Lieferanteninventar und Kritikalität: Erst die Leistung, dann der Name

Die Bewertungseinheit ist der Leistungsbezug

Erfassen Sie, welche interne Leistung unterstützt wird, welche Daten und Zugänge bestehen, wie austauschbar der Anbieter ist und welche Unterauftragnehmer beteiligt sind. So wird sichtbar, ob derselbe Konzern zugleich unkritische Beratung und eine geschäftskritische Plattform liefert.

Tiering steuert die Prüftiefe

Kritikalität sollte Anforderungen und Reviewrhythmus bestimmen. Eine hohe Einstufung kann sich aus Zeitkritikalität, Datenrisiko, privilegiertem Zugriff, regulatorischer Bedeutung, Konzentration oder fehlender Substituierbarkeit ergeben.

• unterstützte Geschäftsleistung und RTO
• Datenarten, Systemzugriffe und Berechtigungen
• Substituierbarkeit und Exit-Dauer
• Konzentration, Regionen und Fourth Parties