Abgestufte Drittpartei-Risikobewertungen – Legacy-Prozess

Organisationen verwenden die Risikoabstufung, um ihre Drittparteien in Kategorien potenzieller Risiken einzuordnen, die zum Zeitpunkt des Onboardings bestanden. Die standardmäßigen vordefinierten Risikostufen sind „keine“, „Niedrig“, „gering“, „Mittel“, „hoch“, und kritisch. Jeder Risikostufe sind Bewertungsfragen und Dokumentanforderungen zugeordnet.

Der vollständigere IRQ-Prozess ersetzt die Abstufung

In TPRMAnwendung ist die IRQ ein interner Fragebogen, der den ursprünglichen abgestuften Bewertungsprozess verbessert. IRQ verbessern interne Risikobewertungen durch erhöhte Flexibilität, Kontrolle und Skalierbarkeit. Im Gegensatz zu einer abgestuften Bewertung, bei der externe Fragebogen ausschließlich von der Risikostufe bestimmt werden, kann ein IRQ externe Fragebogen basierend auf den Antworten der Teilnehmer und der Risikostufe dynamisch auslösen.

Dient zum Aktivieren eines nahtlosen Übergangs zu TPRM, Sie haben die Möglichkeit, vorhandene abgestufte Bewertungen zu duplizieren und als interne IRQ-Bewertungen zu definieren. Die Risikoabstufung wird als unveränderter Legacy-Prozess unterstützt.

Legacy-Vorgang

1. Die meisten Organisationen importieren ihr Drittpartei-Portfolio über eine Tabelle oder eine Integration in eine andere Onboarding-Lösung. Drittpartei-Risikomanager (TPR) nehmen laufende Updates an Drittparteiinformationen vor, einschließlich Risikosicherheitspunktzahlen und Risikostufen.
2. Der TPR-Manager oder TPR-Beurteiler bestimmt die Risikostufe oder -Kategorien des Risikorisikos für die Drittpartei.
3. Der TPR-Manager wählt die Drittpartei aus, weist die Vorlage für abgestuften Fragebogen zu und weist den internen Beurteiler zu, der zum Abschließen der Bewertung erforderlich ist.

   Abbildung : 1. Beziehung der abgestuften Risikobewertungstabelle

   

4. Interne Stakeholder navigieren zu Selfservice > Meine Bewertungen und Umfragen Um die Bewertung abzuschließen und zu übermitteln.
5. Nachdem der interne Beurteiler auf den Fragebogen geantwortet hat, berechnet das System die abgestufte Punktzahl als Durchschnitt aller Punktzahlen. Der TPR-Manager kann die Risikobewertung initiieren, oder eine konfigurierte Business-Regel kann eine automatisch senden. Wenn die Bewertung geschlossen wird, weist das System der Drittpartei basierend auf der abgestuften Punktzahl eine Risikostufe zu.

Abbildung : 2. Berechnung der Risikostufe basierend auf Antworten

Risikoabstufungsskala und Bewertungsberechnungen

Abbildung : 3. Abgestufter Risikoprozess

1. Die abgestufte Bewertung initiiert eine Bewertungsinstanz für den zugewiesenen internen Beurteiler.
2. Antwortpunktzahlen werden gemittelt, um die abgestufte Punktzahl zu generieren.
3. Die abgestufte Punktzahl wird Risikostufen zugeordnet.
4. Die Risikostufe wird der Drittpartei zugewiesen, wenn die abgestufte Bewertung geschlossen wird.