In einer Analyse des Cyentia-Instituts hatte das durchschnittliche Unternehmen etwa 10 Drittparteibeziehungen und fast alle Unternehmen (98%) hatten mindestens einen Drittpartner, der eine Verletzung erlitten hatte.

Deshalb ist ein effektives Management von Risiken Dritter in der heutigen vernetzten Geschäftswelt so entscheidend. Die meisten Organisationen sind auf ein Netzwerk externer Partner angewiesen, um Produkte und Dienstleistungen zu liefern, was Abhängigkeiten und Expositionen mit sich bringt.

In diesem Beitrag werden wir erläutern, was Sie tun können, um Ihr Unternehmen gegen Risiken zu schützen, die mit Drittparteibeziehungen verbunden sind.

Was ist das Management von Risiken mit Dritten?

Das Management von Risiken Dritter (TPRM) ist ein Prozess, den Organisationen verwenden, um die Risiken im Zusammenhang mit ihren Beziehungen zu Dritten zu identifizieren, zu bewerten, zu mindern, zu überwachen und zu lösen. Zu den Dritten gehören Anbieter, Lieferanten, Auftragnehmer, Partner, Softwareanbieter, Open-Source-Projekte und andere externe Einheiten.

Da diese externen Einheiten oft Zugang zu den Systemen, Daten, Prozessen oder Einrichtungen einer Organisation haben, bringen diese Beziehungen verschiedene Arten von Risiken mit sich, die sich auf die Sicherheit, den Betrieb, den Ruf und die Compliance der Organisation auswirken können.

Die Nichtbewältigung dieser Risiken kann zu Datenverletzungen, regulatorischen Verstößen, finanziellen Verlusten, Rufschädigung und rechtlichen Haftungen führen.

Warum ist das Management von Risiken mit Dritten wichtig?

Das Management von Risiken Dritter ist wichtig, um die Geschäftsabläufe, Vermögenswerte, den Compliance-Status, den Ruf und die Lieferkette Ihres Unternehmens zu schützen. Werfen wir einen genaueren Blick auf diese wichtigen Gründe.

1. Datensicherheit und Datenschutz

Dritte können Zugriff auf die sensiblen Daten und Systeme Ihrer Organisation haben. Wenn deren Sicherheitsmaßnahmen unzureichend sind, sind Sie anfällig für Datenverletzungen, die wertvolle Informationen über Ihr Unternehmen, Ihre Mitarbeiter, Kunden oder Partner preisgeben können.

Laut IBM-Forschung sind Datenverletzungen, die durch Dritte verursacht werden, auch teurer. Im Jahr 2022 kosteten Datenverletzungen Organisationen durchschnittlich 4,35 Millionen Dollar, aber Datenverletzungen, die durch Dritte verursacht wurden, kosteten durchschnittlich 4,37 Millionen Dollar – exakt 247.624 Dollar mehr.

Das Management von Risiken Dritter kann daher die Wahrscheinlichkeit und die Kosten von Datenverletzungen durch Dritte reduzieren.

2. Reputationsmanagement

Datenverletzungen, Compliance-Verstöße, unethische Praktiken und andere durch Dritte verursachte Probleme können den Ruf Ihrer Organisation schädigen und das Vertrauen und die Zuversicht der Kunden in Ihre Marke untergraben. Das Management von Risiken Dritter kann helfen, diese negativen Folgen zu verhindern oder zu mindern.

3. Einhaltung von Gesetzen und Vorschriften

Wenn Ihre Organisation regulatorischen Anforderungen in Bezug auf Datenschutz und Datensicherheit unterliegt, sind Sie möglicherweise auch dafür verantwortlich, sicherzustellen, dass Ihre Drittpartner diese Anforderungen ebenfalls erfüllen. Beispielsweise verlangt der PCI DSS, dass alle Drittanbieternachweise die PCI DSS-Compliance durch regelmäßige Risikobewertungen erbringen.

Das Management von Risiken Dritter kann Ihnen helfen, Compliance-Risiken zu identifizieren und zu verwalten, die in Drittparteibeziehungen innewohnen.

4. Geschäftskontinuität

Die Abhängigkeit von Dritten für kritische Dienstleistungen oder Lieferungen bedeutet, dass jede Unterbrechung ihres Betriebs die Fähigkeit Ihrer Organisation beeinträchtigen könnte, zu operieren. Ein effektives Risikomanagement, eine Geschäftskontinuitätsplanung und die Sicherstellung der Benachrichtigung des entsprechenden Personals können dazu beitragen, diese Unterbrechungen zu verhindern oder sicherzustellen, dass Ihre Organisation während und nach Unterbrechungen den Betrieb fortsetzen kann, falls diese auftreten.

5. Resilienz der Lieferkette

Ebenso kann das Management von Risiken Dritter Ihnen helfen, Risiken und Schwachstellen zu identifizieren und zu managen, um die Resilienz Ihrer Lieferkette zu verbessern. Dies ist besonders wichtig, da Lieferketten zunehmend komplexer und globaler werden und neue Umwelt-, strategische und betriebliche Risiken, unter anderem, eingeführt werden.

Rahmenwerk für das Risikomanagement Dritter

Ein umfassendes Rahmenwerk für das Risikomanagement Dritter kann Ihnen helfen, den gesamten Lebenszyklus und das gesamte Spektrum der Beziehungen zu Dritten zu erfassen. 

Dieses Rahmenwerk sollte:

• Alle Beziehungen zu Dritten auflisten 
• Beziehungen nach dem Risikoniveau segmentieren, das sie darstellen
• Due-Diligence-Tests und Onboarding-Teams einrichten 
• Alle Risiken, Eskalationstrigger und Kontrollen inventarisieren
• Festlegen, wie die Leistung und Konformität von Dritten überwacht werden sollen (z. B. Scorecards und Risikobewertungen)
• Einen Verantwortlichen für das Risikomanagement Dritter benennen
• Eine Richtlinie für das Risikomanagement Dritter enthalten
• Tools integrieren, die helfen, Daten zu verfolgen und zu überwachen, Workflows zu automatisieren, das entsprechende Personal zu warnen/benachrichtigen und ein genaues Bild des Risikos in nahezu Echtzeit zu liefern

Best Practices für das Risikomanagement Dritter

Die Implementierung eines effektiven Risikomanagements Dritter erfordert die Befolgung einer Reihe von Best Practices, um Risiken im Zusammenhang mit Dritten zu identifizieren, zu bewerten, zu mindern und zu überwachen. Im Folgenden werden einige dieser Best Practices behandelt.

• Identifizieren und kategorisieren Sie Risiken Dritter: Führen Sie ein umfassendes Inventar aller Beziehungen zu Dritten und kategorisieren Sie diese basierend auf der Kritikalität ihrer Dienstleistungen und der Sensibilität der Daten, die sie abrufen. Sie sollten in drei Risikostufen eingeteilt werden: Hoch, Mittel und Niedrig.
• Festlegung von Kriterien für die Anbieterauswahl und Durchführung von Due Diligence: Legen Sie klare Kriterien für die Anbieterauswahl fest und führen Sie eine gründliche Due Diligence durch, bevor Sie Verträge mit Dritten abschließen. Due Diligence könnte die Bewertung ihrer finanziellen Stabilität, Sicherheitskontrollen, Compliance-Historie und Reputation umfassen.
• Festlegung von Anforderungen im Vertrag: Verträge sollten Mindeststandards und -kontrollen für die Sicherheit sowie alle Compliance-Anforderungen festlegen, die Dritte einhalten müssen. Diese sollten auf der Risikotoleranz Ihrer Organisation und den Datenschutz- und Sicherheitsrichtlinien basieren. Verträge sollten auch die Rollen und Verantwortlichkeiten beider Parteien hinsichtlich des Risikomanagements klar definieren.
• Führen Sie Risikobewertungen durch: Risikobewertungen müssen für alle hochriskanten Drittparteien durchgeführt werden. Sie sollten berücksichtigen, ob der Anbieter kundenorientiert ist, vertrauliche Daten erhält oder speichert, ein Lieferkettenrisiko darstellt, Sicherheitskontrollen und Maßnahmen vorhanden sind und einer Drittparteienprüfung unterzogen wurde, unter anderem.
• Leistungskennzahlen festlegen: Legen Sie Schlüsselkennzahlen (KPIs) für Drittparteien fest und überprüfen und bewerten Sie regelmäßig deren Leistung anhand dieser Kennzahlen. Diese können sich auf Servicebereitstellung, Risiko, Sicherheit, Compliance und mehr beziehen.
• Entwickeln Sie eine Ausstiegsstrategie: Entwickeln Sie Verfahren zur Beendigung einer Beziehung mit einer Drittpartei. Diese Verfahren sollten eine ordnungsgemäße Datenübertragung oder -löschung sicherstellen, Risiken minimieren und in Verträgen mit Drittparteien dokumentiert werden.
• Einbeziehung von wichtigen Interessengruppen: Effektive Risikomanagementprozesse für Drittparteien binden interne Interessengruppen aus der gesamten Organisation ein. Beispielsweise sollten Interessengruppen aus den Bereichen Recht, Compliance und IT aufeinander abgestimmt und bei Risikomanagementaktivitäten koordiniert werden.
• Dokumentation aller oben genannten Punkte: Dokumentieren Sie alle Bewertungen, Due-Diligence-Prüfungen, Verträge, Kommunikationen und Risikominderungsaktivitäten im Zusammenhang mit Drittparteien. Diese Dokumentation dient als Nachweis für Compliance-Bemühungen.
• Einrichtung eines kontinuierlichen Überwachungsprozesses: Implementieren Sie einen Prozess zur kontinuierlichen Überwachung von Drittparteien, um Änderungen von Risikofaktoren oder Leistungen zu erkennen. Dadurch können Sie Risiken neu bewerten, Minderungsstrategien ändern und Beziehungen bei Bedarf beenden.
• Automatisierung: Das Drittparteien-Risikomanagement kann manuell intensiv sein – muss es aber nicht. Automatisierung kann dazu beitragen, den Zeit- und Ressourcenaufwand für Datenerhebung, Risikobewertung, Personalmanagement, kontinuierliche Überwachung und andere Aktivitäten im Zusammenhang mit dem Drittparteien-Risikomanagement zu reduzieren.

Durch die Implementierung dieser Best Practices im Rahmen Ihres Drittparteien-Risikomanagementprogramms können Sie die Daten, den Betrieb, den Ruf und die Sicherheits- und Compliance-Position Ihrer Organisation schützen und gleichzeitig Ihre Beziehungen zu externen Einrichtungen aufrechterhalten.

Lifecycle des Drittparteien-Risikomanagements

1. Identifizierung bestehender und neuer Drittparteien

Identifizieren Sie alle bestehenden Drittparteien, mit denen die Organisation eine Geschäftsbeziehung hat. Dazu gehören Anbieter, Lieferanten, Dienstleister, Auftragnehmer, Berater und andere externe Einrichtungen.

2. Bewertung und Auswahl neuer Drittparteien

Neue Parteien sollten bewertet werden, bevor der nächste Schritt eingeleitet wird. Ihre Organisation kann Anfragen für Vorschläge oder Sicherheitsfragebögen verwenden, wenn mehrere Parteien für denselben Dienst bewertet werden. Die Entscheidung zur Zusammenarbeit mit einer Drittpartei kann auf einer Reihe von Faktoren basieren, die den Bedürfnissen der Organisation entsprechen, wie zum Beispiel Kosten.

3. Risikobewertung und Due-Diligence-Prüfung

Führen Sie anschließend eine Risikobewertung und geeignete Due-Diligence-Prüfungen durch, bevor Sie einen Vertrag mit Drittparteien eingehen oder verlängern und ihnen Zugang zu Ihren Systemen gewähren. Diese sollten durchgeführt werden, um das mögliche Risiko und die Auswirkungen jeder Drittparteienbeziehung auf Ihre Organisation zu bestimmen.

Diese Bewertung und Due-Diligence-Prüfung sollte folgende Fragen beantworten:

• Hat die Drittpartei einen kundenorientierten Charakter?
• Ist die Drittpartei an der Entgegennahme und Speicherung vertraulicher Daten beteiligt (z.B. Kundendaten, Mitarbeiterdaten, Regulierungsdaten oder Finanzdaten)? Wenn ja, wo verwendet, greift auf und speichert die Drittpartei solche Daten?
• Welche Sicherheitskontrollen und -maßnahmen hat die Drittpartei implementiert?
• Über welche Sicherheitsrichtlinien verfügt die Drittpartei? Fordern Sie deren Überprüfung an.
• Wurde die Drittpartei von Dritten geprüft (wie z. B. SOC 2®, HITRUST, ISO 27001)? Fordern Sie die Überprüfung der Berichte an.
• Besteht die Gefahr einer behördlichen Prüfung und eines Schadens für Kunden im Zusammenhang mit der Drittpartei?
• Wie hoch ist die operative Abhängigkeit von der Drittpartei?
• Stellt die Drittpartei ein Risiko für die Lieferkette dar?

4. Vertragsprüfung und Beschaffung

Stellen Sie als Nächstes vertragliche Vereinbarungen auf, die Verantwortlichkeiten und Erwartungen in Bezug auf Sicherheitskontrollen, Datenschutz, Compliance und Incident Response festlegen. Diese Verantwortlichkeiten und Erwartungen sollten sowohl für Ihre Organisation als auch für die Drittpartei gelten. Legen Sie diese der Drittpartei zur Überprüfung und Unterzeichnung vor.

5. Risikominderung

Risikominderung kann parallel zur Vertragsprüfung und Beschaffung erfolgen. Nach der Durchführung von Risikobewertungen können Sie damit beginnen, die identifizierten Risiken zu mindern und einzugehen, indem Sie Beziehungen zu Dritten eingehen. In dieser Phase kann die Risikobewertung oder -bewertung, die Risikobehandlung und die Risikobeobachtung erfolgen.

6. Laufende Überwachung

Drittparteibeziehungen müssen kontinuierlich überwacht werden, um sicherzustellen, dass die Drittparteien weiterhin den staatlichen und bundesstaatlichen Gesetzen entsprechen und die Dienstleistungen wie vorgesehen erbracht werden. Dies bedeutet, dass mindestens jährlich Vendor-Überprüfungen durchgeführt werden müssen, die dokumentiert und für Prüfungszwecke aufbewahrt werden müssen.

Jährliche Überprüfungen können das Sammeln relevanter Compliance-Berichte wie z. B. SOC 2, PCI DSS, HITRUST und ISO 27001 oder andere Nachweise der Sicherheits-Compliance umfassen.

Die Ergebnisse dieser Überprüfungen müssen mit den bestehenden Vereinbarungen und/oder SLAs verglichen werden. Wenn festgestellt wird, dass Drittparteien gegen eine oder mehrere Vereinbarungen verstoßen haben, können Aktionspläne und Prozesse initiiert werden, um das Problem zu beheben oder der Zugriff auf die Systeme Ihres Unternehmens kann sofort entfernt werden.

7. Offboarding von Drittparteien

Die letzte Phase des Lebenszyklus des Drittparteirisikomanagements ist das Offboarding oder die Beendigung. Wenn Sie eine Geschäftsbeziehung mit einer Drittpartei beenden, sollten Sie Verfahren haben, um sicherzustellen, dass Daten sicher übertragen oder gelöscht werden und dass potenzielle Risiken während des Übergangs minimiert werden.

Vorlage für eine Drittparteirisikomanagementrichtlinie

Egal, ob Sie zum ersten Mal eine Richtlinie zum Management von Drittparteirisiken erstellen oder Ihre aktuelle Richtlinie stärken möchten, verwenden Sie diese Vorlage, um eine solide Grundlage für die Verwaltung Ihrer Drittparteibeziehungen zu schaffen.

Software zum Management von Drittparteirisiken

Software zum Management von Drittparteirisiken kann helfen, die folgenden Aufgaben zu vereinfachen und zu optimieren:

• Überprüfung von Drittparteien: Eine Automatisierungsplattform ermöglicht es Ihnen, Dokumentationen einfach zu speichern und zu überprüfen, um sicherzustellen, dass Ihre Drittparteien compliant sind.
• Risikobewertungen von Anbietern: Einige Automatisierungsplattformen können Risikobewertungen basierend auf den von Ihnen bereitgestellten Bewertungsinformationen der Drittparteien liefern, um den Risikobewertungsprozess zu vereinfachen.
• Verfolgung des Zugriffs von Drittpersonal: Sie können den Systemzugriff von Drittpersonal einfach überwachen und verfolgen, indem Sie eine Automatisierungsplattform verwenden.
• Kontinuierliche Überwachung: Eine Automatisierungsplattform kann kontinuierlich die Sicherheitslage Ihrer Drittparteien und deren Einhaltung von regulatorischen und branchenspezifischen Rahmenwerken überwachen.

Bei der Bewertung von Software für das Drittparteien-Risikomanagement sollten Sie nach einer einfach zu bedienenden Plattform Ausschau halten, die zusätzlich ein Team von Sicherheits- und Compliance-Experten bietet, die Ihre Organisation durch jeden Schritt des Drittparteien-Risikomanagementprozesses führen.

Wie Secureframe Ihnen helfen kann, Drittparteien-Risiken zu verwalten

Secureframe hilft Unternehmen, automatisch die Sicherheitsleistung ihrer Drittpartner zu überwachen und zu bewerten sowie Sicherheitsfragebögen zu automatisieren, die den Prozess des Drittparteien-Risikomanagements noch verwaltbarer machen. Secureframe bietet auch stets aktuelle Sicherheitsberichte jedes Drittpartners mit Risikostufen und detaillierten Beschreibungen.

Möchten Sie Ihre Drittparteien-Beziehungen schützen und Ihre Sicherheit besser verwalten? Vereinbaren Sie noch heute eine Demo mit unserem Team, um zu sehen, wie wir Ihre genauen Bedürfnisse erfüllen können.