Überwachung von Drittparteielementen
Sie können Drittpartei-Elemente mithilfe skalierbarer Bewertungsmodelle, Beziehungsanalyse und Due Diligence-Workflow-Integration überwachen, indem Sie verwenden Risikomanagement von Drittparteien Anwendung. Die Überwachung von Drittpartei-Elementen und die Nutzung dieser Informationen können bei der Durchführung fundierterer Risikobewertungen im Rahmen Ihres Drittpartei-Risikoprogramms helfen.
Übersicht über Drittpartei-Elemente
Drittpartei-Elemente (TP-Elemente) sind die externen Organisationen, auf die eine Interaktion angewiesen ist, um Waren, Services oder Support bereitzustellen. Diese Organisationen können Lieferanten, Auftragnehmer, Einrichtungen, Einzelpersonen oder jede andere externe Organisation umfassen, die auf die Systeme, Daten oder Einrichtungen der Interaktion zugreifen kann. Jedes Drittparteielement ist mit einer einzelnen Drittpartei verknüpft. Drittpartei-Elemente können mehreren Interaktionen für dieselbe Drittpartei zugeordnet werden, können jedoch nicht für verschiedene Drittparteien freigegeben oder wiederverwendet werden.
Sehen wir uns einige TP-Elementklassen- und Risikobeispiele an:- Rechenzentrum
- Eine Einrichtung oder ein Standort, an der eine Interaktion oder Drittpartei die Speicherung, Verarbeitung und Verwaltung ihrer Daten und IT-Infrastruktur auslagert. Ein Rechenzentrum kann möglicherweise zu Datenschutzverletzungen, Ausfallzeiten oder Compliance-Verstößen führen, die ihre Interaktionen einem unerwarteten Risiko aussetzen. Dieses Beispiel wird als Einrichtungs-TP-Element klassifiziert.
- Produktionsanlage
- Eine Einrichtung oder ein Standort, an der eine Interaktion oder Drittpartei die Produktion oder Montage ihrer Produkte auslagert. In einer Produktionsanlage kann es potenziell zu einer Unterbrechung der Lieferkette, einem gefälschten Teil oder einem Compliance-Problem kommen, das ihre Interaktionen einem unerwarteten Risiko aussetzt. Dieses Beispiel wird als Einrichtungs-TP-Element klassifiziert.
- Wirtschaftlicher Besitzer
- Eine Person, die eine Organisation besitzt oder kontrolliert, die an einer Geschäftsbeziehung oder Transaktion beteiligt ist. Diese Personen sind möglicherweise nicht die registrierten oder rechtlichen Besitzer der Organisation, haben jedoch erheblichen Einfluss oder Kontrolle über ihre Vorgänge, Entscheidungen oder finanziellen Angelegenheiten. Dieses Beispiel wird als Haupt-TP-Element klassifiziert.
Die folgende Infografik zeigt den TP-Elementsammlungsprozess.
Weitere Informationen zu Elementen von Drittparteien (TP) und Beispielen für die zugehörigen Steuerungen und potenziellen Risiken finden Sie unter Terminologie.
Erfassen und Überprüfen von Drittpartei-Elementen
Das Sammeln und Überprüfen von Drittpartei-Elementen ist optional. Wenn Sie die Rolle „Drittparteirisiko (TPR)-Beurteier“ [sn_vdr_risk_asmt.vendor_assessor] haben und die Rolle „Besitzer der Sorgfaltspflicht-Anforderung“ oder „TPR-Manager [sn_vdr_risk_asmt.vendor_risk_manager]“ sind, können Sie diesen Prozess starten, nachdem Ihre Sorgfaltspflicht-Anforderung den Prozess „Fragebogen für inhärente Risiken“ (IRQ) abgeschlossen hat.
- In Vendor Management-Arbeitsbereich, Wenn TP-Elemente erforderlich sind, wählt der Drittpartei-Risikomanager oder der Besitzer der Sorgfaltspflicht-Anforderung aus Sammlung starten Und eine Sammlungsaufgabe wird erstellt.
- Der TPR-Manager oder -Besitzer öffnet die externe Bewertung zum Sammeln von Elementen und fügt die relevanten TP-Elementsammlungsfragebogen hinzu.
- Der TPR-Manager oder -Besitzer überprüft und genehmigt die Fragebogen, und sie werden an die Interaktion gesendet. Weitere Informationen zu Bewertungen finden Sie unter Bewertung Ihres Drittparteirisikos.
- In Vendor Management-Arbeitsbereich, Öffnet der TPR-Manager oder -Besitzer die Fragebogen und überprüft, ob alle erforderlichen Informationen angegeben wurden.
- Der TPR-Manager oder -Besitzer navigiert dann zur Liste der TP-Elemente und erstellt manuell einen TP-Elementdatensatz für jeden Satz von Antworten in jedem Fragebogen.
- Nachdem alle TP-Elemente erstellt wurden, schließt der TPR-Manager oder Besitzer die Bewertung der Sammlungsaufgabe. Das System ändert den Status der Anforderung von Sammlung wird ausgeführt Bis Sammlung wird überprüft .
- Die internen Stakeholder (TPR-Beurteiler, TPR-Genehmiger, TPR-Manager oder TPR-Administrator) überprüfen und genehmigen die Elementdatensätze.
Hinzufügen von Drittparteielementen zu Interaktionen
Nachdem die TP-Elemente vom TPR-Manager und internen Stakeholdern in überprüft und genehmigt wurden Vendor Management-Arbeitsbereich, Der TPR-Manager oder -Besitzer öffnet die Interaktion und fügt die überprüften und genehmigten TP-Elemente manuell zu hinzu Interaktionselemente Registerkarte der Interaktion für diese Drittpartei. Weitere Informationen finden Sie unter Fügen Sie einer Interaktion einen Drittpartei-Elementdatensatz hinzu. Nachdem Sie einer Interaktion alle TP-Elemente hinzugefügt haben, können Sie den Sorgfaltspflicht-Prozess starten. Während des Sorgfaltspflicht-Prozesses müssen Sie einen Fragebogen als Teil einer externen Bewertung für jedes von Ihnen erstellte TP-Element auswählen und zuweisen. Der Drittparteikontakt füllt die TP-Elementfragebogen aus. Weitere Informationen finden Sie unter Bewertung Ihres Drittparteirisikos.
Drittpartei-Elementbewertung
Sie können jedes TP-Element in einen der folgenden Typen kategorisieren: Einrichtung, Produkt, Prinzipal oder andere. Diese Klassifizierung hilft Ihnen bei der Organisation der Bewertungskriterien und der nachfolgenden Bewertung. Die Bewertung eines TP-Elements wird durch die Mittelung der Risikobewertungen aus den zugehörigen Drittpartei-Risikobewertungen bestimmt. Wenn Sie mehrere Bewertungen für dasselbe TP-Element durchführen, berücksichtigt das System nur die neueste Bewertung für jede Interaktion für die Bewertung, ohne Rücksicht auf Duplikate. Dieser Prozess trägt dazu bei, sicherzustellen, dass die Risikobewertung des TP-Elements die aktuellste Bewertung widerspiegelt. Wenn beispielsweise ein TP-Element Bewertungen mit Risikobewertungen von sehr hoch und sehr niedrig aufweist, führt der Durchschnitt dieser Bewertungen dazu, dass das Gesamtrisiko moderat ist.
Nachdem ein Element bewertet und eine Risikobewertung festgelegt wurde, wird diese Bewertung zuerst zu einer Komponentenpunktzahl zusammengefasst, die auf seiner Klassifizierung basiert, z. B. „Einrichtung“. Beispielsweise werden alle Elemente vom Typ „Einrichtung“ zu einer einzelnen Komponentenpunktzahl zusammengefasst, die zur Gesamtpunktzahl der Interaktion beiträgt. Die Interaktionspunktzahl wird dann kompiliert, indem die Punktzahlen aus allen relevanten Komponentenpunktzahlen innerhalb dieser Interaktion zusammengefasst werden. Wenn sich mehrere Bewertungen oder TP-Elemente innerhalb einer Interaktion befinden, wird jede einzeln bewertet und dann kombiniert, um die Gesamtpunktzahl für die Interaktion zu bilden. Die Interaktionspunktzahl wird dann auf Drittparteiebene zusammengefasst, indem die Punktzahlen aus allen Interaktionen zusammengefasst werden, die einer bestimmten Drittpartei zugeordnet sind. Die Zusammenfassung auf dieser Ebene kann je nach im System festgelegten Bewertungsregeln auf verschiedenen Regeln basieren, z. B. Mittelung, Festlegung der Mindest- oder Höchstpunktzahlen. Diese Rollup-Punktzahl stellt die Gesamtrisiko- oder Leistungspunktzahl der Drittpartei dar und spiegelt alle ihr zugeordneten Interaktionen und Elemente wider.