Lieferantenrisikomanagement

Die Abteilung Vendor Risk Management ist dafür verantwortlich, ein unternehmensweites Vendor-Management-Programm zu etablieren, umzusetzen, zu verwalten und durchzusetzen, das darauf ausgelegt ist, Risiken, die aus Lieferantenbeziehungen entstehen können, auf ein akzeptables Niveau zu identifizieren und zu mindern. Das hierin definierte Vendor Risk Management Programm umfasst die folgenden Aktivitäten:

Beschaffung

Mindestanforderungen an die Bewertung und Überprüfung von Lieferanten sind im Beschaffungsprozess festgelegt. Beschaffungskontrollen umfassen:

• Due Diligence - Führen Sie eine anfängliche Prüfung potenzieller Anbieter durch, um sicherzustellen, dass der Anbieter in der Lage ist, geeignete Schutzmaßnahmen, finanzielle Stabilität und Verfügbarkeit für die vorgesehenen Dienstleistungen aufrechtzuerhalten.
• Lieferantenklassifizierung - Definieren Sie die Klassifizierung des Lieferanten basierend auf dem Leistungsumfang, der Kritikalität und der Sensibilität der für die Erbringung der Dienstleistungen benötigten Informationen.
• Vertragliche Anforderungen - Stellen Sie sicher, dass Lieferantenverträge die erforderlichen vertraglichen Klauseln enthalten, die die Verpflichtungen des Informationssicherheitsprogramms, die Datenhoheit und Rechte zur Erlangung von Kontrolle definieren.

Überwachung

Sobald eine Lieferantenbeziehung besteht, führt Flosum fortlaufende gezielte Überwachungsaktivitäten durch. Umfang und Ausmaß der Überwachungsaktivitäten werden durch die Lieferantenklassifizierung bestimmt. Überwachungsaktivitäten dienen dazu zu überprüfen, dass die Verpflichtungen des Lieferanten erfüllt werden, die finanzielle Lage stabil ist, die Kontrollen des Lieferanten wie erwartet funktionieren und keine Änderungen eingetreten sind, die die Risikoposition des Lieferanten negativ beeinflussen oder verändern würden. Jährlich werden die Ergebnisse detaillierter Kontrollbewertungen mit jedem Lieferanten erneut bestätigt, um zu validieren, dass sich die Klassifizierung des Lieferanten und das Kontrollumfeld des Lieferanten seit der Erstbewertung nicht geändert haben.