Erfüllung der OCC-Anforderungen an das Third-Party-Risiko [Ausgabe 2023]

Das Office of the Comptroller of the Currency (OCC) hat im OCC Bulletin 2013-29 seine Anforderungen an das Risikomanagement von Drittanbietern für US-Nationalbanken und Bundessparkassen dargelegt. Diese Risikomanagementstandards gelten nicht nur für die Beziehungen zu Drittanbietern. Das OCC erwartet von allen Banken, dass sie die besten Risikomanagementpraktiken von Drittanbietern befolgen, unabhängig davon, ob die Aktivitäten intern oder über Dienstleister erfolgen.

Dieser Beitrag fasst diese Erwartungen an das Vendor Risk Management (VRM) zusammen und bietet eine Anleitung zur Einhaltung dieser Standards.

Um den Prozess der Verfolgung Ihrer Compliance-Bemühungen in Bezug auf alle in diesem Beitrag genannten Punkte zu optimieren, laden Sie die PDF-Checkliste herunter

Eine Zusammenfassung des idealen Third-Party-Risikomanagement-Prozesses von OCC

Laut dem OCC Bulletin 2013-29 sollte das Risikomanagementprogramm einer Bank für Dritte:

Verfügen Sie über Risikomanagementprozesse an Orten, die dem Grad und der Komplexität der Risiken durch Dritte angemessen sind.
Seien Sie in der Lage, einen umfassenden Überblick über alle Beziehungen zu Drittanbietern zu erhalten, die kritische Daten verarbeiten.
Erläutern Sie klar die Strategie der Bank für das Management von Risiken für Dritte, einschließlich Einzelheiten dazu, wie bei der Auswahl von Dritten operationelle Risiken und IT-Risiken berücksichtigt wurden.
Identifizieren Sie inhärente Risiken, die mit den Aktivitäten von Drittanbietern verbunden sind.
Führen Sie eine angemessene Due Diligence durch, wenn Sie mit neuen Drittanbietern zusammenarbeiten.
Füllen Sie schriftliche Verträge aus, in denen die Rechte, Pflichten und Erwartungen im Zusammenhang mit der Nutzung Dritter aufgeführt sind.
Haben Sie Notfallpläne, um die Beziehungen zu Dritten sehr schnell zu beenden.
Der Verwaltungsrat und die Geschäftsleitung müssen sicherstellen, dass alle Aktivitäten Dritter sicher und in Übereinstimmung mit den geltenden Gesetzen durchgeführt werden.
Definieren Sie klar die Rollen und Verantwortlichkeiten, die mit dem Risikomanagementprozess von Drittanbietern verbunden sind.
Verfügen Sie über Dokumentations- und Berichtsprozesse, um die Aufsicht, Rechenschaftspflicht, Überwachung und das Risikomanagement von Dritten zu unterstützen.
Sich unabhängigen Überprüfungen zu unterziehen, um zu messen und festzustellen, ob der Prozess der Bank mit ihrer Strategie übereinstimmt und Risiken effektiv gemanagt werden.
Die Banken der Gemeinschaft sollten Risikomanagementpraktiken anwenden, die der Risikoexposition der einzelnen Drittparteien angemessen sind.

Erfüllung der Anforderungen des OCC an das Risikomanagement von Drittanbietern.

Die Erwartungen des OCC an das Risikomanagement von Drittanbietern können in einem Drei-Säulen-Compliance-Framework dargestellt werden, wobei jede Säule eine Reihe von Phasen des Risikomanagement-Lebenszyklus abdeckt.

Erfahren Sie mehr über die besten Third-Party-Risikomanagement-Lösungen auf dem Markt >

1. Dokumentation und Berichterstattung

Die Säule Dokumentation und Berichterstattung umfasst die Due-Diligence-Phase des Lebenszyklus des Risikomanagements für Dritte. Hier werden die inhärenten Risiken eines potenziellen Anbieters bewertet und gemessen. Dies ist ein kritischer Schritt im Prozess des Lieferantenrisikomanagements, da er bestimmt, ob ein potenzieller Anbieter ein Vermögenswert oder eine Verbindlichkeit ist, was das Risiko von Verstößen Dritter erhöht.

Um die Dokumentations- und Berichtsanforderungen des OCC zu erfüllen, müssen Unternehmen in der Finanzdienstleistungsbranche einen Prozess implementieren, mit dem die Sicherheitslage aller potenziellen Drittanbieter genau gemessen wird.

Ein idealer Prozess sollte Folgendes umfassen:

Risikobewertungen - Point-in-Time-Bewertungen bieten tiefe Einblicke in die Informationssicherheitsbemühungen der einzelnen Anbieter.
Sicherheitsbewertungen - Sicherheitsbewertungen scannen kontinuierlich Angriffsflächen von Drittanbietern auf Angriffsvektoren, um die Sicherheitslage quantitativ zu bewerten.

Eine Bibliothek mit branchenführenden Risikobewertungen - Die Bibliothek von Risikobewertungen von UpGuard orientiert sich an gängigen Frameworks und Vorschriften und hilft Ihnen, Compliance-Lücken zu identifizieren, die auf Schwachstellen bei Datenschutzverletzungen hinweisen könnten.
Benutzerdefinierter Fragebogenersteller - Der Fragebogenersteller von UpGuard ermöglicht es Finanzinstituten, ihren Due-Diligence-Prozess basierend auf ihren individuellen Onboarding-Sicherheitsanforderungen anzupassen.
Risikobewertungen + Sicherheitsbewertungen - Durch die Kombination von Point-in-Time-Bewertungen mit Sicherheitsbewertungen bietet UpGuard die aktuellste Reflexion der Sicherheitslage eines Anbieters, beginnend mit der Onboarding-Phase und fortgesetzt über den gesamten TPRM-Lebenszyklus.

2. Aufsicht und Rechenschaftspflicht

Die Säule "Aufsicht und Rechenschaftspflicht" deckt die folgende TPRM-Lebenszyklusphase ab:

Vertragsmanagement
Laufende Überwachung

Vertragsmanagement

Neben der Sicherstellung der Serviceerwartungen durch die Durchsetzung der Verwendung von Verträgen mit allen Beziehungen zu Dritten sollte der Vertragsmanagementprozess alle Rollen und Verantwortlichkeiten, die mit dem Risikomanagement von Drittanbietern verbunden sind, klar definieren. Dadurch wird ein Rahmen für eine effektive Kommunikation und Zusammenarbeit zwischen den Parteien geschaffen, die an Beziehungen zu Dritten beteiligt sind.

Um der Vertragsmanagementkomponente des OCC Bulletin 2013-29 zu entsprechen, müssen die folgenden Punkte behandelt werden:

Stellen Sie sicher, dass ein effektiver Prozess vorhanden ist, um Risiken im Zusammenhang mit Beziehungen zu Dritten zu managen.
Entwicklung und Implementierung einer risikobasierten Richtlinie, die den Risikomanagementprozess von Drittanbietern regelt.
Definieren Sie klar alle Rollen und Verantwortlichkeiten, die mit dem Risikomanagement von Drittanbietern verbunden sind.
Durchführung einer Due-Diligence-Prüfung potenzieller Dritter.
Skizzieren Sie Richtlinien und Prozesse für Vertragsverhandlungen
Prüfung und Genehmigung von Verträgen mit Dritten.
Führen Sie eine kontinuierliche Überwachung der Beziehungen zu Drittanbietern durch.
Pflegen Sie eine angemessene Dokumentation und Berichterstattung während des gesamten Lebenszyklus aller Beziehungen zu Drittanbietern.
Führen Sie ein kontinuierliches Benchmarking der Leistung des Service Providers anhand des Vertrags oder des Service Level Agreements durch.
Eskalieren Sie wichtige Probleme an die Geschäftsleitung.
Stellen Sie sicher, dass die Beziehungen zu Dritten und der Risikomanagementprozess der Bank regelmäßig unabhängig überprüft werden.
Ziehen Sie Bankmitarbeiter in Geschäftsbereichen oder Funktionen zur Verantwortung, die direkte Beziehungen zu Dritten verwalten.
Führen Sie regelmäßige unabhängige Überprüfungen aller TPRM-Prozesse durch, die kritische Aktivitäten beinhalten. Diese Audits können von einem internen Prüfer oder einem unabhängigen Dritten durchgeführt werden.

Stellen Sie sicher, dass alle Dritten Hintergrundüberprüfungen aller Personen und Organisationen durchführen, die Zugang zu kritischen Systemen und vertraulichen Informationen haben, einschließlich der Geschäftsleitung und der Subunternehmer.

Erfahren Sie, wie Sie die Risikobereitschaft für Third-Party-Risikomanagement-> berechnen können

Kontinuierliche Überwachung

Unter kontinuierlicher Überwachung versteht man den Prozess des kontinuierlichen Scannens der Angriffsflächen von Drittanbietern auf neu auftretende Sicherheitsrisiken. Dieser Prozess sollte idealerweise in der Lage sein, Anbieter basierend auf der Schwere ihrer Sicherheitsrisiken zu bewerten, damit kritische Anbieter bei den Abhilfemaßnahmen priorisiert werden können.

Da sich die Anzahl potenzieller Angriffsvektoren für Datenschutzverletzungen durch die digitale Transformation ständig vervielfacht, sollten die laufenden Überwachungsmaßnahmen den größtmöglichen Bereich der Angriffsfläche von Drittanbietern abdecken.

Durch die Implementierung der folgenden Aktionspunkte maximieren Sie die Breite Ihres Risikoüberwachungsumfangs und helfen Ihnen, die laufende Überwachungskomponente des OCC Bulletin 2013-29 einzuhalten.

Bewerten Sie regelmäßig bestehende Beziehungen zu Drittanbietern, um festzustellen, ob ihre ausgelagerten Prozesse eine kritische Aktivität oder wichtige Bankfunktionen beinhalten.
Setzen Sie Überwachungsinitiativen ein, wenn Sie interne Funktionen auslagern, und stellen Sie sicher, dass sie dem Risikoniveau und der Komplexität der Beziehung angemessen sind.
Führen Sie regelmäßige Vor-Ort-Besuche durch, um die Abläufe des Drittanbieters und die laufende Fähigkeit, die Vertragsanforderungen zu erfüllen, vollständig zu verstehen.
Stellen Sie sicher, dass die Bankmitarbeiter über ausreichende Risikomanagement-Anleitungen verfügen, um potenzielle Sicherheitsrisiken von Drittanbietern zu identifizieren.
Achten Sie besonders auf die Qualität und Nachhaltigkeit der Kontrollen des Drittanbieters, seine Fähigkeit, Service-Level-Agreements, Leistungskennzahlen und andere Vertragsbedingungen einzuhalten und gesetzliche und behördliche Anforderungen zu erfüllen.
Stellen Sie sicher, dass sich die laufende Überwachung an die Veränderungen des Ausmaßes und der Art der Risiken während der Lebensdauer der Beziehungen zu Dritten anpasst.
Bewerten Sie Änderungen an der Geschäftsstrategie, dem Ruf, der Einhaltung gesetzlicher und behördlicher Anforderungen, der Finanzlage, dem Versicherungsschutz, dem Schlüsselpersonal, der Fähigkeit zum Risikomanagement und anderen kritischen Bereichen des Drittanbieters.
Eskalieren Sie wichtige Probleme oder Bedenken, die sich aus der laufenden Überwachung ergeben, an die Geschäftsleitung.
Gemeinschaftsbanken sollten über Prozesse verfügen, um Anbieter zu identifizieren, kritische Aktivitäten zu verarbeiten und sie während der Überwachungsbemühungen zu priorisieren.
Testen Sie die Kontrollen der Bank, um Risiken aus Beziehungen zu Dritten regelmäßig zu managen, insbesondere wenn es sich um kritische Aktivitäten handelt.
Reagieren Sie auf Probleme, wenn sie identifiziert werden, einschließlich der Eskalation erheblicher Probleme an den Vorstand, basierend auf der laufenden Überwachung und den Ergebnissen der internen Kontrolltests.

Erfahren Sie, wie Sie das Risiko von Drittanbietern an den Vorstand kommunizieren können >

Überwachung der Angriffsfläche von Drittanbietern - UpGuard scannt kontinuierlich Drittanbieter anhand einer Liste von 70+ kritischen Angriffsvektoren und hilft Ihnen, aufkommende Risiken von Drittanbietern sofort zu identifizieren und zu beheben.
Vendor Tiering - Mit der Vendor Tiering-Funktion von UpGuard können Sie Anbieter basierend auf der Schwere ihrer Sicherheitsrisiken kategorisieren und so die Anbieter mit dem größten Risiko einer Datenschutzverletzung priorisieren. Diese Funktion ist besonders nützlich für Community-Banken, da von ihnen erwartet wird, dass sie kritische Anbieter während der Überwachungsprozesse priorisieren.
Shared Profile - Die Funktion "Shared Profile" von UpGuard vereinfacht das Vertragsmanagement, indem sie ein zentrales Repository zum Hosten aller Lieferantenverträge und anderer relevanter Sicherheitsdokumente bietet.
Überwachung der Einhaltung gesetzlicher Vorschriften - Durch die Zuordnung der Antworten auf den Fragebogen der Anbieter zu gängigen Vorschriften identifiziert UpGuard Compliance-Lücken, die geschlossen werden müssen, um kostspielige Verstöße zu vermeiden.

3. Unabhängige Bewertungen

Die Säule "Unabhängige Überprüfungen" befasst sich mit den folgenden Phasen des Lebenszyklus des Risikomanagements von Drittanbietern:

Beendigung
Planung

Beendigung

Das Risikomanagement ist in den Beendigungsphasen ebenso wichtig wie in der Onboarding-Phase des TPRM-Lebenszyklus. Übersehene Verbindungen von Drittanbietern in gekündigten Lieferantenpartnerschaften sind schlummernde Angriffsvektoren, die eine verheerende Datenschutzverletzung erleichtern könnten, wenn sie von Hackern entdeckt werden. Aus diesem Grund ist es wichtig, alle End-of-Life-Software außer Betrieb zu nehmen.

Die Berücksichtigung der folgenden Aktionspunkte hilft Ihnen, die Grundsätze des Risikomanagements von Drittanbietern des OCC in der Beendigungsphase des TPRM-Lebenszyklus einzuhalten.

Stellen Sie sicher, dass Beziehungen effizient beendet werden, unabhängig davon, ob die Aktivitäten an einen anderen Dritten, intern oder eingestellt werden.
Haben Sie einen Plan, den Service intern zu nutzen, wenn es im Falle eines Vertragsausfalls oder einer Vertragskündigung keine alternativen Dritten gibt, um sicherzustellen, dass die Auswirkungen auf die Kunden während des Übergangs minimal sind.

Befassen Sie sich mit Risiken im Zusammenhang mit der Aufbewahrung und Vernichtung von Daten, Informationssystemverbindungen und Problemen mit der Zugriffskontrolle oder anderen Kontrollproblemen, die während und nach Beendigung der Beziehung zu Dritten ein zusätzliches Risikomanagement und eine zusätzliche Überwachung erfordern.
Umgang mit gemeinsamem geistigem Eigentum, das während der Vereinbarung entwickelt wurde.
Managen Sie Reputationsrisiken für die Bank, wenn die Kündigung aufgrund der Unfähigkeit des Dritten, die Erwartungen zu erfüllen, erfolgt.
Erkennen Sie, dass das Ausmaß und die Flexibilität der Kündigungsrechte je nach Art der Aktivität variieren können.

Planung

Obwohl die Planungsphase am Ende dieses Beitrags angesprochen wird, ist sie eigentlich die erste Phase des TPRM-Lebenszyklus. Hier bewertet eine Bank die Sicherheitsrisiken, die mit einem potenziellen Anbieter verbunden sind, bestätigt, dass seine inhärenten Risiken in die Risikobereitschaft des Unternehmens passen, und entwirft einen Risikomanagementplan für Dritte, der eine sichere Arbeitsbeziehung mit diesem Anbieter in Zukunft gewährleistet.

Die folgenden Maßnahmen sollten bereits in der Planungsphase angegangen werden, um die Risikomanagementstandards des OCC für Drittanbieter einzuhalten.

Entwickeln Sie einen Plan für das Management der Beziehung als ersten Schritt im Risikomanagementprozess für Dritte, insbesondere bei Verträgen, die kritische Aktivitäten mit Dritten beinhalten.
Führen Sie vor Vertragsunterzeichnung eine Due-Diligence-Prüfung potenzieller Dritter durch, um sicherzustellen, dass die Bank einen geeigneten Dritten auswählt und die mit der Beziehung verbundenen Risiken im Einklang mit der Risikobereitschaft der Bank versteht und kontrolliert.
Überprüfen Sie den Business Continuity-Plan des Anbieters, um die Auswirkungen auf Ihr Unternehmen zu ermitteln, falls es zu einer Datenschutzverletzung kommt. Diese Pläne sollten sorgfältig geprüft werden, bevor Geschäftsvereinbarungen formalisiert werden.