Leitfaden zum Management von Drittparteienrisiken: Überblick
Das Management von Drittparteienrisiken umfasst die Identifizierung, Bewertung, Überwachung und Reduzierung von Risiken im Zusammenhang mit Anbietern, Lieferanten, Auftragnehmern und anderen externen Partnern. Ein klar definierter TPRM-Prozess hilft Ihnen, Risiken bereits vor der Aufnahme einer Geschäftsbeziehung zu bewerten und angemessen zu reagieren, wenn sich Zugriffsrechte, Eigentumsverhältnisse oder Dienstleistungen eines Dritten ändern.
Dieser Artikel erklärt, was TPRM bedeutet, warum es wichtig ist und wie der Lebenszyklus von Drittparteien funktioniert.
Was bedeutet TPRM? Definition und Zweck
Third-Party Risk Management (TPRM), also das Management von Drittparteienrisiken, bezeichnet den Prozess, mit dem Sie Risiken im Zusammenhang mit Anbietern, Lieferanten, Auftragnehmern und anderen externen Partnern identifizieren, bewerten, überwachen und reduzieren.
Dritte können Ihre Daten verarbeiten, auf Ihre Systeme zugreifen, kritische Dienstleistungen erbringen oder in Ihrem Namen handeln. TPRM hilft Ihnen, die damit verbundenen Risiken zu bewerten, bevor Sie Zugriffsrechte gewähren oder die Zusammenarbeit beginnt, und anschließend zu überwachen, wie sich die Geschäftsbeziehung im Laufe der Zeit verändert.
Der Umfang der Prüfung sollte davon abhängen, welche Leistungen ein Dritter erbringt, worauf er zugreifen kann und wie stark Ihr Unternehmen von ihm abhängig ist. Compliance, Einkauf, Rechtsabteilung, Informationssicherheit und weitere Geschäftsbereiche können am gesamten TPRM-Lebenszyklus beteiligt sein. Dennoch braucht Ihr Programm klare Verantwortlichkeiten: Entscheidungen sollten dokumentiert und Folgemaßnahmen eindeutig einer verantwortlichen Person zugewiesen werden.
Warum das Management von Drittparteienrisiken wichtig ist
Dritte übernehmen häufig Aufgaben, von denen Ihr Unternehmen abhängig ist. Sie betreiben möglicherweise wichtige Systeme, verarbeiten Kundendaten, liefern Materialien oder vertreten Ihr Unternehmen am Markt. Kommt es bei einem Dritten zu Problemen, können Betriebsstörungen, regulatorische Prüfungen und Vertrauensverluste die Folge sein.
Wenn Sie die Risiken bereits vor Vertragsabschluss kennen, bleibt Ihnen Zeit, Vertragsbedingungen anzupassen, strengere Kontrollen zu verlangen oder sich gegen eine Zusammenarbeit zu entscheiden. Sobald Systeme miteinander verbunden sind oder die Leistungserbringung begonnen hat, ist es in der Regel zeit- und kostenaufwendiger, bestehende Risiken zu reduzieren.
So kann das Management von Drittparteienrisiken dazu beitragen, diesen Herausforderungen zu begegnen.
Schutz vor Datenschutzverletzungen und Cyberbedrohungen
Dritte benötigen häufig Zugriff auf Ihre Systeme oder Kundendaten. Werden sie Opfer eines Cyberangriffs, können auch Ihr Unternehmen, die genutzten Systeme oder die dort gespeicherten Informationen betroffen sein.
Prüfen Sie vor Beginn der Zusammenarbeit, ob die Sicherheitskontrollen des Dritten dem erforderlichen Zugriff entsprechen. Bewerten Sie die Risiken erneut, wenn der Dritte später Zugriff auf weitere Systeme erhält, andere Daten verarbeitet oder einen Sicherheitsvorfall meldet.
Einhaltung regulatorischer Anforderungen sicherstellen
Wenn ein Dritter Daten verarbeitet oder in Ihrem Namen handelt, bleibt Ihr Unternehmen für die Einhaltung der damit verbundenen Vorschriften verantwortlich. Aufsichtsbehörden und Auditoren können danach fragen, wie Sie den Dritten ausgewählt und vor Beginn der Zusammenarbeit geprüft haben und ob er die relevanten Anforderungen erfüllen kann.
Ein TPRM-Prozess erfasst alle Prüfungen und Entscheidungen zentral. So können Sie nachvollziehbar darlegen, was geprüft wurde, welche Anforderungen Sie gestellt haben und wie Sie mit festgestellten Bedenken umgegangen sind.
Reputation Ihres Unternehmens schützen
Das Verhalten eines Dritten kann sich direkt auf die Reputation Ihres Unternehmens auswirken. Kunden, Mitarbeiter und Aufsichtsbehörden können Ihr Unternehmen weiterhin zur Verantwortung ziehen, wenn beispielsweise ein Vermittler unzulässige Zahlungen leistet oder ein Lieferant unsichere Arbeitspraktiken einsetzt.
Eine wirksame Due-Diligence-Prüfung hilft Ihnen, Geschäftsbeziehungen zu vermeiden, die nicht mit Ihren Standards und Compliance-Verpflichtungen vereinbar sind. Durch das kontinuierliche Management von Drittparteienrisiken können Sie zudem Veränderungen im Verhalten oder in den Eigentumsverhältnissen eines Dritten nach der Freigabe erkennen.
Bußgelder, Kosten und Betriebsstörungen reduzieren
Der Ausfall eines kritischen Lieferanten kann Betriebsabläufe zum Stillstand bringen oder den Kundenservice verzögern. Wird eine Schwachstelle erst im Zuge eines Vorfalls erkannt, ist die Reaktion in der Regel kostspieliger und der Handlungsspielraum geringer.
Eine risikobasierte Prüfung zeigt, wie stark Ihr Unternehmen von den einzelnen Dritten abhängig ist. Auf dieser Grundlage können Sie strengere Kontrollen verlangen, einen Notfallplan vorbereiten oder eine verantwortliche Person für Folgemaßnahmen benennen.
Diese Vorbereitung kann dazu beitragen, die Gesamtkosten eines Vorfalls zu begrenzen. Neben regulatorischen Bußgeldern können Kosten für kurzfristige Ersatzbeschaffung, rechtliche Maßnahmen und Abhilfemaßnahmen sowie Umsatzeinbußen und Reputationsschäden entstehen. Dokumentierte Prüfungen und Folgemaßnahmen dienen zudem als Nachweis dafür, dass das Unternehmen seine Risiken kannte und angemessene Maßnahmen zu deren Steuerung ergriffen hat.
Mehr Transparenz über Drittparteienrisiken schaffen
Informationen über Dritte sind häufig in verschiedenen Tools gespeichert. Der Einkauf verwaltet beispielsweise den Vertrag, während das Sicherheitsteam ein offenes Problem an anderer Stelle nachverfolgt.
Ein einheitlicher Prozess, unterstützt durch Software für das Management von Drittparteienrisiken, führt Verträge, Risikobewertungen, Ergebnisse und Verantwortlichkeiten zentral zusammen. So können Teams erkennen, welche Bewertungen überfällig sind, welche Probleme noch nicht behoben wurden und welche Geschäftsbeziehungen eine intensivere Überwachung erfordern.
Leitfaden für das Risikomanagement von Dritten
Unsere umfassendste Ressource zu diesem Thema – voller Einblicke, Empfehlungen und Beispiele, die Ihnen helfen, alle Aspekte von Drittparteienrisiken zu erkennen und anzugehen.
Arten von Drittparteienrisiken
Ein Anbieter für die Lohn- und Gehaltsabrechnung, ein Vertriebsagent, ein Cloud-Anbieter und ein Rohstofflieferant bringen jeweils unterschiedliche Risiken mit sich. Ihre Prüfung sollte berücksichtigen, auf welche Systeme oder Informationen ein Dritter zugreifen kann, welche Befugnisse er hat und welche Bedeutung er für Ihre Geschäftsabläufe hat. Ein klar definierter Risikomanagementrahmen hilft Ihnen, diese Kriterien einheitlich anzuwenden und zu entscheiden, wie umfassend die jeweilige Geschäftsbeziehung geprüft werden muss.
Cybersicherheitsrisiken
Cybersicherheitsrisiken entstehen durch Dritte, die mit Ihren Systemen verbunden sind, sensible Daten speichern oder Technologien unterstützen, auf die Ihre Teams angewiesen sind. Unzureichende Passwortrichtlinien, mangelhafte Zugriffskontrollen oder eine langsame Reaktion auf Sicherheitsvorfälle können Ihr Unternehmen gefährden – selbst wenn das Problem außerhalb Ihres eigenen Netzwerks entsteht.
Bevor ein Dritter für die Zusammenarbeit freigegeben wird, sollten Sie Nachweise darüber einholen, wie er Systemzugänge und sensible Daten schützt, seine Sicherheitsmaßnahmen testet und Sicherheitsvorfälle meldet. Die Prüfung sollte Systemzugriffe, den Umgang mit Daten, Sicherheitstests, die Meldung von Vorfällen und Subunternehmer umfassen – zumal sich der benötigte Zugriff im Laufe der Zeit häufig verändert. Prüfen Sie außerdem, ob Subunternehmer auf dieselben Systeme oder Informationen zugreifen können. Festgestellte Lücken sollten vor Beginn der Zusammenarbeit behoben, von einer klar benannten verantwortlichen Person akzeptiert oder im Vertrag berücksichtigt werden.
Nach dem Onboarding sollten Sie Veränderungen im Blick behalten, die das Risiko erhöhen könnten, etwa neue Integrationen, erweiterte Systemzugriffe, Serviceausfälle oder eine gemeldete Datenschutzverletzung.
Compliance- und regulatorische Risiken
Compliance-Risiken können entstehen, wenn ein Dritter Daten verarbeitet, in Ihrem Namen Produkte verkauft, mit regulierten Waren umgeht oder in einem Markt tätig ist, in dem erhöhte Risiken im Zusammenhang mit Bestechung, Sanktionen oder Handelsvorschriften bestehen. Leistet beispielsweise ein Vertriebspartner unzulässige Zahlungen oder erfüllt ein Anbieter Datenschutzanforderungen nicht, kann dies auch für Ihr Unternehmen Konsequenzen haben – selbst wenn für den Dritten vor Ort andere Standards gelten.
Bei der Due-Diligence-Prüfung sollten die potenziellen Compliance-Risiken im Zusammenhang mit einem Dritten untersucht werden. Mit der Weiterentwicklung der Geschäftsbeziehung kann derselbe Dritte zudem unterschiedlichen regulatorischen Anforderungen unterliegen. Ein Lieferant, der Büroausstattung bereitstellt, bringt andere Compliance-Risiken mit sich als derselbe Lieferant, wenn er zusätzlich Mitarbeiterdaten verarbeitet.
Finanzielle und operative Risiken
Finanzielle und operative Risiken entstehen, wenn die Gefahr besteht, dass ein Dritter die Dienstleistungen oder Waren, auf die Ihr Unternehmen angewiesen ist, nicht mehr bereitstellen kann.
Ihre Prüfung sollte kritische Abhängigkeiten erkennen, bevor sie zum akuten Problem werden – und die finanzielle Stabilität ist dabei nur ein Teil der Bewertung. Unterstützt ein einzelner Lieferant mehrere geschäftskritische Bereiche, kann es schwierig sein, ihn kurzfristig zu ersetzen, selbst wenn er weiterhin zahlungsfähig ist.
Bei Geschäftsbeziehungen mit höherem Risiko sollten Sie die finanzielle Stabilität, Servicelevels, Notfallpläne, den Versicherungsschutz sowie die möglichen Auswirkungen eines Ausfalls auf Ihre Kunden oder internen Teams prüfen.
Reputationsrisiken
Reputationsrisiken entstehen durch das Verhalten Dritter, wenn dieses nicht mit Ihren Standards oder öffentlich kommunizierten Verpflichtungen vereinbar ist. Unsichere Arbeitspraktiken, ein unangemessener Umgang mit Kunden, Umweltbedenken oder Verbindungen zu unethischen Geschäftspraktiken können beeinflussen, wie Ihr Unternehmen wahrgenommen wird.
Eine Due-Diligence-Prüfung hilft Ihnen, mögliche Bedenken bereits vor der Freigabe zu erkennen. Durch eine kontinuierliche Prüfung können Sie reagieren, wenn sich Eigentumsverhältnisse ändern, Vorwürfe bekannt werden oder das Verhalten eines Dritten nicht mehr Ihren Erwartungen entspricht.
Verstößt das Fehlverhalten eines Dritten zusätzlich gegen gesetzliche oder vertragliche Anforderungen, können zu den Reputationsschäden auch Untersuchungen, Bußgelder, Kosten für Abhilfemaßnahmen und Geschäftsverluste hinzukommen. Ihre Marke gehört zu den wertvollsten Vermögenswerten Ihres Unternehmens – entsprechende Schäden können weitreichend und langfristig sein und lassen sich kaum vollständig beziffern. Konsequente Due-Diligence-Prüfungen und dokumentierte Folgemaßnahmen tragen dazu bei, sowohl das Vertrauen der Öffentlichkeit zu stärken als auch gegenüber Aufsichtsbehörden nachweisen zu können, dass angemessene Maßnahmen ergriffen wurden.
Der TPRM-Lebenszyklus und Best Practices für den Aufbau eines erfolgreichen Programms
Das Management von Drittparteienrisiken beginnt bereits vor Vertragsabschluss und wird auch nach Beendigung der Geschäftsbeziehung fortgeführt. Ziel ist es, die Risiken in jeder Phase des TPRM-Lebenszyklus zu verstehen, eine verantwortliche Person zu benennen und die im Verlauf getroffenen Entscheidungen zu dokumentieren.
Dabei baut jede Phase auf der vorherigen auf. Die bei der Erfassung eines Dritten gesammelten Informationen bilden die Grundlage für die Due-Diligence-Prüfung. Deren Ergebnisse wiederum fließen in die Vertragsbedingungen und die anschließende Überwachung ein.
Der folgende einfache Prozess in sechs Schritten hilft Ihnen dabei, ein systematischeres Management von Drittparteienrisiken aufzubauen.
1. Dritte identifizieren und Umfang bestimmen
Erstellen Sie eine Übersicht, in der die erbrachte Leistung, die intern verantwortliche Person, die Standorte, Systemzugriffe, die Datennutzung und alle beteiligten Subunternehmer erfasst werden.
Nutzen Sie diese Faktoren, um jedem Dritten eine Risikostufe zuzuweisen und die nächsten Schritte zu priorisieren. Ein Lieferant ohne Systemzugriff sollte beispielsweise nicht denselben Prozess durchlaufen wie ein Anbieter für die Lohn- und Gehaltsabrechnung oder ein Unternehmen, das Kundendaten verarbeitet. In regulierten Branchen müssen gegebenenfalls zusätzlich Anforderungen an Lizenzen, Datenschutz oder die Leistungserbringung dokumentiert werden.
2. Due-Diligence-Prüfung durchführen
Mit der Due-Diligence-Prüfung wird vor Beginn der Zusammenarbeit geprüft, ob ein Dritter Ihre Anforderungen erfüllen kann. Dabei können unter anderem Eigentumsverhältnisse, Sanktionen, Informationssicherheit, finanzielle Stabilität und die bisherige Einhaltung regulatorischer Anforderungen berücksichtigt werden.
Bei Geschäftsbeziehungen mit hohem Risiko sind häufig zusätzliche Nachweise erforderlich, die über einen Fragebogen hinausgehen, beispielsweise Auditberichte oder Sicherheitszertifizierungen. Dokumentieren Sie die Gründe für eine Freigabe, Ablehnung oder bedingte Freigabe.
3. Vertragliche Regelungen und Kontrollen festlegen
Die Ergebnisse der Due-Diligence-Prüfung sollten in die endgültigen Vereinbarungen einfließen. Bei Geschäftsbeziehungen mit höherem Risiko können besondere Regelungen zur Datennutzung, zu Audit-Rechten, zur Meldung von Vorfällen oder zum Einsatz von Subunternehmern erforderlich sein.
Benennen Sie für jede noch offene Kontrollmaßnahme eine verantwortliche Person. Akzeptiert das Unternehmen ein Risiko, dokumentieren Sie, wer es genehmigt hat und wann es erneut geprüft werden sollte.
4. Überwachen und überprüfen
Das Risikoprofil eines Dritten kann sich nach dem Onboarding verändern. Neue Eigentumsverhältnisse, erweiterte Zugriffsrechte, Änderungen an den erbrachten Leistungen oder ein neuer Subunternehmer können eine erneute Prüfung vor dem geplanten Termin erforderlich machen.
Eine Software zur Überprüfung und Überwachung von Drittparteien kann Ihr Team dabei unterstützen, neue Risiken auch zwischen den regulären Prüfungszyklen zu erkennen.
5. Berichten und Abhilfemaßnahmen ergreifen
Weisen Sie jedem festgestellten Problem eine Risikostufe, eine verantwortliche Person und eine Frist zu. Dokumentieren Sie die erforderlichen Maßnahmen und eskalieren Sie versäumte Fristen.
Die Berichterstattung sollte überfällige Maßnahmen, wiederholt auftretende Kontrolllücken und akzeptierte Risiken aufzeigen, die erneut geprüft werden müssen. So können Teams klar erkennen, wo Folgemaßnahmen ins Stocken geraten sind.
6. Geschäftsbeziehung sicher beenden
Entziehen Sie Systemzugriffe, fordern Sie überlassene Ressourcen zurück und stellen Sie sicher, dass Daten bei Beendigung einer Geschäftsbeziehung zurückgegeben oder gelöscht werden.
Bewahren Sie alle Unterlagen auf, die für Audits sowie rechtliche oder regulatorische Prüfungen erforderlich sind. Dazu gehören abschließende Freigaben, Nachweise über den Entzug von Zugriffsrechten und alle Verpflichtungen, die auch nach Beendigung der Geschäftsbeziehung fortbestehen.
Tools und Technologien für das Management von Drittparteienrisiken
Eine Tabellenkalkulation stößt schnell an ihre Grenzen, wenn der Einkauf den Vertrag verwaltet, das Sicherheitsteam den Fragebogen, die Rechtsabteilung Änderungen an Vertragsklauseln nachverfolgt und Compliance einen Screening-Hinweis in einer separaten Datei prüft. Niemand hat so einen vollständigen Überblick und der nächste Schritt hängt davon ab, ob jemand weiß, wo die entsprechenden Informationen zu finden sind.
Integrierte Software und Tools für das Management von Drittparteienrisiken sollten Prüfungen von Drittparteien, Nachweise und Folgemaßnahmen in einem zentralen Prozess zusammenführen. Ihr Team sollte jederzeit erkennen können, was bereits geprüft wurde, welche Nachweise noch fehlen, welche Feststellungen noch offen sind und wer für den nächsten Schritt verantwortlich ist.
KI-basierte Analyseplattformen
KI kann große Mengen an Informationen zu Drittparteien analysieren und Muster in Bewertungen, Dokumenten oder Screening-Ergebnissen erkennen. In unserer Studie 2026 State of Risk & Compliance gaben 16% der Befragten an, KI derzeit für die Überprüfung von Drittparteien und Due-Diligence-Prüfungen einzusetzen. 25% erwarten, KI innerhalb der nächsten 12 Monate dafür einzusetzen.
KI-gestützte Compliance-Tools können anhand Ihrer spezifischen Bewertungskriterien Risiken in den von Drittparteien übermittelten Informationen erkennen und dabei helfen, falsch-positive Ergebnisse herauszufiltern. Die endgültige Entscheidung darüber, ob eine Feststellung Auswirkungen auf die Freigabe hat oder weitere Maßnahmen erforderlich sind, sollte jedoch weiterhin von einem Menschen getroffen werden.
Vertragsmanagementsysteme
Vertragsmanagementsysteme sind besonders effektiv, wenn die Vertragsbedingungen mit den Ergebnissen der Due-Diligence-Prüfung verknüpft bleiben. So können die zuständigen Personen nachvollziehen, welche Risiken zu bestimmten vertraglichen Verpflichtungen geführt haben, und bei einer erneuten Prüfung oder Vertragsverlängerung überprüfen, ob diese Verpflichtungen weiterhin erfüllt werden.
Lässt sich bei der Due-Diligence-Prüfung beispielsweise nicht bestätigen, wie wirksam die Sicherheitskontrollen eines Anbieters sind, kann der Vertrag einen unabhängigen Prüfbericht vorschreiben oder Ihrem Unternehmen Audit-Rechte einräumen. Bei einer erneuten Prüfung können die zuständigen Personen anhand dieser Nachweise überprüfen, ob die Kontrollen weiterhin den vereinbarten Standards entsprechen.
Portale für die Zusammenarbeit
Portale bieten Drittparteien eine zentrale Möglichkeit, Dokumente einzureichen, Fragebögen zu beantworten und auf Rückfragen zu reagieren. Ihr Team kann nachvollziehen, welche Informationen bereits vorliegen und was noch geprüft werden muss.
Ein speziell für die Zusammenarbeit mit Drittparteien vorgesehenes Portal kann dokumentieren, wer ein Dokument eingereicht hat, wann es geändert wurde und welche Versionen von Richtlinien und anderen Unterlagen der jeweiligen Prüfung zugrunde lagen.
Audit- und Compliance-Tools
Audit- und Compliance-Tools ermöglichen es Ihnen, Kontrollen zu prüfen, Feststellungen zu dokumentieren und Korrekturmaßnahmen nachzuverfolgen. Sie sind besonders hilfreich, wenn Drittparteien regelmäßig überprüft werden müssen oder Sie Nachweise für ein Audit oder eine regulatorische Prüfung benötigen.
Die Dokumentation sollte dabei mehr als nur den Abschluss einer Prüfung festhalten. Sie sollte auch zeigen, ob die vereinbarten Maßnahmen von der zuständigen Person und innerhalb der festgelegten Frist umgesetzt wurden.
Integrierte Risikomanagementsoftware
Die integrierte Software von NAVEX One für das Management von Drittparteienrisiken führt Drittparteienrisiken, unternehmensweite Risiken und Compliance-Aktivitäten auf einer zentralen Plattform zusammen. So können Teams offene Probleme erkennen, Abhilfemaßnahmen nachverfolgen und nachvollziehen, wie Risiken im gesamten Unternehmen zusammenhängen, anstatt sie in getrennten Systemen zu verwalten.
Integrierte Risikomanagement-Software
Identifizieren, bewerten und steuern Sie Geschäftsrisiken mit der integrierten Risikomanagement-Plattform von NAVEX. Vereinheitlichen Sie Risiko, Compliance und Governance in Ihrem gesamten …
Wichtige Kennzahlen und KPIs für das Management von Drittparteienrisiken
Unsere Studie „2026 State of Risk & Compliance“ zeigt, dass 61% der Befragten davon ausgehen, dass ihre Budgets für Risiko und Compliance in den nächsten 12 Monaten unverändert bleiben oder sich nur geringfügig verändern werden. Klare TPRM-Kennzahlen zeigen, wo sich Aufgaben ansammeln, wo Folgemaßnahmen ins Stocken geraten sind und ob Geschäftsbeziehungen mit hohem Risiko ausreichend berücksichtigt werden.
| KPI | Was wird gemessen? | Was zeigt die Kennzahl? |
|---|---|---|
| Dauer des Onboardings von Drittparteien | Zeitraum von der Anfrage bis zur Freigabe, Ablehnung oder bedingten Freigabe | Wie effizient Drittparteien den Prüfungsprozess durchlaufen |
| Abschlussquote bei Due-Diligence-Prüfungen | Anteil der Drittparteien, die vor Beginn der Zusammenarbeit geprüft wurden | Wie konsequent Due-Diligence-Prüfungen vor Beginn einer Geschäftsbeziehung durchgeführt werden |
| Quote festgestellter Kontrollmängel | Anteil der geprüften Drittparteien mit unzureichenden oder fehlenden Kontrollen | Wie häufig bei Prüfungen Kontrolllücken festgestellt werden |
| Durchschnittliche Dauer von Abhilfemaßnahmen | Zeit bis zur Behebung festgestellter Probleme | Wie schnell identifizierte Drittparteienrisiken behoben werden |
| Quartalsweise geprüfte Drittparteien mit hohem Risiko | Anteil der Drittparteien mit hohem Risiko, die innerhalb eines Prüfungszyklus überprüft wurden | Ob Drittparteien mit hohem Risiko entsprechend ihrer Risikostufe überwacht werden |
| Zur erneuten Prüfung anstehende akzeptierte Risiken | Anzahl und Alter der akzeptierten Risiken, die auf eine erneute Bewertung warten | Ob Entscheidungen zur Risikoakzeptanz überprüft werden, bevor die zugrunde liegende Bewertung veraltet ist |
| Fristgerecht abgeschlossene Audit-Feststellungen | TPRM-Feststellungen, die bis zum vereinbarten Termin abgeschlossen wurden | Ob vereinbarte Abhilfemaßnahmen fristgerecht umgesetzt werden |
Häufig gestellte Fragen zum Management von Drittparteienrisiken
Wofür steht TPRM?
TPRM steht für Third-Party Risk Management, also das Management von Drittparteienrisiken. Es umfasst die Identifizierung, Bewertung und Überwachung von Risiken im Zusammenhang mit Anbietern, Lieferanten, Auftragnehmern, Vermittlern und anderen externen Partnern.
Der Prozess beginnt vor dem Onboarding und setzt sich über Vertragsabschluss, Überwachung und Abhilfemaßnahmen bis hin zur Beendigung der Geschäftsbeziehung fort.
Was sind Beispiele für Drittparteienrisiken?
Beispiele für Drittparteienrisiken sind ein Softwareanbieter, durch den Kundendaten offengelegt werden, ein Vermittler, der unzulässige Zahlungen leistet, oder ein Lieferant, dessen Ausfall die Produktion unterbricht.
Welche Risiken entstehen, hängt von den jeweiligen Zugriffsrechten, Befugnissen und Abhängigkeiten ab. Systemzugriffe können Cybersicherheitsrisiken mit sich bringen, während die Befugnis, im Namen Ihres Unternehmens zu handeln, rechtliche oder Compliance-Risiken verursachen kann. Sind Sie von einem einzelnen Anbieter abhängig, kann dessen Ausfall dazu führen, dass eine kritische Dienstleistung nicht mehr verfügbar ist.
Wer ist für TPRM verantwortlich?
Für TPRM gibt es in der Regel ein Team, das für das Programm verantwortlich ist, sowie eine klar benannte verantwortliche Person für jede Geschäftsbeziehung mit einem Dritten.
Die Verantwortung für das Programm liegt häufig bei Compliance, Einkauf, Risikomanagement oder Informationssicherheit. Das zuständige Team legt die Anforderungen für Due-Diligence-Prüfungen, Freigaben, Überwachung und Berichterstattung fest. Die intern verantwortliche Person bleibt für die jeweilige Geschäftsbeziehung zuständig und reagiert, wenn Bedenken festgestellt werden. Rechtsabteilung, Einkauf, Compliance und Informationssicherheit sind zudem in unterschiedlichen Phasen des Lebenszyklus eingebunden.
Was ist der Unterschied zwischen Lieferantenrisikomanagement und TPRM?
Der Unterschied zwischen Lieferantenrisikomanagement und TPRM liegt darin, welche externen Parteien berücksichtigt werden. Das Lieferantenrisikomanagement konzentriert sich auf Unternehmen, die Waren oder Dienstleistungen bereitstellen.
Das Management von Drittparteienrisiken umfasst darüber hinaus Vermittler, Vertriebspartner, Berater, Auftragnehmer und andere Partner. Diese können Risiken mit sich bringen, weil sie auf Ihre Systeme zugreifen, Ihr Unternehmen vertreten oder Leistungen erbringen, auf die Ihr Unternehmen angewiesen ist.
Wie häufig sollten Drittparteien erneut geprüft werden?
Drittparteien sollten entsprechend ihrer Risikostufe sowie immer dann erneut geprüft werden, wenn sich die Geschäftsbeziehung verändert. Ein Anbieter mit Zugriff auf sensible Daten oder ein kritisches System erfordert eine intensivere Prüfung als ein Lieferant ohne Systemzugriff.
Änderungen bei den Eigentumsverhältnissen, dem Einsatz von Subunternehmern, dem Leistungsumfang oder dem Datenzugriff sollten eine erneute Prüfung auslösen. Auch Sicherheitsvorfälle, Sanktionswarnungen und noch offene Kontrolllücken können eine frühere Prüfung erforderlich machen.
Welche Vorschriften wirken sich auf TPRM aus?
Welche Vorschriften für TPRM relevant sind, hängt von Ihrem Standort, Ihrer Branche und den Aufgaben ab, die ein Dritter übernimmt.
Artikel 28 der DSGVO legt Anforderungen für Unternehmen fest, die Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen. Die HIPAA-Compliance verpflichtet betroffene Unternehmen dazu, schriftliche Vereinbarungen mit Geschäftspartnern abzuschließen, die geschützte Gesundheitsinformationen verarbeiten. DORA legt Anforderungen an das IKT-Drittparteienrisikomanagement für Finanzunternehmen in seinem Geltungsbereich fest. Auch Vorschriften zur Bekämpfung von Bestechung wirken sich auf den Einsatz von Vermittlern und anderen Intermediären aus. Die Leitlinien des U.S. Department of Justice befassen sich im Rahmen des FCPA unter anderem mit der Überprüfung von Drittparteien.
Was sind häufige Herausforderungen beim TPRM?
Zu den häufigsten Herausforderungen beim TPRM gehören unvollständige Informationen zu Drittparteien, unklare Verantwortlichkeiten, verzögerte Prüfungen sowie Feststellungen, denen keine Frist oder verantwortliche Person zugewiesen wurde.
Sind die Informationen unvollständig oder ist nicht klar geregelt, wer für die Prüfung verantwortlich ist, kann ein Dritter seine Tätigkeit aufnehmen, bevor die damit verbundenen Risiken angemessen bewertet wurden. Verträge können zudem verlängert werden, obwohl noch offene Bedenken bestehen. Ebenso können Teams weiterhin auf einer veralteten Risikobewertung aufbauen, obwohl ein Dritter inzwischen zusätzliche Zugriffsrechte erhalten oder weitere Aufgaben übernommen hat.
