Zarządzanie ryzykiem stron trzecich (Third Party Risk Management, TPRM) to najszersza rama zarządzania ryzykiem zewnętrznym. Obejmuje wszystkie podmioty, z którymi organizacja wchodzi w relacje: dostawców usług i produktów, partnerów biznesowych, podmioty przetwarzające dane, firmy zewnętrzne wykonujące procesy w imieniu organizacji, konsultantów i innych interesariuszy mających dostęp do systemów, danych lub procesów. TPRM obejmuje pełen zakres kategorii ryzyka: cyberbezpieczeństwo, ciągłość działania, ryzyko regulacyjne, finansowe i reputacyjne. W ramach TPRM wyróżniamy dwa węższe obszary: zarządzanie ryzykiem łańcucha dostaw (SCRM), które analizuje sieć zależności na wielu poziomach, oraz zarządzanie ryzykiem dostawców (VRM), które koncentruje się wyłącznie na bezpośrednich relacjach umownych.

TPRM, SCRM i VRM różnią się przede wszystkim zakresem analizowanej sieci zależności. TPRM jest najszerszy. Obejmuje wszystkich zewnętrznych interesariuszy organizacji, niezależnie od tego, czy łączy ich z nią umowa, i analizuje ryzyko we wszystkich jego kategoriach. SCRM jest podzbiorem TPRM skoncentrowanym wyłącznie na przepływie towarów, usług i danych przez łańcuch dostaw, w tym przez sub-dostawców i głębsze poziomy, z którymi organizacja nie ma bezpośrednich relacji. VRM jest najwęższy, dotyczy wyłącznie oceny i monitorowania bezpośrednich relacji umownych z dostawcami usług i produktów.

Dla instytucji finansowych objętych DORA, które potrzebują strategii i rejestru dostawców ICT wymaganych przez artykuł 28, punktem wyjścia jest VRM w ramach szerszego programu TPRM. Dla operatorów infrastruktury krytycznej z rozbudowaną siecią zaopatrzenia zalecamy rozszerzenie o SCRM. Właściwy zakres zawsze ustalamy indywidualnie na konsultacji wstępnej, bo to, co jest wystarczające dla banku, rzadko jest wystarczające dla operatora sieci elektroenergetycznej.

Rozporządzenie DORA (UE 2022/2554) nakłada na instytucje finansowe, z wyłączeniem mikroprzedsiębiorstw i podmiotów wskazanych w artykule 16 ustęp 1, obowiązek przyjęcia i regularnego przeglądu strategii zarządzania ryzykiem ICT stron trzecich (art. 28 ust. 2 DORA). Strategia ta musi obejmować politykę korzystania z usług ICT wspierających funkcje krytyczne lub istotne, a organ zarządzający musi regularnie dokonywać przeglądu ryzyka wynikającego z tych zależności. Ponadto organizacja jest zobowiązana do prowadzenia rejestru informacji o wszystkich usługach ICT świadczonych przez zewnętrznych dostawców, z wyraźnym rozróżnieniem dostawców obsługujących funkcje krytyczne od pozostałych. Rejestr ten musi być dostępny dla organu nadzoru na żądanie. Ponadto instytucje finansowe są zobowiązane do corocznego raportowania do właściwego organu nadzoru liczby nowych umów na usługi ICT, kategorii dostawców, rodzaju umów oraz funkcji i usług, które dostawcy świadczą. Format i zawartość rejestru precyzują Regulacyjne Standardy Techniczne (ITS) przyjęte przez europejskie organy nadzorcze (EBA, ESMA, EIOPA).

Certyfikat ISO 27001 dostawcy nie zastępuje oceny ryzyka w programie TPRM. Certyfikat informuje o tym, że dostawca wdrożył udokumentowany proces zarządzania bezpieczeństwem informacji, nie mówi jednak nic o tym, jak duże ryzyko akceptuje w ramach tego procesu, ani czy zakres certyfikacji obejmuje usługi lub systemy, od których zależy Twoja organizacja. ISO 27001 dopuszcza świadomą akceptację ryzyka, co oznacza, że dostawca może być certyfikowany i jednocześnie utrzymywać wysoki poziom ekspozycji w obszarach, które są dla Ciebie krytyczne. Certyfikat jako jedyny dowód oceny ryzyka dostawcy jest luką, którą audytor nadzorczy, zwłaszcza w kontekście DORA i NIS2, znajdzie bardzo szybko.

Częstotliwość oceny zależy od klasyfikacji dostawcy i zmian w jego otoczeniu. Dla dostawców kategorii krytycznej, obsługujących funkcje krytyczne lub istotne w rozumieniu DORA, ocenę ryzyka zalecamy co najmniej raz w roku, a w przypadku istotnych zmian w zakresie usług lub incydentów bezpieczeństwa, niezwłocznie po zajściu zdarzenia. Dla dostawców kategorii standardowej wystarczy ocena co dwa lub trzy lata w połączeniu z bieżącym monitorowaniem dostępnych informacji. DORA wymaga, by podejście do monitorowania dostawców było proporcjonalne do charakteru i wagi zależności, co oznacza, że organizacja musi mieć udokumentowane kryteria różnicowania częstotliwości i zakresu ocen.

Nie. Rejestr informacji wymagany przez DORA (art. 28 ust. 3) jest bardziej szczegółowy niż standardowy rejestr umów. Musi zawierać informacje o tym, jakie usługi ICT świadczy każdy dostawca, czy obsługuje funkcje krytyczne lub istotne, jakie są warunki umowy w zakresie bezpieczeństwa i ciągłości działania, a także jak przebiega zarządzanie ryzykiem w trakcie trwania relacji. Regulacyjne standardy techniczne do DORA precyzują wymagane kolumny rejestru i format raportowania do organu nadzoru. Rejestr umów prowadzony na potrzeby zakupów lub prawne zazwyczaj nie spełnia tych wymagań bez uzupełnienia o dane dotyczące oceny ryzyka i krytyczności usług.

Klasyfikacja dostawców według krytyczności nie powinna wynikać z wartości umowy ani z kategorii zakupowej, powinna wynikać z analizy wpływu biznesowego. Dostawca krytyczny to taki, którego przerwa w dostawie usługi przekłada się na przerwę w procesie krytycznym organizacji lub narusza wymagania interesariuszy (regulatora, klientów, partnerów). W projektach, które realizujemy, regularnie spotykamy organizacje, które traktują jako krytycznych kilku największych dostawców ICT, pomijając podmioty o mniejszej wartości umów, ale wysokim wpływie operacyjnym, np. dostawcę usługi uwierzytelniania, bez której nie działa żaden z systemów produkcyjnych. Właśnie dlatego klasyfikację dostawców w programie VRM zawsze zaczynamy od wyników analizy BIA, a nie od rejestru zakupów.