15 KPIs und Metriken, um den Erfolg Ihres TPRM-Programms zu messen

Die Verfolgung von Key Performance Indicators (KPIs) ermöglicht es Ihrem Unternehmen, sein Third-Party-Risikomanagement-Programm (TPRM) zu bewerten und zu verbessern. Durch die Überwachung bestimmter Metriken im Laufe der Zeit kann Ihr Risikomanagementteam den allgemeinen Zustand Ihres TPRM-Programms und bestimmte Bereiche aufdecken, in denen das Personal Änderungen vornehmen kann, um die lokale Leistung zu verbessern.

Laut einer Studie aus dem Jahr 2023 sind etwa 98 % der Unternehmen weltweit mit mindestens einem angegriffenen Drittanbieter verbunden. Daher ist TPRM für alle außer 2 % der Unternehmen eine entscheidende Notwendigkeit, da viele Unternehmen auf der Grundlage der Leistung ihres Lieferantenrisikomanagementprogramms erfolgreich sind und scheitern.

Lesen Sie weiter, um 15 KPIs zu entdecken, die Ihr Unternehmen im Laufe des Jahres 2024 verfolgen sollte, die Stärken und Schwächen, die diese Risikomanagement-Kennzahlen aufzeigen, und die wichtigsten TPRM-Strategien, um Ihr Team vor den Cybersicherheitsrisiken Ihrer Lieferkette zu schützen.

Erfahren Sie mehr über die #1 TPRM- und VRM-Lösung der Welt: UpGuard Vendor Risk>

Die Säulen des Third-Party-Risikomanagements

Die KPIs Ihres Unternehmens sollten sich auf alle Säulen des Risikomanagements von Drittanbietern beziehen, einschließlich Lieferantenauswahl, Lieferanten-Due-Diligence und Onboarding, laufende Lieferantenrisikobewertung und Lieferantenbeziehungsmanagement.

Bevor wir spezifische KPIs vorstellen, die Ihr Unternehmen verfolgen sollte, hier eine kurze Auffrischung der Hauptsäulen von TPRM:

• Anbieterauswahl: Erfolgreiche TPRM-Programme beginnen mit einem effektiven Lieferantenbeschaffungsprozess. Unternehmen mit einem effektiven Lieferantenauswahlprozess verwenden spezifische Auswahlkriterien, um Ungleichheiten zwischen Anbietern, den Grad der Professionalität eines Anbieters, potenzielle Reputationsrisiken und die Gesamtauswirkungen, die ein Anbieter auf das Unternehmen haben kann, zu bewerten.
• Vendor Due Diligence: Die nächste Phase des Risikomanagementprozesses für Drittanbieter ist die Vendor Due Diligence, die es Unternehmen ermöglicht, die operationellen Risiken, die bestimmte Anbieter darstellen, gründlich zu untersuchen. Professionelles Risikopersonal verwendet Fragebögen, Sicherheitsbewertungen und andere Tools, um die Einhaltung kritischer gesetzlicher Rahmenbedingungen und der allgemeinen Sicherheitslage eines Anbieters zu bewerten.
• Vendor Onboarding: Während des Vendor Onboarding werden die Anbieter auf der Grundlage der Risikokritikalität abgestuft, das Unternehmen legt Erwartungen fest, das Personal richtet Kommunikationskanäle ein und die Stakeholder erstellen bei Bedarf Service Level Agreements (SLAs).
• Überwachung des Lieferantenrisikos: Während Unternehmen vor dem Onboarding Risikobewertungen von Anbietern durchführen, implementieren erfolgreiche TPRM-Programme Strategien für die kontinuierliche Risikoüberwachung während des gesamten Lieferantenlebenszyklus. Diese Säule umfasst auch Workflows zur Risikominderung und -behebung.
• Vendor Relationship Management: Beziehungen zu Drittanbietern erfordern kontinuierliche Arbeit und Aufmerksamkeit. Effektives Vendor Relationship Management sorgt für Kommunikation, Erwartungen und Leistung während des gesamten Lieferantenlebenszyklus.

Ihr Unternehmen kann selbst ein diszipliniertes TPRM-Programm entwickeln. Die Verwendung einer Lösung für das Risikomanagement von Anbietern, wie UpGuard Vendor Risk, ist jedoch der beste Weg, um Ihr Programm ganzheitlich zu verbessern.

UpGuard Vendor Risk kann Ihr Unternehmen bei allen Säulen des Risikomanagements von Drittanbietern unterstützen, einschließlich der Identifizierung neuer Lieferantenrisiken, der Entwicklung von Echtzeitlösungen für eine verbesserte Geschäftskontinuität und Reaktion auf Vorfälle sowie der Visualisierung Ihrer Risikoexposition für Dritte.

KPIs vs. KRIs

Während Risikoexperten in denselben Gesprächen oft mit "KPIs" und "Key Risk Indicators" (KRIs) um sich werfen, beziehen sich die Begriffe auf zwei verschiedene Risikomanagement-Metriken.

• KRIs: Ein KRI ist eine Kennzahl, die Unternehmen zur Überwachung und Bewertung potenzieller Risiken verwenden. Diese Metriken sind Frühwarnzeichen für bestimmte Risiken und ermöglichen es Unternehmen, Arbeitsabläufe und Lösungen zur Risikominderung zu optimieren.
• KPIs: Ein KPI ist eine Kennzahl, die Unternehmen verwenden, um die Leistung von Teams, Programmen und einzelnen Mitarbeitern zu überwachen und zu bewerten. In TPRM verwenden die Mitarbeiter KPIs, um die Effektivität des Risikomanagement-Frameworks eines Unternehmens zu verfolgen und die Stärken und Schwächen seiner VRM-Strategien hervorzuheben.

15 KPIs, die Sie für Ihr Risikomanagementprogramm von Drittanbietern verfolgen sollten

Die KPIs, die Ihre Organisation nachverfolgt, sollten den Zustand aller TPRM-Phasen anzeigen. Alle TPRM-Phasen können untersucht werden, indem Sie Ihr TPRM-Programm mit KPIs kalibrieren, um vier spezifische Bereiche zu messen: Third-Party-Risiken, Threat Intelligence, Compliance-Management und allgemeine TPRM-Abdeckung.

• Third-Party-Risiko: Welches Risiko stellt Ihre Lieferkette dar? Ist dieses Risiko über alle Risikostufen hinweg ausgewogen?
• Threat Intelligence: Wie bewusst ist sich Ihr Unternehmen der Bedrohungen durch Dritte, denen es ausgesetzt ist? Wie viel Prozent der Bedrohungen hat Ihr Unternehmen identifiziert?
• Compliance-Management: Erfüllt Ihr Unternehmen die Compliance-Anforderungen in der gesamten Lieferkette von Drittanbietern? Sind ausstehende Compliance-Prüfungen in den Drittanbieterkanälen des Unternehmens vorhanden?
• TPRM-Abdeckung: Hat Ihr Unternehmen alle Drittanbieter identifiziert? Deckt Ihr TPRM-Programm Risiken von Drittanbietern und Vierten ab?

KPIs zur Messung des Risikos von Drittanbietern

Die Auswahl der richtigen Metriken zur Messung des Risikos von Drittanbietern ermöglicht es Ihrem Unternehmen, das Gesamtrisikoniveau wahrzunehmen. Hier sind die wichtigsten Kennzahlen zur Messung des Risikos von Drittanbietern:

1. Durchschnittliche Sicherheitsbewertung von Anbietern: Diese Kennzahl zeigt, wie riskant Ihr Drittanbieter-Ökosystem ist und wie hoch das Risiko ist, das der durchschnittliche Anbieter für Ihr Unternehmen darstellt. Wenn die durchschnittliche Sicherheitsbewertung Ihres Unternehmens hoch ist, arbeiten Sie mit vielen Anbietern mit hohem Risiko zusammen und sollten Strategien implementieren, um entsprechend zu planen.
2. % der Lieferanten nach Risikostufe: Eine weitere wichtige Kennzahl zur Aufdeckung des Gesamtrisikoniveaus Ihres Unternehmens, % der Lieferanten nach Risikostufe, ermöglicht es Ihrem Unternehmen zu wissen, welche Risikostufen es priorisieren sollte. Wenn alle Ihre Anbieter in eine oder zwei Risikostufen eingeteilt sind, sollten Sie Ihre Risikostufen neu kalibrieren, um eine detailliertere Unterscheidung zwischen den Anbietern zu ermöglichen.
3. % der Anbieter, die die erste Risikobewertung nicht bestehen: Wie viele Drittanbieter fallen bei der Risikobewertung Ihres Unternehmens durch? Ein hoher Prozentsatz kann darauf hindeuten, dass Ihre Risikobewertung zu kritisch ist, während ein niedriger Prozentsatz darauf hindeutet, dass die anfängliche Bewertung Ihres Teams zu nachsichtig ist.
4. Durchschnittliche Zeit bis zum Abschluss der ersten Risikobewertung: Wie lange benötigen Drittanbieter, um Ihre erste Risikobewertung abzuschließen? Wenn die durchschnittliche Zeit bis zum Ausfüllen hoch ist, sind die Anbieter möglicherweise weniger motiviert, die Risikobewertung abzuschließen, oder der Fragebogen muss vereinfacht werden. Sie können diesen KPI auch auf verschiedenen Lieferantenebenen messen, um zu visualisieren, wie Lieferanten auf die Bewertung reagieren.

KPIs zur Messung von Threat Intelligence

Durch die Verfolgung von KPIs zur Messung von Bedrohungsinformationen kann Ihr Unternehmen seine Fähigkeit bewerten, Risiken effektiv zu identifizieren, zu mindern und zu beheben. Hier sind die wichtigsten Metriken zur Messung der Bedrohungsintelligenz:

5. % der mit Threat Intelligence überwachten Drittanbieter: Wie viel Prozent der Drittanbieter überwacht Ihr Unternehmen mit einer Lösung für das Risikomanagement von Drittanbietern? Wie viele Anbieter befinden sich in Ihrem TPRM-Dashboard, und zu welcher Risikostufe gehören diese Anbieter?
6. Mean Time to Action (MTTA) nach Risikoauslöser: Eine hohe MTTA kann darauf hindeuten, dass das Risikopersonal überfordert ist oder nicht über die Ausbildung oder die Ressourcen verfügt, um eine bestimmte Art von Bedrohung zu bewältigen.
7. # der gemeldeten Vorfälle: Diese Metrik kann über verschiedene Zeiträume verfolgt werden, um die Effizienz des Threat-Intelligence-Teams Ihres Unternehmens zu ermitteln. Wenn die # der gemeldeten Vorfälle (Datenschutzverletzungen, Bedrohungen der Informationssicherheit usw.) weiterhin hoch ist, müssen Sie möglicherweise in mehr Ressourcen investieren oder zusätzliches Risikopersonal einstellen, um Störungen zu minimieren.
8. # der gemeldeten Fehlalarme: Ist Ihr Bedrohungsüberwachungsprozess effektiv abgestimmt? Wenn Ihr Unternehmen überwältigende Fehlalarme erhält, sollten Sie Ihren Prozess zur Identifizierung und Überwachung von Bedrohungen gründlich untersuchen.

KPIs zur Messung der Compliance

Die Messung der Compliance in der gesamten Lieferkette eines Drittanbieters kann eine Herausforderung darstellen. Durch die Verfolgung mehrerer KPIs kann Ihr Unternehmen jedoch die Compliance- und Datenschutzrisiken seiner Beziehungen zu Drittanbietern besser verstehen. Hier sind die wichtigsten Kennzahlen zur Messung der Compliance:

9. # der Dritten im regulatorischen Geltungsbereich: Wie viele Dritte fallen in den Geltungsbereich eines bestimmten regulatorischen Rahmens? Wenn viele Anbieter ein bestimmtes Framework einhalten müssen, sollte Ihr Unternehmen mehr Ressourcen aufwenden, um sich auf dieses Framework zu konzentrieren.
10. # der ausstehenden Compliance-Anforderungen: Wie viele ausstehende Compliance-Anforderungen gibt es in der gesamten Lieferkette von Drittanbietern? Wenn eine Art von Anforderung durchweg nicht rechtzeitig erfüllt wird, ist diese Anforderung möglicherweise zu schwierig oder muss verfeinert werden, um Anbietern und Mitarbeitern zu helfen.
11. Abschlussrate der Lieferanten-Due-Diligence-Prüfung: Wenn der Prozentsatz der Anbieter, die die Due Diligence nicht abgeschlossen haben, hoch ist, kann sich Ihr Unternehmen zusätzlichen Compliance-Risiken aussetzen.
12. Durchschnittliche Zeit zwischen den Risikobewertungen: Ihr Unternehmen sollte ein Gleichgewicht zwischen seinem Audit-Rhythmus finden. Sie wollen die Anbieter nicht mit Risikobewertungen überfordern, aber Sie wollen auch keine Risiken durch die Maschen fallen lassen, indem Sie nicht früh genug Folgebewertungen versenden.

KPIs zur Messung der TPRM-Abdeckung

Die Verfolgung von KPIs zur Messung der TPRM-Abdeckung ist eine der wenigen Möglichkeiten, um zu visualisieren, wie viel Prozent Ihrer Lieferkette von Drittanbietern überwacht werden. Hier sind die wichtigsten Metriken zur Messung der TPRM-Abdeckung:

13. Mean Time to Onboarding (MTTO): Eine kurze durchschnittliche Onboarding-Zeit könnte darauf hindeuten, dass der Prozess Ihres Unternehmens nicht umfassend genug ist, um alle Risiken vollständig abzudecken. Im Gegensatz dazu könnte eine lange durchschnittliche Einarbeitungszeit zeigen, dass Ihr Prozess zu kompliziert ist.
14. % der nicht überwachten Drittanbieter: Wie viel Prozent Ihrer Lieferkette überwachen Sie nicht mit einer VRM-Lösung? Werden alle High-Tier-Anbieter beobachtet?
15. # der nicht aufgenommenen Lieferanten auf der Gehaltsabrechnung: Wie viele Lieferanten auf der Gehaltsliste Ihres Unternehmens sind nicht eingebunden? Ihr Unternehmen kann sich zusätzlichen Risiken und Bedrohungen aussetzen, wenn Lieferanten nicht eingebunden werden.

UpGuard bietet Unternehmen die Tools, mit denen sie ihre TPRM-Programme optimieren und den Lieferantenlebenszyklus mit automatisierten Workflows und intuitiven Anbieter-Dashboards verwalten können.

UpGuard Vendor Risk enthält ein komplettes Toolkit mit leistungsstarken Funktionen:

• Risikobewertungen von Anbietern: Schnell, genau und bieten einen umfassenden Überblick über die Sicherheitslage Ihrer Anbieter
• Third-Party Security Ratings: Eine objektive, datengesteuerte und dynamische Messung der Cyber-Hygiene eines Unternehmens
• Vendor Security Questionnaires: Flexible Fragebögen, die den Bewertungsprozess beschleunigen und tiefe Einblicke in die Sicherheit eines Anbieters bieten
• Bibliothek für Stakeholder-Berichte: Maßgeschneiderte Vorlagen ermöglichen es den Mitarbeitern, die Sicherheitsleistung einfach an die Stakeholder auf Führungsebene zu kommunizieren
• Workflows zur Behebung und Risikominderung: Umfassende Workflows zur Rationalisierung von Risikomanagementprozessen und zur Verbesserung der Sicherheitslage
• Integrationen: Integrieren Sie UpGuard einfach mit über 4.000 Apps mit Zapier
• 24/7 kontinuierliche Überwachung: Echtzeit-Benachrichtigungen und Risikoaktualisierungen rund um die Uhr mit genauen Lieferantendaten
• Intuitives Design: Einfach zu bedienende Anbieterportale und First-Party-Dashboards
• Erstklassiger Kundenservice: Professionelles Cybersicherheitspersonal steht bereit, um Ihnen zu helfen, das Beste aus UpGuard herauszuholen und Ihre Sicherheitslage zu verbessern