第三方风险有多少种类型？

---

第三方风险是指，当您将特定服务外包或利用第三方创建的软件来完成特定任务时，您的公司可能遭受不利事件（例如数据泄露、运营中断或声誉损害）的可能性。任何提供软件、有形商品、用品或服务的独立公司或个人都被视为第三方。软件供应商、招聘公司、顾问和承包商都是第三方示例。依赖外部人员来成功运营您的公司是危险的。毕竟，您必须相信另一个您无法控制其运营的组织。

第三方风险应该成为首要考虑因素，因为大多数企业至少将其日常活动的一部分外包出去。鉴于与外部各方打交道而导致的安全事件数量不断增加，这一点尤其正确。贵公司的高级官员最终负责监督第三方关系。与内部组织管理的运营相同的标准也应用于识别和管理相关风险。

尽管供应商生命周期中与第三方交互产生的多种危害，但许多组织仍然没有像管理内部风险那样细致地管理第三方风险。

未能管理这些风险的组织可能会受到监管行动、财务行动、法律行动、声誉损害以及无法吸引新客户或提供优质客户服务的困扰。

第三方风险类型

第三方风险可以分为不同的类型和类别。以下是一些示例 -

网络安全风险

由于网络威胁的复杂性和速度，您比以往任何时候都更需要关注供应商的网络安全态势。要量化供应商的网络安全风险，您必须首先确定组织的风险承受能力。一旦确定了可接受的风险水平，您就可以开始评估第三方的安全性能并进行必要的改进。在评估性能时，您应该关注供应商网络环境中的受损系统。虽然受损系统也不一定会导致数据丢失，但它们确实揭示了供应商如何发现和阻止攻击。

合规性风险

与不遵守组织必须遵守才能运营的内部程序、法律和法规相关的风险称为合规性风险。尽管某些一般规则适用于许多行业（例如 PCI DSS 和 GDPR），但特定行业的法律将对每个企业产生不同的影响。您必须确保供应商的网络安全合规性活动符合法律要求，因为不遵守这些法规通常会面临巨额罚款。

声誉风险

关注声誉风险的是公众对您企业的看法。第三方卖家可能损害您声誉的一些方式包括 -

• 与公司标准不符的互动。

• 由于疏忽或数据泄露导致的消费者数据丢失或泄露。

• 违反了法律和法规。

财务风险

当供应商未能达到组织为财务绩效设定的标准时，就会产生第三方财务风险。供应商面临的两大主要财务问题是高成本和收入损失。如果不降低高成本，它们可能会阻碍业务扩展并导致过度负债。如果您想防止成本过高，则必须进行定期审计以确保供应商支出符合您合同中规定的条款。

管理收入损失的第一步是确定哪些供应商直接影响为您的公司创造收入的活动。监控和记录您公司销售活动的第三方系统就是一个例子。制定计划来评估它们的风险至关重要，因为这些供应商和系统出现的任何问题都可能导致收入延迟或损失。

运营风险

当供应商流程停止时，就会产生运营风险。组织运营和第三方运营是相关的，因此，当供应商无法提供他们承诺的服务时，企业通常会发现自己无法执行日常任务。您的公司应该制定业务连续性计划，以便您在供应商关闭的情况下能够继续运营，以降低运营风险。

战略风险

供应商的业务决策与您公司的战略目标相冲突会产生战略风险。战略风险通常会影响公司的整体价值，并可能影响合规性和声誉风险。组织可以通过建立关键绩效指标 (KPI) 来有效监控战略风险，这些指标提供了有关供应商运营和流程的有见地的信息。

如何最大程度地降低风险？

根据您组织的第三方风险管理 (TPRM) 计划的现状，您需要采取快速行动来降低第三方风险。首先，您应该评估您现有的 TPRM 计划，以查看您当前是否采取了任何安全措施。简而言之，以下内容应包含在供应商风险管理流程的最早阶段 -

• 供应商清单 - 您的供应商是谁？首先，您必须正确识别您的供应商。任何向您的企业提供商品或服务但不隶属于您的企业的个人或企业都被称为第三方供应商。第三方供应商的示例包括外部员工、服务提供商、制造商和供应商以及服务公司。该清单应包含第三方（您第三方供应商的供应商）并进行更新。

• 供应商评估流程 - 在编制所有供应商的完整清单后，您必须设计一个评估供应商的流程。组织利用此流程来评估和批准潜在的第三方供应商，以确保他们能够遵守所有合同要求和协议。为了加快对现有供应商的评估和新供应商的入职流程，您现在应该提供供应商问卷模板。

虽然这些措施有助于为 TPRM 打下坚实的基础，但它们本身是不够的。第三方风险管理策略应考虑以下因素 -

• 大多数大型企业管理数百或数千家供应商，每家供应商都存在不同的风险。每个供应商都有自己的尽职调查和风险评估流程，以及其他特定于层级的标准，因此您的信息安全团队需要根据每个风险层级独立地对每个供应商进行分类。此外，他们需要与供应商互动以鼓励填写风险概况问卷，并强调公司内部 TPRM 的重要性。

• 管理如此大量的供应商的另一个要求是优先考虑高风险和低风险供应商。为了确保没有任何问题被遗漏，仍然必须使用相同的标准检查定期评估所有供应商。

• 第三方风险管理不是一项“设置并忘记”的任务。应在入职流程期间以及每年至少填写一次供应商问卷。为了确保供应商的安全态势良好，持续监控它们并进行频繁的评估和审查是必要的。

从这些考虑因素可以清楚地看出，成功的 TPRM 需要大量的时间和财务投入。信息安全团队可能没有必要的技能来有效地管理第三方风险，因为他们必须关注组织安全计划的所有其他方面。