需定期审查并根据需要调整供应商的访问权限及必要的安全控制措施。
尽可能实现自动化
新供应商的入职流程往往耗时费力。当需要同时对接多家供应商时，时间压力尤为突出。正因如此，自动化才是实现可扩展第三方风险管理计划的关键。例如，可通过自动化分发问卷，并让团队成员轻松共享入职表格。
3. 内在风险评分
Inherent risk scoring is a key part of the third-party risk management lifecycle. Not every vendor requires the same scrutiny. For example, an office supply vendor presents lower organizational risk than one providing critical parts or legal services. An organization located in a politically volatile location, with a history of breaches, or with a poor credit history presents more risk and warrants increased due diligence.
要准确评估供应商带来的风险，必须能够计算其固有风险。这是在未考虑贵组织要求的任何特定控制措施之前，供应商的风险水平。全面掌握固有风险可建立基准，并指导您对必要尽职调查的决策。在确立固有风险基准后，计算残余风险——即实施控制措施后剩余的风险——将变得更为简便。
固有风险在供应商评估、分级和分类决策中同样发挥着关键作用。通过将供应商评估与对企业、客户及监管机构最相关的风险和标准相匹配，这种方法能显著加快风险评估进程。
风险评分最佳实践
将供应商风险评估与合规要求相结合
问卷应反映贵组织需遵守的合规要求。若供应商接触到个人身份信息（PII）、个人健康信息（PHI）或财务信息等敏感数据，则需确保将贵组织的合规要求映射至供应商风险问卷。以下是风险评估过程中应涉及的部分问题：
- 该组织是否通过任何第三方信息安全标准或框架的认证？（例如：SOC2、NIST 800-53、NIST CSF、CMMC）
- 组织是否符合网络安全或信息安全合规要求？如果是，是哪些要求？
- 与第三方和第四方共享客户数据的政策和流程是什么？
不要单打独斗
Using a TPRM platform can dramatically speed up vendor risk assessments and allow you to quickly map questionnaire responses to compliance requirements. In addition, dedicated third-party risk management solutions like Mitratech Prevalen offer built-in, customizable inherent risk questionnaires that can make it easy to seamlessly identify vendor risk.
利用评分来规范结果并提供可行的见解
理解供应商未能向贵组织交付产品或服务可能带来的潜在影响至关重要。因此，您应采用评分体系来确定每个供应商的等级。该体系可包含以下标准：
- 业务流程或面向客户的流程
- 与受保护数据的交互
- 财务状况和影响
- 法律和监管义务
- 声誉
- 地理（如集中风险）
一旦定义了供应商层级，就能轻松识别出哪些供应商最为关键。例如，您应该能够生成一份报告，列出所有位于美国、处理个人数据且属于顶级供应商的供应商。
在流程早期阶段对信息进行审核，并将其存储在易于访问的位置，使您能够对尽职调查工作进行合理规划，重点关注风险最高的供应商，从而加快整体流程。
4. 供应商评估与风险整改
不同第三方带来的风险程度将因其对业务的关键性及其他因素而异。同样地，各层级第三方所适用的评估标准也各不相同。例如，零部件供应商的评估标准就与云托管服务供应商的评估标准存在差异。
风险管理计划不完善的组织可能通过为每个新项目创建独立的电子表格调查来应对不同供应商层级，这无异于不断"重复发明轮子"。这些调查的反馈在详细程度和完整性上可能存在差异，导致难以评估整体风险及所需控制措施。追踪需要整改的未决事项并确保整改控制措施的一致性和充分性往往困难重重，给本就稀缺的安全、风险和合规资源带来额外负担。
供应商评估与整改最佳实践
利用共享图书馆
第三方风险管理流程对资源有限的团队而言颇具挑战。在降低风险并完成评估保证所需的时间中，数据收集流程与供应商往来沟通占据最大比重。加剧这一难题的是不断变化的监管环境，这要求具备专业知识来解读合规报告义务。在确保合规性、满足供应商风险管理要求的同时，最大限度发挥团队技能优势，无疑是一项平衡之术。
To accommodate resource constraints, many organizations – especially those with a solid vendor tiering plan – choose to leverage completed content already submitted and shared within an industry exchange. These vendor exchanges are self-fulfilling prophecies – the more vendors participate, the greater the overlap with other enterprises. This speeds the risk identification and mitigation processes and minimizes the time spent collecting data.
确保问卷的灵活性
Vendor risk questionnaires aren’t “one size fits all.” Utilizing a third-party risk management platform that has multiple options for questionnaires, as well as the ability to generate custom questionnaires, can make vendor assessments far simpler. Using a dedicated platform can reduce the manual labor behind vendor survey and response management by 50% and ensure that assessment questionnaires are appropriately matched to each vendor’s profiled risk.
通过内置修复指导节省时间
供应商评估有时会揭示令人担忧的事实。相关供应商可能曾遭遇数据泄露事件、未遵守数据隐私法规，或缺乏正式的网络安全计划。具备内置整改指导功能的平台可提供直观的整改请求模板，并配备工作流与任务管理能力，从而促进并简化整个整改流程。
合规报告事宜
在与供应商合作时，您通常需要考虑信息安全和数据隐私合规问题。制定第三方风险管理策略时，应评估不同平台的合规报告处理能力。采用具备自动化合规报告功能的TPRM平台，可满足各类国内及国际合规要求，从而大幅简化审计流程并降低违规风险。
具备人工智能能力的规模化报告
Be sure to consider the value that AI introduces to risk analysis and reporting. Although artificial intelligence isn’t a new concept, the recent mainstream introduction of generative AI technologies enables organizations to solve business problems at an unprecedented scale. Conversational AIs trained on billions of events and years of experience can deliver expert risk management insights in the context of industry guidelines such as NIST, ISO, SOC 2, and others.
5. 持续监测
尽管定期评估对于了解供应商如何管理其信息安全和数据隐私计划至关重要，但典型的风险评估只能提供贵组织在某个特定时间点的风险概况快照。随着威胁不断演变、新数据泄露事件发生以及业务挑战涌现，该风险概况可能迅速发生变化。
Constant monitoring of a third party’s cybersecurity practices is important. So too is gaining visibility into other types of business changes such as financial, reputational, compliance, and supply chain issues that can create business risk.
遗憾的是，组织通常无法以能够快速通知安全和风险团队的方式获取这些数据，这些数据往往未能纳入用于决策的中央登记册。相反，许多组织依赖于人工流程、分散的工具、供应商通知和新闻报道。
第三方监控最佳实践
别忘了第四和第N方
It can be tempting to diligently monitor your third parties while forgetting about their third parties and Nth parties. If your vendor relies on other companies to fulfill contracts and run their business, these other parties’ security exposures or operational issues may ultimately affect your organization.
因此，在风险评估过程中，您应识别任何对第三方成功至关重要的第四方。根据这些第四方对您第三方构成的风险程度，考虑对其实施缩减版的网络安全与财务监控流程。
考虑多种类型的网络风险
识别供应商面向公众的IT系统中的漏洞，仅是持续监控工作的一部分。重要的是要超越漏洞扫描，揭示其他网络风险指标，包括：
- 安全漏洞事件—— 大量安全漏洞事件表明供应商安全计划存在缺陷，可能引发监管压力。
- 暗网动态—— 某公司近期在暗网频繁被提及， 往往意味着针对该公司的威胁活动增多，攻击概率随之上升。暗网市场对该公司的关注，可能暗示其资产或账户正被非法出售，或存在欺诈计划。
- 域名滥用/拼写错误域名抢注——新注册域名若与现有企业域名存在拼写错误域名抢注式的相似性，可能表明存在域名滥用（如网络钓鱼）、防御性注册以防止或减轻域名滥用，或两者兼有。
- 电子邮件安全——发件人策略框架（SPF）策略配置；域名密钥识别邮件（DKIM）；以及基于域的消息认证、报告与合规性（DMARC）。
- 泄露凭证—— 暴露的凭证和电子邮件表明公司员工可能重复使用密码或企业邮箱地址，这增加了凭证填充攻击的风险，并可能成为威胁行为者的攻击目标。
- 安全事件——安全漏洞披露及经核实的网络攻击报告表明，企业近期可能遭遇了网络攻击、数据泄露或其他危及企业信息资产的事件。
- 基础设施风险—— 包括违反IT政策、滥用公司基础设施、公司基础设施感染、恶意软件、配置错误、漏洞、受感染主机以及不受支持的软件。
- Web应用程序安全——SSL/TLS证书与配置。
别止步于网络风险
Many companies focus on cyber risk because it is usually easily quantifiable and straightforward to address. However, cyber risk monitoring should be complemented by operational, financial, and reputational monitoring. When building out your third-party monitoring program, be sure to account for these other types of risk. Some questions to consider:
- 该供应商财务状况是否健康？在可预见的未来，他们是否存在破产或遭遇其他财务中断的重大可能性？
- 该供应商是否遵循道德商业行为？
- 该供应商是否遵守适用的法律法规？
6. 持续绩效与服务水平协议管理
风险管理是一个持续的过程。即使是可靠的合作伙伴也可能遭遇运营中断，而协议签署后，各方履行承诺控制措施的动力往往会减弱。这种不断变化的风险环境不仅需要持续的外部风险监控，还要求对供应商履约义务保持持续的可视性。
某些供应商可能需要严格审查以确保其整改承诺得到履行，所有供应商都应依据其服务级别协议（SLA）进行评估。若试图通过电子表格或其他人工方式管理此事，将增加未能达成SLA及引发相关业务中断的风险。
供应商管理最佳实践
定期评估供应商绩效
采用一次性评估供应商的做法固然诱人，但这可能导致工作成果不佳和商业关系破裂。定期评估供应商是否履行服务水平协议及其他合同义务，有助于及早发现问题。
定义正确的KPI和KRI
确定正确的关键绩效指标和关键风险指标，对于有效评估供应商绩效至关重要。关键绩效指标有助于确保在整个合同周期内履行合同义务并达成业务目标。关键风险指标则能帮助您全面了解供应商从入职到离职过程中带来的风险。
7. 终止与离职流程
Risk can persist after vendor relationships end. An offboarded vendor holding sensitive data must return and/or securely destroy that data; access to internal systems needs to be terminated; and support obligations may outlive a purchase agreement. However, Mitratech research found that 39 percent of companies neither track nor remediate third-party risks during offboarding. This presents ongoing business, security, and IP risks.
供应商入职最佳实践
不要认为数据已被删除
人们常认为第三方会在合同终止时删除敏感客户数据及其他信息，但实际情况并非总是如此。请务必主动联系相关第三方，确保所有敏感信息已被彻底清除。建议将此要求以书面形式确认，以便未来发生事件时留存审计记录。
确认已撤销对物理和IT基础设施的访问权限
在终止供应商合作后，务必确保IT和设施团队已正确撤销承包商员工的权限。确认已撤销其所有建筑物出入权限，并从云端及IT环境中移除所有权限。若供应商意外保留访问权限，贵公司可能面临未来数据泄露风险。在集中式供应商风险管理平台中实施基于工作流的检查清单，可有效保障离职流程的安全性。
进行彻底的合同审查
供应商完成为贵机构的工作后，请仔细审查合同，确保其已交付所有成果。切勿预设其已达成所有里程碑和关键绩效指标。
运行最终合规报告
供应商的职责和访问权限在整个合作周期中可能发生变化，这已不是什么秘密。请务必仔细核查供应商曾访问过的系统和数据。请考虑以下问题：
- 供应商的网络安全控制措施是否足以满足您在其整个生命周期内的合规要求？
- 在合同期间，供应商是否曾被授予超出其工作职责所需的高级权限或访问权限？
- 供应商在合同期间是否对任何安全事件负责？
- 供应商是否在合同期间使您面临违反一项或多项法规的风险？
提出这些问题有助于确保您持续符合相关要求，同时还能为您提供宝贵见解，助您更有效地管理供应商合规性。
供应商生命周期管理后续步骤
Third-party risk management can be difficult. There are dozens of moving parts across multiple departments, and it can be challenging to coordinate third-party risk assessments, ensure compliance requirements are met, and satisfy different siloed departments. The Mitratech Third-Party Risk Management Platform makes navigating the vendor lifecycle dramatically easier, especially alongside the regulatory drivers, stakeholder alignment, and AI capabilities covered in our full TPRM guide. Request a demo today to see how the platform fits into that broader program.
编者按：本文最初发表于Prevalent.net。2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
