Jeden Lieferanten in einem Register verfolgen, einstufen und prüfen

Es bedeutet zu wissen, von welchen Drittanbietern Ihr Unternehmen abhängt, zu verstehen, was jeder davon offenlegen könnte, wenn er ausfällt oder kompromittiert wird, und jeden so gründlich zu prüfen, wie es dieses Risiko verlangt. Es wird auch Drittparteienrisikomanagement oder TPRM genannt. Auditoren fragen danach bei SOC 2, ISO 27001, DSGVO und HIPAA, denn eine ausgelagerte Kontrolle bleibt eine Kontrolle, für die Sie verantwortlich sind.

Auf vier Wegen. Das Verbinden eines Tools auf der Integrationsseite legt den Lieferanteneintrag automatisch an. Auto Detect scannt Ihre Domain nach Drittanbieter-Diensten, die Sie bereits nutzen. Sie können eine vorhandene Liste mit der Lieferantenvorlage importieren und einzelne Lieferanten manuell hinzufügen. Die meisten Teams nutzen alle vier, weil jeder Weg Lieferanten findet, die die anderen übersehen.

Es scannt die Domain Ihrer Organisation nach den damit verbundenen Integrationen und Diensten und zeigt Ihnen, was es gefunden hat, damit Sie die hinzufügen können, die ins Register gehören. Es ist der schnellste Weg, die Lücke zwischen der aufgeschriebenen Lieferantenliste und den Lieferanten zu schließen, die Sie tatsächlich bezahlen.

Nein. Er recherchiert den Lieferanten anhand öffentlicher Informationen und schlägt Werte für das Due-Diligence-Profil vor, und jeder Vorschlag wartet auf einen Menschen. Nichts wird im Datensatz gespeichert, bevor Sie es freigeben. Deshalb beschreibt das Produkt ihn als Human-in-the-Loop-Ablauf und nicht als Autofill.

Danach, womit der Lieferant in Berührung kommt und wie sehr Sie auf ihn angewiesen sind. Sie erfassen die Datenarten, die er speichert oder verarbeitet, etwa vertrauliche Unternehmensinformationen, Kundendaten oder Karten- und Patientendaten, wie sich Nutzer bei ihm anmelden und ob eine Zwei-Faktor-Authentifizierung aktiv ist, und wie abhängig Ihr Betrieb bei einem Ausfall wäre. Daraus ergibt sich die Risikostufe, die mit jeder Due Diligence weiter verfeinert wird.

Nein, und genau darum geht es. Due Diligence ist dort Pflicht, wo die Risikostufe des Lieferanten es verlangt, und optional, wo nicht, sodass der Prüfaufwand dem Risiko folgt. Sie können die nächste geplante Prüfung eines Lieferanten auch bewusst überspringen. Das hinterlässt eine dokumentierte Entscheidung statt einer Lücke, die später niemand erklären kann.

Die Nachweise, auf denen eine Prüfung tatsächlich beruht: SOC-2-Berichte, ISO-Zertifikate und ähnliche Zusicherungsdokumente, dazu den Trust-Center-Link des Lieferanten und Ihren Auftragsverarbeitungsvertrag. Liegen sie am Lieferantendatensatz, beginnen die nächste Prüfung und der nächste Auditor mit dem, was Sie bereits gesammelt haben.

Ja. Die Sichtbarkeit für Auditoren ist eine Einstellung pro Lieferant, sodass Sie genau steuern, welche Datensätze offengelegt werden. Weil der Auditor das Live-Register liest statt eines Exports, ist die Liste, die er prüft, die aktuelle Ihres Teams und keine Momentaufnahme, die schon beim Export veraltet war.

Eine Bewertung der Domain des Lieferanten von außen, auf Abruf durchgeführt und nach Kategorien wie Website-Sicherheit, E-Mail, DNS, Verschlüsselung und weiteren gruppiert. Sie liefert ein SecureSlate-Sicherheitsrating als Note und Punktzahl, die Anzahl der bestandenen, nicht bestandenen und informativen Prüfungen und die Mängel nach Kategorie, damit Sie sehen, wo die Schwäche tatsächlich liegt. Exportieren Sie den Bericht oder erstellen Sie ihn neu, wann immer Sie einen aktuellen Stand möchten.

Nein, und genau dafür gibt es den Sicherheitsbericht. Dokumente wie ein SOC-2-Bericht beschreiben, was ein Lieferant nach eigener Aussage tut, und die Bewertung von außen misst, was seine Domain heute tatsächlich offenlegt. Beide beantworten unterschiedliche Fragen. Deshalb enthält ein Lieferantendatensatz beides, statt eines davon als vollständige Prüfung zu behandeln.

Archivieren Sie sie. Sie verschwinden aus der aktiven Liste, bleiben aber im Tab für archivierte Lieferanten dokumentiert, zusammen mit den Prüfungen und Dokumenten, die Sie während der Geschäftsbeziehung gesammelt haben. Mit dieser Historie beantworten Sie auch Fragen zu einem Lieferanten, den Sie vor zwei Jahren abgelöst haben.

Lieferantenmanagement ist in beiden eine ausdrückliche Anforderung, ebenso in der DSGVO und bei HIPAA. Wenn Sie es auf derselben Plattform wie Ihre Richtlinien, Kontrollen und Nachweise betreiben, liegen Register, Verantwortliche und Due-Diligence-Unterlagen bereits dort, wo Ihr Auditor sucht, statt in einer Tabelle, die jemand finden und erklären muss.