De fleste organisationer har allerede en proces til at vurdere leverandører, i det mindste ved onboarding. Udfordringen er at holde det billede retvisende efterfølgende. Effektiv leverandørrisikostyring er ikke en engangsvurdering, der gennemføres under onboarding. Det er en løbende proces, der forbinder leverandør-due diligence, risikostyring, kontroller og overvågning for at sikre, at organisationens billede af leverandørrisiko forbliver opdateret, snarere end fastlåst til hvordan det så ud ved oprettelsen.

Hvad er leverandørrisikostyring?

Leverandørrisikostyring er en struktureret tilgang til at identificere og håndtere de risici, som leverandører og andre eksterne udbydere kan bringe ind i en organisation.

Disse risici kan påvirke forskellige dele af virksomheden. En leverandør kan blive finansielt ustabil, undlade at levere en kritisk ydelse, blive ramt af en cybersikkerhedshændelse eller ikke overholde et lovkrav. Konsekvensen kan variere fra en mindre operationel forsinkelse til en alvorlig forstyrrelse, der påvirker kunder, data eller forretningskontinuitet.

Leverandørrisikostyring giver organisationer en måde at vurdere disse risici ensartet på og beslutte, hvor meget tilsyn den enkelte leverandør kræver.

Det dækker typisk:

• Finansiel risiko: om en leverandør er finansielt stabil nok til at fortsætte med at levere sine ydelser

• Operationel risiko: om svigt, forsinkelser eller kapacitetsproblemer kan forstyrre forretningsdriften

• Cybersikkerheds- og datarisiko: om en leverandør kan udsætte systemer eller følsomme oplysninger for sikkerhedstrusler

• Compliance-risiko: om en leverandørs praksis kan bidrage til manglende overholdelse af regler eller kontrakter

• Omdømmerisiko: om en leverandørs handlinger kan skade organisationens omdømme

• Forsyningskæderisiko: om afhængigheder længere oppe i værdikæden kan påvirke leverandøren og dermed din organisation

Leverandørrisikostyring er tæt relateret til tredjepartsrisikostyring. Den primære forskel er omfanget: leverandørrisikostyring fokuserer specifikt på leverandører, mens tredjepartsrisikostyring kan dække et bredere felt af eksterne parter, herunder leverandører, underleverandører, partnere og serviceudbydere.

Hvilke typer leverandørrisiko bør du håndtere?

Ikke alle leverandører skaber det samme risikoniveau eller den samme type risiko. En leverandør, der leverer kontorudstyr, har for eksempel en anden risikoprofil end en cloud-udbyder, der opbevarer kundedata.

Et nyttigt program til leverandørrisikostyring tager derfor højde for flere risikokategorier.

Finansiel risiko

En leverandørs økonomiske helbred kan påvirke dens evne til fortsat at levere produkter eller ydelser.

Finansiel risiko kan opstå som følge af insolvens, faldende omsætning, overdreven gæld eller andre tegn på økonomisk ustabilitet. For kritiske leverandører kan et svigt efterlade jeres organisation i en situation, hvor I skal finde et alternativ under tidspres.

Operationel risiko og forsyningskæderisiko

Leverandører kan blive en kilde til operationel forstyrrelse gennem leveringssvigt, kapacitetsbegrænsninger, kvalitetsproblemer eller afhængighed af andre leverandører.

Dette bliver særligt vigtigt, når en leverandør leverer en ydelse, der ikke nemt kan erstattes. Afhængighed af en enkelt leverandør kan blive et single point of failure, hvis der ikke findes et levedygtigt alternativ.

Cybersikkerheds- og datarisiko

Tredjeparter har ofte adgang til organisationens systemer, netværk eller data. Det betyder, at en leverandørs sikkerhedspraksis direkte kan påvirke jeres egen sikkerhedstilstand.

NIS2 omfatter eksplicit forsyningskædesikkerhed blandt foranstaltningerne til styring af cybersikkerhedsrisici for væsentlige og vigtige enheder. Direktivet kræver også, at organisationer tager højde for leverandørsårbarheder og den samlede kvalitet samt cybersikkerhedspraksis hos deres leverandører og serviceudbydere.

Du vil måske også være interesseret i: Hvad er NIS2? EU’s direktiv om cybersikkerhed, og hvad det betyder for jeres organisation

Compliance- og lovgivningsmæssig risiko

Jeres organisation kan fortsat være ansvarlig for at overholde sine lovmæssige forpligtelser, selvom en del af en proces håndteres af en leverandør.

Regulatoriske krav rækker i stigende grad ud over organisationens egne systemer og omfatter sikkerhedspraksis hos dens leverandører og serviceudbydere.

Omdømme- og ESG-risiko

En leverandørs adfærd kan også påvirke jeres organisations omdømme. Problemer som uetisk forretningspraksis, dårlige arbejdsforhold, miljøhændelser eller overtrædelser af regler kan skabe omdømmemæssig eksponering, selv når hændelsen sker uden for organisationen.

Det niveau af opmærksomhed, dette kræver, vil afhænge af branchen, det regulatoriske miljø og jeres risikoprofil.

Hvordan fungerer leverandørrisikostyring?

Leverandørrisikostyring fungerer bedst som en kontinuerlig livscyklus fremfor ét enkelt spørgeskema eller én årlig gennemgang.

En typisk livscyklus ser således ud:

Det første skridt er at forstå, hvilke leverandører I er afhængige af, og hvad de leverer. Derfra kan I vurdere de risici, der er forbundet med hver enkelt leverandør, afgøre hvilke der kræver mest opmærksomhed, og etablere passende kontroller.

Processen bør være proportional med risikoniveauet.

En leverandør, der understøtter en kritisk forretningsfunktion, kan kræve indgående due diligence, kontraktlige sikkerhedskrav, dokumentation for kontroller og regelmæssig genvurdering. En lavrisikoleverandør har måske kun brug for en grundlæggende vurdering og periodisk gennemgang.

Denne risikobaserede tilgang forhindrer, at teams bruger den samme mængde tid på alle leverandører.

Det ændrer også fokus fra:

Har vi vurderet denne leverandør?

til:

Forstår vi den aktuelle risiko, som denne leverandør skaber?

Den forskel er vigtig, fordi leverandørrisiko kan ændre sig. En leverandør kan opkøbe en anden virksomhed, ændre sin teknologi, introducere en ny underleverandør, rammes en sikkerhedshændelse eller blive mere afgørende for jeres organisation over tid.

Hvorfor er leverandørrisikostyring vigtigt?

Organisationer bliver i stigende grad afhængige af eksterne leverandører i forhold til kritiske dele af deres drift. Det gør leverandørrisiko til en del af organisationens samlede risikoprofil.

Effektiv leverandørrisikostyring hjælper organisationer med at:

• Beskytte forretningskontinuiteten: identificere leverandører, hvis svigt kan forstyrre kritiske aktiviteter

• Reducere eksponeringen for cybersikkerhedsrisici: forstå hvordan tredjeparters adgang, systemer og databehandling påvirker sikkerheden

• Opfylde lovkrav: dokumentere at relevante leverandør- og tredjepartsrisici bliver identificeret og håndteret

• Prioritere ressourcer: fokusere dybdegående due diligence og overvågning på kritiske leverandører

• Forbedre ansvarligheden: placere et klart ejerskab for leverandørrisici og udbedringstiltag

• Reagere på ændringer: identificere nye risici når leverandører, ydelser eller afhængigheder ændrer sig

Regulatoriske krav gør også tilsynet med tredjeparter mere eksplicit, især i sektorer hvor organisationer er afhængige af eksterne udbydere til kritiske ydelser.

DORA anvender en tilsvarende struktureret tilgang til IKT-tredjepartsrisiko inden for finansielle tjenesteydelser. Finansielle enheder skal opretholde tilsyn med deres IKT-tredjepartsaftaler, anvende en proportional tilgang baseret på, hvor kritiske deres afhængigheder er, og forblive ansvarlige for deres lovmæssige forpligtelser, selv når ydelserne leveres af tredjeparter.

Leverandørrisikostyring er derfor ikke længere kun et anliggende for indkøbsafdelingen. Det er en integreret del af operationel resiliens, cybersikkerhed, compliance og den samlede risikostyring i virksomheden.

Sådan opbygger I en effektiv proces til leverandørrisikostyring

En praktisk proces til leverandørrisikostyring behøver ikke at starte med hundredvis af spørgeskemaer eller en kompleks scoringsmodel. Den første prioritet er at skabe et klart overblik over jeres leverandørfelt og derefter anvende en proportional tilgang.

1. Kortlæg jeres leverandører

Start med at oprette en central fortegnelse over leverandører og de ydelser, de leverer.

For hver leverandør bør I registrere oplysninger som:

• Hvilken ydelse eller hvilket produkt leverer leverandøren?

• Hvilken forretningsfunktion afhænger af det?

• Hvilke data eller systemer har leverandøren adgang til?

• Er ydelsen kritisk for forretningsdriften?

• Er der underleverandører eller andre afhængigheder?

• Hvem har det interne ansvar for leverandørforholdet?

Uden disse oplysninger er det vanskeligt at vurdere leverandørrisiko på en ensartet måde.

2. Klassificer leverandører efter kritikalitet

Ikke alle leverandører har brug for det samme niveau af vurdering. Klassificer leverandører ud fra faktorer som ydelsens betydning, adgang til følsomme data, operationel afhængighed og den potentielle konsekvens ved et leverandørsvigt.

Dette skaber en opdelt tilgang. Kritiske leverandører kan kræve en omfattende due diligence-undersøgelse og løbende overvågning, mens leverandører med lavere risiko kan følge en mindre omfattende proces. Princippet er enkelt: Jo større den potentielle konsekvens er, desto højere skal niveauet af tilsyn være.

3. Vurder og scor leverandørrisiko

Når leverandørerne er klassificeret, skal I vurdere de risici, de medfører. Afhængigt af leverandøren og jeres risikoramme kan dette omfatte finansiel stabilitet, cybersikkerhedskontroller, overholdelse af regler, forretningskontinuitet, databeskyttelse, geografisk eksponering og afhængighed af underleverandører.

En leverandørrisikoscore kan hjælpe med at sammenligne leverandører ensartet og fremhæve dem, der kræver yderligere handling. Selve scoren er mindre vigtig end det, den fører til. En brugbar vurdering bør hjælpe jer med at beslutte, om I vil acceptere, reducere, overføre eller undgå en specifik risiko.

4. Definer risikotolerance og ejerskab

For hver væsentlig risiko skal I fastlægge, hvem der er ansvarlig for at overvåge den, hvem der kan acceptere risikoen, og hvornår den skal eskaleres.

I bør også definere tærskler for handling. For eksempel kan en leverandør, der ligger under en påkrævet sikkerhedsstandard, have brug for en udbedringsplan, yderligere kontraktlige kontroller eller en udskiftningsstrategi. Dette gør leverandørvurdering til reel risikostyring i stedet for blot dokumentation.

5. Etabler kontroller og udbedringstiltag

Hvor en vurdering afdækker en uacceptabel risiko, skal I beslutte, hvad der skal ændres.

Afhængigt af situationen kan dette indebære:

• At tilføje krav om cybersikkerhed eller databeskyttelse til kontrakten

• At kræve specifikke certificeringer eller uafhængige vurderinger

• At indføre yderligere adgangskontroller

• At udarbejde en plan for forretningskontinuitet eller en exit-strategi

• At kræve at leverandøren håndterer identificerede sårbarheder

• At fastsætte deadlines for udbedring

• At finde en alternativ leverandør

Disse krav kan også have kontraktlige konsekvenser. EU's gennemførelsesbestemmelser for visse enheder indeholder bestemmelser, der dækker cybersikkerhedskrav, underretning om hændelser, audit-rettigheder, håndtering af sårbarheder, brug af underleverandører og forpligtelser, når en kontrakt ophører.

6. Overvåg leverandører løbende

Leverandørrisiko stopper ikke op med at ændre sig efter onboarding. Overvåg kritiske leverandører for ændringer, der kan påvirke deres risikoprofil. Afhængigt af risikoen kan dette omfatte sikkerhedshændelser, ændringer i ejerforhold, økonomiske problemer, nye underleverandører, udløbne certificeringer eller ændringer i de ydelser, de leverer.

Hyppigheden af genvurdering bør afspejle leverandørens kritikalitet og risiko. Kritiske leverandører kan kræve kontinuerlig overvågning, mens leverandører med lavere risiko kan gennemgås sjældnere.

7. Rapporter og eskaler leverandørrisiko

Endelig skal leverandørrisiko være synlig for de personer, der er ansvarlige for at styre den. Ledelsen bør kunne se, hvilke leverandører der er kritiske, hvor der eksisterer væsentlige risici, hvilke udbedringstiltag der er forsinkede, og hvor organisationen har accepteret en restrisiko.

Det bliver nemmere, når man forbinder leverandørrisiko med den bredere ramme for risiko og compliance. Leverandørrisici kan derefter kobles til relevante kontroller, politikker, aktiver, lovkrav og forretningsprocesser i stedet for at blive håndteret i et separat regneark.

Leverandørrisikostyring vs. tredjepartsrisikostyring

Leverandørrisikostyring og tredjepartsrisikostyring er tæt relaterede, og begreberne bruges ofte i flæng. Den primære forskel er omfanget.

Leverandørrisikostyring fokuserer på risici, der opstår som følge af leverandører, som leverer produkter eller ydelser til en organisation.

Tredjepartsrisikostyring (TPRM) er bredere. Det kan omfatte leverandører, men kan også dække eksterne konsulenter, rådgivere, forretningspartnere, outsourcede serviceudbydere og andre eksterne parter.

I praksis benytter de to tilgange mange af de samme processer: identifikation af tredjeparter, risikovurdering, indsamling af dokumentation, tildeling af ejerskab, overvågning af ændringer og håndtering af udbedring.

For organisationer med et stort eksternt økosystem udgør tredjepartsrisikostyring den bredere ramme, mens leverandørrisikostyring kan være en del af det samlede program.

How to get started with supplier risk management

You do not need to assess every supplier in detail before you can start managing supplier risk.

A practical starting point is to map your supplier base and identify the suppliers your organization depends on most. From there, classify suppliers by criticality, assess the main risks they introduce, and assign ownership for those risks.

The next step is to connect supplier risk to the controls and processes you already have.

If your organization already manages NIS2, DORA, ISO 27001, or other compliance frameworks, supplier risk should not sit separately from that work. Connecting suppliers to relevant controls and requirements can reduce duplicated effort and make it easier to demonstrate how risks are being managed.