Risikovurdering af leverandører (beslutningstræ)

Hvad er risikovurdering af leverandører (beslutningstræ)?

De fleste dokumenter om tredjepartsrisiko beskriver en rækkefølge: anmodning, gennemgang, kontrakt, registrering. Dette beskriver en vurdering. Diagrammet herunder er et beslutningstræ, ikke et tværfunktionelt proceskort. Det svarer på ét spørgsmål: ud fra det, vi ved om denne leverandør, hvilken risikoklasse er den i, hvor meget due diligence udløser det, og hvem har ret til at sige det, og hver vej gennem det ender i et navngivet udfald frem for at løbe tilbage i en fælles lykkelig sti.

Den skelnen betyder noget, fordi de to dokumenttyper fejler forskelligt. Et proceskort fejler, når en overlevering ikke er beskrevet, og sagen ender hos ingen. Et beslutningstræ fejler, når testene ikke er skrevet ned, så den samme leverandør klassificeres højt af én vurderer og lavt af en anden, og registret bliver en optegnelse over, hvem der kørte vurderingen, i stedet for hvad leverandøren er. Har I i stedet brug for det samlede forløb (anmodningsformularen, juridisk og økonomisk gennemgang, kontraktunderskrift, verifikation af bankoplysninger og den godkendte leverandørliste), så brug skabelonen til onboarding af leverandører, der dækker det samme terræn som en swimlane-proces. Skabelonen til godkendelse af leverandører dækker det beslægtede spørgsmål om, hvad en leverandør er godkendt til at levere.

Træet har ni beslutninger fordelt på fire baner med beslutningsret. Sikkerhed og compliance svarer på spørgsmålene om data, adgang, land og dokumentation; indkøb og økonomi svarer på afhængighed og volumen; tredjepartsrisikoudvalget holder den sidste port og udfaldet for kritiske leverandører. Fem slutpunkter kommer ud af det: godkend i lav risikoklasse på et kort spørgeskema, godkend i mellem risikoklasse efter standardpakken til due diligence, godkend i høj risikoklasse efter udvidet gennemgang og audit, godkend som kritisk leverandør med en aftalt kontinuitets- og exitplan, eller afvis. Kriterier står som kommentarer på de fire afgørende tests, for et beslutningstræ uden nedskrevne grænseværdier er bare en holdning med pile på.

Hvad dette flowchart dækker

I denne skabelon

• Fire baner med beslutningsret (Forretningsejer, Sikkerhed og compliance, Indkøb og økonomi samt Tredjepartsrisikoudvalg) fordelt på fem faser: Modtagelse, Data og adgang, Volumen og afhængighed, Land og dokumentation samt Risikoklasse og udfald
• Den indledende forgrening ved 'Behandles person- eller reguleret data?': Ja går videre til 'Er databehandleraftalen accepteret?', hvor Afvist ender i 'Afvis leverandøren'; Nej går til 'Adgang til systemer, lokationer eller IP?', som spørger, om leverandøren når ind i jeres systemer, lokationer eller immaterielle rettigheder, selv når der ikke flyder data
• Grenen med lav eksponering, besvaret af indkøb og økonomi: 'Eneleverandør eller svær at erstatte?' sender Ja til en kontinuitets- og exitplan og udfaldet kritisk leverandør, mens Nej går til 'Volumen over væsentlighedsgrænsen?', hvor Over grænsen udløser standardpakken til due diligence, og Under grænsen kun får det korte leverandørspørgeskema
• Den følsomme gren, besvaret af sikkerhed og compliance: 'Høj lande- eller brancherisiko?' sender Høj risiko til 'Træf i sanktioner eller negativ omtale?' (Træf fundet afviser, Rent går til udvidet gennemgang), mens Standard går til 'Er certificeringerne gyldige?', hvor Certificeret falder ned til standardpakken, og Ingen eskalerer til udvidet gennemgang og audit
• En sidste port, 'Bestået udvidet gennemgang?', der sender Bestået til godkendelse i høj risikoklasse med kontroller og Ikke bestået til det samme afvisningsudfald, så den udvidede gennemgang er en reel test og ikke en formalitet
• Fem forskellige slutpunkter: godkend i lav risikoklasse, i mellem risikoklasse, i høj risikoklasse, godkend som kritisk leverandør, afvis leverandøren, plus kriteriekommentarer på testene om data, afhængighed, volumen og certificering

Hvornår du skal bruge skabelonen

• To personer klassificerer den samme leverandør forskelligt, og I har brug for testene skrevet ned frem for diskuteret hver gang
• I sætter dybden af due diligence efter eksponering i stedet for at sende alle leverandører det samme fyrre sider lange spørgeskema
• Et kundesikkerhedsspørgeskema eller et forløb mod ISO 27001 eller SOC 2 har spurgt, hvordan I klassificerer tredjeparter, og hvad hver klasse udløser
• I skal aftale beslutningsret: hvilke spørgsmål sikkerhed svarer på, hvilke indkøb og økonomi svarer på, og hvor risikoudvalget skal inddrages
• I har allerede en proces for onboarding eller godkendelse af leverandører, og trinnet med risikoklassificering inde i den er én enkelt uforklaret kasse

Sådan fungerer det

1. Åbn skabelonen, og omdøb banerne med beslutningsret

   Erstat Forretningsejer, Sikkerhed og compliance, Indkøb og økonomi samt Tredjepartsrisikoudvalg med de roller, der reelt svarer på spørgsmålene hos jer. Hold banerne til dem, der har beslutningsret, i stedet for at kortlægge hver eneste afdeling, ellers bliver træet til et proceskort igen.

2. Skriv jeres væsentlighedsgrænse ind på noden

   Vælg ét beløb i jeres egen valuta, aftal det med økonomi, og læg det i kommentaren på 'Volumen over væsentlighedsgrænsen?'. Anvend det på det forpligtede årlige volumen frem for på den første ordre, og skriv, hvad der sker, når en eksisterende leverandør krydser grænsen midt i en periode.

3. Definer, hvad der gør et land eller en branche højrisiko

   Navngiv de kilder, I bruger, frem for at overlade det til skøn: korruptions- og sanktionsindeks, jeres egen liste over lande med restriktioner, brancher under særlig regulering. Gør det samme for tjekket af sanktioner og negativ omtale, og navngiv de lister, der screenes, og hvem der kører søgningen.

4. Angiv, hvilke certificeringer I accepterer, og deres grænser

   List den dokumentation, der giver en leverandør adgang til grenen Certificeret: et gyldigt ISO 27001-certifikat, hvis gyldighedsområde dækker den ydelse, I køber, en ny SOC 2 Type II-rapport, en akkrediteret branchecertificering. Skriv eksplicit, at et udløbet certifikat eller et, der dækker en anden juridisk enhed, ikke tæller.

5. Udfyld, hvad hver risikoklasse rent faktisk kræver

   De fire godkendelsesudfald er kun brugbare, hvis pakkerne bag dem findes. Skriv ned, hvad det korte spørgeskema spørger om, hvad standardpakken til due diligence indeholder, hvad udvidet gennemgang og audit betyder i praksis, og hvordan en acceptabel kontinuitets- og exitplan ser ud for en kritisk leverandør.

6. Sæt udløsere for genvurdering, og send det til godkendelse

   Knyt et revisionsinterval til hver risikoklasse, og tilføj hændelsesudløsere, der trækker en leverandør gennem træet igen: et ejerskifte, en anmeldelse af et sikkerhedsbrud, en ny datastrøm, en overskridelse af væsentlighedsgrænsen. Del diagrammet med sikkerhed, indkøb og økonomi, få deres godkendelse registreret, og hold det under versionsstyring, så diagram og skreven politik ikke driver fra hinanden.

Ofte stillede spørgsmål

Hvad er forskellen på en risikovurdering af leverandører og en onboarding-proces?

De svarer på hver sit spørgsmål. Onboarding er et proceskort: det viser, hvad der sker bagefter, og hvem der gør det: fra den første anmodning over juridisk og økonomisk gennemgang, kontraktunderskrift og verifikation af bankoplysninger til posten på den godkendte leverandørliste. En risikovurdering af leverandører er et beslutningstræ: det viser, hvilken mulighed I vælger, og hvem der har ret til at vælge den, ved at tage fakta om en leverandør og returnere en risikoklasse plus den dybde af due diligence, klassen kræver. I de fleste organisationer er vurderingen én node inde i onboarding-forløbet. At dokumentere dem hver for sig holder onboarding-diagrammet læsbart og tvinger kriterierne for klassificering til at blive skrevet ned i stedet for at gemme sig i en kasse med teksten 'vurder risiko'.

Hvilke kriterier bør en risikovurdering af leverandører bruge?

Seks tests dækker de fleste tilfælde, og det er dem, der ligger i dette træ: om leverandøren behandler person- eller reguleret data, om den får adgang til systemer, lokationer eller immaterielle rettigheder, det årlige volumen op mod en væsentlighedsgrænse, om den er eneleverandør eller svær at erstatte, om landet eller branchen bærer forhøjet risiko, og om den har gyldige certificeringer, der dækker det rigtige omfang. Hold listen kort nok til, at en vurderer kan besvare den ud fra modtagelsesnotatet, og skriv hver grænseværdi ved siden af sit spørgsmål. Kriterier, der lever i et separat politikdokument, bliver anslået efter hukommelsen, og det er præcis sådan, to vurderere når frem til forskellige klasser ud fra de samme fakta.

Hvor mange risikoklasser bør vi have?

Tre klasser plus en særskilt betegnelse for kritiske leverandører fungerer for de fleste, og det er strukturen her: lav, mellem, høj og kritisk for leverandører, I ikke uden videre kan erstatte. Flere klasser giver diskussioner om placering frem for bedre beslutninger. Kritisk er værd at holde adskilt fra høj, fordi den drives af afhængighed frem for eksponering: en leverandør med lidt data, lavt volumen og intet kvalificeret alternativ har brug for en kontinuitets- og exitplan, ikke et længere sikkerhedsspørgeskema. Klassen bør styre to ting: den dokumentation, der kræves før godkendelse, og hvor ofte leverandøren genvurderes bagefter.

Kan en certificering erstatte udvidet due diligence?

Delvist, og kun hvis I tjekker den ordentligt. Et gyldigt ISO 27001-certifikat eller en ny SOC 2 Type II-rapport er uafhængig dokumentation for, at et kontrolmiljø er blevet vurderet, og i dette træ flytter grenen Certificeret en leverandør fra udvidet gennemgang ned til standardpakken. Tre tjek afgør, om den tæller: gyldighedsområdet skal dække den ydelse, I faktisk køber, certificeringsorganet skal være akkrediteret, og datoen skal være aktuel. En SOC 2 Type II-rapport har desuden et revisionsvindue og en række afvigelser i sig, så læs afvigelserne frem for forsiden. Certificering træder aldrig i stedet for en databehandleraftale, når der er personoplysninger involveret.

Hvem bør eje beslutningen om risikovurderingen?

Del den op efter spørgsmål frem for at give ét team hele vurderingen. Sikkerhed og compliance er bedst placeret til at svare på spørgsmålene om data, adgang, land og certificering, fordi de sidder på dokumentationen. Indkøb og økonomi svarer på volumen og udskiftelighed. Den klasse, der kommer ud af det, bør være en beregning ud fra svarene, ikke en forhandling. Reserver risikoudvalget til de to steder, hvor der reelt skal udøves skøn: at acceptere en leverandør i høj risikoklasse efter udvidet gennemgang, og at godkende den kontinuitetsplan, der gør en kritisk leverandør acceptabel. Den, der kørte gennemgangen, bør ikke være den, der accepterer restrisikoen.