Third-Party Risk Management: Was ein TPRM tatsächlich steuert

Der Vertrag ist nur ein Kontrollpunkt

Risiken entstehen vor der Auswahl, während der Leistung und beim Ende der Beziehung. Ein TPRM legt deshalb fest, welche Anbieter erfasst werden, wie Kritikalität bestimmt wird und welche Prüfungen, Anforderungen und Reviews daraus folgen.

NIS2 nennt die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte zwischen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern ausdrücklich als Bestandteil des Risikomanagements.

Ownership bleibt in der eigenen Organisation

Fachbereich und Vendor Owner verantworten Nutzen und Leistung. Security, Datenschutz, BCM und Einkauf liefern Kriterien und Prüfungen. Ein zentrales TPRM orchestriert Entscheidungen, übernimmt aber nicht jedes Risiko selbst.

• ein gemeinsames Lieferanten- und Leistungsinventar
• risikobasierte Kritikalitätsklassen
• belegbare Prüf- und Freigabeentscheidungen
• Monitoring, Vorfallsteuerung und Exit