Dienstleisterüberwachung
Transparenz über kritische Dienstleister schaffen und Risiken fundiert bewerten
Dienstleisterbeziehungen verändern sich im Laufe der Zeit. Neue Risiken entstehen, Nachweise verlieren ihre Aktualität und regulatorische Anforderungen entwickeln sich weiter. Umso wichtiger ist es, kritische Dienstleister regelmäßig zu bewerten und gegenüber internen sowie externen Anforderungen zu belegen, dass vereinbarte Sicherheits- und Compliance-Anforderungen weiterhin erfüllt werden.
Die kontinuierliche Dienstleisterüberwachung schafft dafür die notwendige Grundlage. Sie ist ein zentraler Bestandteil eines wirksamen Third-Party Risk Managements (TPRM) und unterstützt Unternehmen dabei, Risiken in Dienstleisterbeziehungen kontinuierlich zu bewerten und angemessen zu steuern.
Gleichzeitig erfüllen Sie Anforderungen aus Gesetzen, regulatorischen Vorgaben, Normen und Branchenstandards, wie beispielsweise:
Jan Kemper, Principal usd Security Audits
Warum Dienstleisterüberwachung mit der usd AG?
Unabhängig davon, ob Sie eine einzelne Dienstleisterprüfung durchführen oder über das Jahr hinweg eine Vielzahl von diversen Lieferanten und Dienstleistern überwachen müssen: Unsere Auditor*innen unterstützen Sie bei der Planung, Durchführung und Nachverfolgung Ihrer Dienstleisterprüfungen. Dabei profitieren Sie von praktischer Erfahrung aus unterschiedlichsten Branchen und Prüfungsumfeldern.
Was erwartet Sie bei der Dienstleisterüberwachung der usd AG?
Gemeinsam mit Ihnen legen wir fest, welche Dienstleister in die Überwachung einbezogen werden und welche Schwerpunkte dabei sinnvoll sind. Je nach Risikolage und Zielsetzung kommen unterschiedliche Maßnahmen zum Einsatz. Bei erhöhtem Risiko oder weitergehendem Informationsbedarf können ergänzende Dienstleisteraudits sinnvoll sein. So erhalten Sie belastbare Ergebnisse als Grundlage für fundierte Entscheidungen und nachvollziehbare Bewertungen Ihrer Dienstleister.
Die Dienstleisterüberwachung richtet sich in Umfang und Tiefe nach Kritikalität, Risikolage und regulatorischen Anforderungen. Dabei gilt es zu entscheiden, welche Nachweise ausreichend sind und in welchen Fällen zusätzliche Prüfmaßnahmen erforderlich werden. Nicht jeder Dienstleister muss mit derselben Intensität überwacht werden. Entscheidend sind die mit der Dienstleistung verbundenen Risiken sowie die Bedeutung des Dienstleisters für Geschäftsprozesse, Systeme oder Informationen.
Typische Maßnahmen der Dienstleisterüberwachung:
- Prüfung von Selbstauskünften und Fragebögen
- Bewertung von externen Zertifikaten und Attestierungen, wie ISO 27001 Zertifikate,SOC 2 / ISAE 3402, BSI C5
- Analyse von bereitgestellten Unterlagen und Dokumenten
- Dienstleisteraudits bei erhöhtem Risiko
Für ausgewählte Dienstleister kann eine weitergehende Prüfung erforderlich sein. Dabei richten sich Umfang, Prüfschwerpunkte und Vorgehensweise eines Dienstleisteraudits nach der jeweiligen Dienstleistung, den bestehenden Risiken und den Prüfungszielen. In der Praxis hat sich dabei ein strukturiertes Vorgehen bewährt, das aus Vorbereitung, Durchführung und Nachbereitung besteht:
Ihr Titel
Your content goes here. Edit or remove this text inline or in the module Content settings. You can also style every aspect of this content in the module Design settings and even apply custom CSS to this text in the module Advanced settings.
Vorbereitung
- Abstimmung von Umfang und Vorgehen
- Auswahl der zu prüfenden Themen und Nachweise
- Prüfungsankündigung und Koordination mit den internen Stakeholdern und (im Anschluss) mit dem Dienstleister
Durchführung
- Dokumenten- und Nachweisprüfung
- Interviews mit relevanten Ansprechpartnern
- Vor-Ort- oder Remote-Audit
- Bewertung von Sicherheitsanforderungen und Kontrollen
Nachbereitung
- Bewertung der Ergebnisse
- Dokumentation der Feststellungen
- Präsentation der Ergebnisse
- Ableitung und Nachverfolgung von Maßnahmen
Damit Risiken nicht unentdeckt bleiben, sollte die Dienstleisterüberwachung regelmäßig überprüft und an veränderte Rahmenbedingungen angepasst werden. Welche Maßnahmen sinnvoll sind und in welcher Frequenz sie eingesetzt werden, hängt insbesondere von der Kritikalität des Dienstleisters, der ausgelagerten Leistung und der jeweiligen Risikolage ab.
Durchführung von Pooled Audits, z.B. gemäß DORA
Im Rahmen unserer Dienstleisteraudits bieten wir auch die Durchführung sogenannter Pooled Audits an. Dabei erfolgt die Prüfung eines Dienstleisters im Interesse mehrerer Unternehmen. Diese Vorgehensweise kann eine effiziente und ressourcenschonende Alternative zu Einzelprüfungen darstellen. Auch regulatorische Anforderungen, wie DORA, sehen Pooled Audits in bestimmten Kontexten als mögliche Prüfungsform vor.
Mehr Informationen zu Third-Party Risk Management (TPRM)
Third-Party Risk Management: Grundlagen
Third-Party Risk Management: So bauen Sie ein TPRM-Programm auf
Informationssicherheit im Third-Party Risk Management:So überwachen Sie Ihr TPRM-Programm
TPRM: EBA veröffentlicht Guidelines zum Management von Drittparteirisiken von Non-IKT-Dienstleistungen
