Third-Party Risk Management: Beziehungen erfassen und bewerten

Wir bauen einen nachvollziehbaren Bewertungsprozess für Drittparteien auf.

  • 01Beziehungen und Leistungsumfang erfassen
  • 02Klassifizierung und Nachweise definieren
  • 03Bewertung und Freigabe pilotieren
  • 04Änderung und Beendigung zuordnen
  • 05Prozess und offene Nachweise übergeben
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

Third-Party Risk Management: Beziehungen erfassen und bewerten

Der Schwerpunkt liegt auf dem Beziehungsinventar und der risikobasierten Bewertung über Aufnahme, Änderung und Beendigung hinweg. Die Klassifizierung steuert, welche Informationen und Prüfungen erforderlich sind. Ein Fragebogen oder Werkzeug allein belegt noch keine abgeschlossene Beurteilung.

3 Leistungsbausteine

Leistungsumfang

01

Inventar und Klassifizierung

Wir machen Beziehungen und Abhängigkeiten als Bewertungsgrundlage nachvollziehbar.

  • Leistungen und Datenzugriffe erfassen
  • Verantwortliche und verbundene Parteien zuordnen
  • Kriterien mit Fachstellen abstimmen
  • Inventar mit Informationslücken liefern
02

Prüfung und Entscheidung

Wir verbinden die Bewertung mit geeigneten Nachweisen und geregelten Freigaben.

  • Prüfumfang nach Beziehung festlegen
  • Nachweise und Selbstauskünfte unterscheiden
  • Bedingungen und Ausnahmen dokumentieren
  • Begründete Entscheidungsvorlagen bereitstellen
03

Prozessintegration

Wir überführen Bewertungen in wiederholbare Aufnahme-, Änderungs- und Abschlussabläufe.

  • Übergabe an Dienstleistersteuerung klären
  • Änderungs- und Neubewertungsanlässe festlegen
  • Daten- und Werkzeugübergaben prüfen
  • Prozessanleitung mit offenen Maßnahmen liefern

5 Phasen

Unser Vorgehen

Wir definieren Datenmodell, Bewertungskriterien und Verantwortlichkeiten anhand ausgewählter Beziehungen. Der Pilot verfolgt einen Fall vom Eingang über Nachweise und Entscheidung bis zur Übergabe an die laufende Steuerung. Offene Informationen und akzeptierte Einschränkungen werden dokumentiert.

  1. Beziehungen und Leistungsumfang erfassen

  2. Klassifizierung und Nachweise definieren

  3. Bewertung und Freigabe pilotieren

  4. Änderung und Beendigung zuordnen

  5. Prozess und offene Nachweise übergeben

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn
Ein systematisches Drittparteienmanagement ist der Schlüssel zu sicheren und nachhaltigen Geschäftsbeziehungen. Wer seine Drittparteien effektiv steuert und überwacht, minimiert Risiken und schafft langfristige Wertschöpfung.
Expertenmeinung von ADVISORI

5 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu Third-Party Risk Management: Beziehungen erfassen und bewerten

Was ist der konkrete Projektumfang?

Ein Beziehungsinventar, abgestimmte Bewertungskriterien und ein erprobter Entscheidungsprozess. Wir grenzen ihn von der laufenden Leistungssteuerung ab, die die Ergebnisse übernimmt und spätere Veränderungen zurückmeldet.

Wie werden regulatorische Anforderungen zugeordnet?

Die Anwendbarkeit wird für Organisation, Leistung und Beziehung mit den Fachverantwortlichen geklärt. DORA erfasst IKT-Drittparteirisiken in seinem Geltungsbereich; daraus folgt keine pauschale Gleichsetzung aller Lieferantenbeziehungen oder eine automatische Compliance-Zusage.

Wie wird der Prüfaufwand bestimmt?

Kritikalität der Leistung, Datenzugriffe, Austauschbarkeit und bekannte Abhängigkeiten fließen in begründete Kriterien ein. Fehlende Informationen bleiben sichtbar; ein numerischer Score ersetzt weder fachliche Beurteilung noch Freigabe.

Welche Nachweise werden geprüft?

Der Bedarf folgt den vereinbarten Kriterien und kann Leistungsbeschreibungen, Verträge, Sicherheitsnachweise und Unterauftragnehmerinformationen umfassen. Aussagen werden mit Umfang und Aktualität bewertet; nicht verfügbare Nachweise werden als Lücke behandelt.

Wann wird eine Beziehung neu bewertet?

Wir vereinbaren regelmäßige Reviews und relevante Änderungsanlässe, etwa neue Leistungen, Datenzugriffe oder Unterauftragnehmer. Der Ablauf benennt Verantwortliche und Entscheidungsfolgen; eine allgemeine feste Frequenz ist nicht für jede Beziehung passend.