15 KPI'er og målinger til at måle succesen af dit TPRM-program

Sporing af KPI'er (Key Performance Indicators) giver din organisation mulighed for at vurdere og løfte sit TPRM-program (Third Party Risk Management). Ved at overvåge specifikke målinger over tid vil dit risikostyringsteam være i stand til at afsløre dit TPRM-programs generelle sundhed og særlige områder, hvor personalet kan implementere ændringer for at forbedre den lokaliserede ydeevne.

Ifølge en undersøgelse fra 2023 er omkring 98 % af organisationer verden over forbundet med mindst én tredjepartsleverandør, der er blevet brudt. Derfor er TPRM en kritisk nødvendighed for alle undtagen 2 % af organisationerne, da mange organisationer vil få succes og fejle baseret på resultaterne af deres leverandørrisikostyringsprogram.

Fortsæt med at læse for at opdage 15 KPI'er, som din organisation bør begynde at spore i løbet af 2024, de styrker og svagheder, som disse risikostyringsmålinger afslører, og vigtige TPRM-strategier til at beskytte dit team mod cybersikkerhedsrisiciene i din forsyningskæde.

Få mere at vide om #1 TPRM- og VRM-løsningen i verden: UpGuard Vendor Risk>

Søjlerne i tredjeparts risikostyring

Din organisations KPI'er bør henvise til alle søjler i tredjeparts risikostyring, herunder leverandørudvælgelse, due diligence og onboarding af leverandører, løbende risikovurdering af leverandører og styring af leverandørrelationer.

Før vi introducerer specifikke KPI'er, som din organisation bør spore, er her en hurtig genopfriskning af hovedsøjlerne i TPRM:

• Leverandørudvælgelse: Vellykkede TPRM-programmer starter med en effektiv leverandørindkøbsproces. Organisationer med en effektiv leverandørudvælgelsesproces anvender specifikke udvælgelseskriterier til at vurdere forskelle mellem leverandører, en leverandørs professionalisme, potentielle omdømmerisici og den samlede indvirkning, en leverandør kan have på organisationen.
• Vendor Due Diligence: Den næste fase af tredjeparts risikostyringsprocessen er due diligence for leverandører, som giver organisationer mulighed for at undersøge de operationelle risici, som specifikke leverandører udgør grundigt. Risikopersonale på professionelt niveau bruger spørgeskemaer, sikkerhedsvurderinger og andre værktøjer til at vurdere en leverandørs overholdelse af kritiske lovgivningsmæssige rammer og overordnet sikkerhedsstilling.
• Onboarding af leverandører: Under onboarding af leverandører er udbydere niveauinddelt baseret på risikokritikalitet, organisationen sætter forventninger, personalet etablerer kommunikationskanaler, og interessenter opretter serviceaftaler (SLA'er), når det er nødvendigt.
• Overvågning af leverandørrisiko: Mens organisationer foretager risikovurderinger af leverandører før onboarding, implementerer vellykkede TPRM-programmer strategier for løbende risikoovervågning gennem hele leverandørens livscyklus. Denne søjle omfatter også arbejdsgange til risikoreduktion og afhjælpning.
• Styring af leverandørrelationer: Tredjepartsrelationer kræver løbende arbejde og opmærksomhed. Effektiv styring af leverandørrelationer opretholder kommunikation, forventninger og ydeevne gennem hele leverandørens livscyklus.

Din organisation kan udvikle et disciplineret TPRM-program på egen hånd. Men at bruge en løsning til styring af leverandørrisiko, som UpGuard Vendor Risk, er den bedste måde at forbedre dit program holistisk på.

UpGuard Vendor Risk kan hjælpe din organisation med alle søjler i tredjeparts risikostyring, herunder identifikation af nye leverandørrisici, udvikling af realtidsløsninger til forbedret forretningskontinuitet og hændelsesrespons og visualisering af din tredjepartsrisikoeksponering.

KPI'er vs. KRI'er

Mens risikoprofessionelle ofte kaster rundt med "KPI'er" og "nøglerisikoindikatorer" (KRI'er) i de samme samtaler, refererer udtrykkene til to forskellige risikostyringsmålinger.

• KRI'er: En KRI er en metrik, som organisationer bruger til at overvåge og vurdere potentielle risici. Disse målinger er tidlige advarselstegn på specifikke risici og giver organisationer mulighed for at strømline afbødningsarbejdsgange og -løsninger.
• KPI'er: En KPI er en metrik, som organisationer bruger til at overvåge og vurdere præstationerne for teams, programmer og individuelt personale. I TPRM bruger personalet KPI'er til at spore effektiviteten af en organisations risikostyringsramme og fremhæve styrker og svagheder ved dens VRM-strategier.

15 KPI'er, der skal spores til dit tredjeparts risikostyringsprogram

De KPI'er, som din organisation vælger at spore, bør afsløre tilstanden af alle TPRM-faser. Alle TPRM-faser kan studeres ved at kalibrere dit TPRM-program med KPI'er for at måle fire specifikke områder: tredjepartsrisiko, trusselsefterretninger, overholdelsesstyring og overordnet TPRM-dækning.

• Tredjepartsrisiko: Hvilket risikoniveau udgør din forsyningskæde? Er denne risiko afbalanceret på tværs af risikoniveauer?
• Threat Intelligence: Hvor opmærksom er din organisation på de tredjepartstrusler, den står over for? Hvor stor en procentdel af truslerne har din organisation identificeret?
• Overholdelsesstyring: Opfylder din organisation overholdelseskrav på tværs af sin tredjepartsforsyningskæde? Er udestående compliance-kontroller til stede på tværs af organisationens tredjepartskanaler?
• TPRM-dækning: Har din organisation identificeret alle tredjepartsleverandører? Dækker dit TPRM-program tredjepartsrisici?

KPI'er til måling af tredjepartsrisiko

Hvis du vælger de rigtige målinger til at måle tredjepartsrisiko, kan din organisation opfatte sit overordnede risikoniveau. Her er de vigtigste målinger til måling af tredjepartsrisiko:

1. Gennemsnitlig leverandørsikkerhedsvurdering: Denne måling afslører, hvor risikabelt dit tredjepartsøkosystem er, og det risikoniveau, som den gennemsnitlige leverandør udgør for din organisation. Hvis din organisations gennemsnitlige leverandørsikkerhedsvurdering er høj, handler du med mange højrisikoleverandører og bør implementere strategier for at planlægge i overensstemmelse hermed.
2. % af leverandører efter risikoniveau: En anden vigtig måling til at afsløre din organisations samlede risikoniveau, % af leverandører efter risikoniveau, giver din organisation mulighed for at vide, hvilke risikoniveauer den skal prioritere. Hvis alle dine leverandører er grupperet i et eller to risikoniveauer, skal du kalibrere dine risikoniveauer igen for at give mere detaljerede forskelle mellem leverandører.
3. % af udbydere, der ikke består indledende risikovurdering: Hvor mange tredjepartsudbydere dumper din organisations risikovurdering? En høj procentdel kan indikere, at din risikovurdering er for kritisk, mens en lav procentdel kan afsløre, at dit teams indledende vurdering er for mild.
4. Gennemsnitlig tid til at gennemføre indledende risikovurdering: Hvor lang tid tager tredjepartsleverandører at gennemføre din indledende risikovurdering? Hvis den gennemsnitlige tid til at udfylde er høj, kan leverandørerne være mindre motiverede til at udfylde risikovurderingen, eller spørgeskemaet skal muligvis forenkles. Du kan også måle denne KPI på forskellige leverandørniveauer for at visualisere, hvordan leverandører reagerer på evalueringen.

KPI'er til måling af trusselsefterretninger

Ved at spore KPI'er for at måle trusselsintelligens kan din organisation vurdere sin evne til at identificere, afbøde og afhjælpe risici effektivt. Her er de vigtigste målepunkter til måling af trusselsintelligens:

5. % af tredjeparter overvåget med Threat Intelligence: Hvor stor en procentdel af tredjepartsleverandører overvåger din organisation med en leverandørrisikostyringsløsning? Hvor mange leverandører er der på dit TPRM-dashboard, og hvilket risikoniveau tilhører disse leverandører?
6. Gennemsnitlig tid til handling (MTTA) efter risikoudløser: En høj MTTA kan afsløre, at risikopersonale er overvældet eller ikke besidder træningen eller ressourcerne til at håndtere en bestemt type trussel.
7. # af rapporterede hændelser: Denne måling kan spores over forskellige perioder for at afsløre effektiviteten af din organisations trusselsefterretningsteam. Hvis # af hændelser (databrud, informationssikkerhedstrusler osv.) fortsat er højt, skal du muligvis investere i flere ressourcer eller ansætte yderligere risikopersonale for at afbøde forstyrrelser.
8. # af falske positiver rapporteret: Er din trusselsovervågningsproces indstillet effektivt? Hvis din organisation modtager overvældende falske positiver, bør du undersøge din trusselsidentifikations- og overvågningsproces grundigt.

KPI'er til måling af overholdelse

Det kan være en udfordring at måle overholdelse på tværs af en tredjeparts forsyningskæde. Men ved at spore flere KPI'er kan din organisation bedre forstå de risici for overholdelse af angivne standarder og beskyttelse af personlige oplysninger, som tredjepartsrelationer udgør. Her er de vigtigste målinger til at måle overholdelse:

9. # af tredjeparter i lovgivningsmæssigt omfang: Hvor mange tredjeparter er inden for rammerne af en specifik lovgivningsmæssig ramme? Hvis mange leverandører skal overholde en bestemt ramme, bør din organisation bruge flere ressourcer på at fokusere på denne ramme.
10. # af udestående overholdelseskrav: Hvor mange udestående overholdelseskrav findes der på tværs af tredjepartsforsyningskæden? Hvis en type krav konsekvent ikke fuldføres til tiden, kan dette krav være for udfordrende eller skal forbedres for at hjælpe leverandører og personale.
11. Gennemførelsesrate for due diligence for leverandører: Hvis procentdelen af leverandører, der ikke har gennemført due diligence, er høj, kan din organisation udsætte sig selv for yderligere overholdelsesrisici.
12. Gennemsnitlig tid mellem risikovurdering: Din organisation bør finde en balance med sin revisionskadence. Du ønsker ikke at overvælde leverandører med risikovurderinger, men du ønsker heller ikke at lade risici falde mellem sprækkerne ved ikke at sende opfølgende vurderinger hurtigt nok.

KPI'er til måling af TPRM-dækning

Sporing af KPI'er for at måle TPRM-dækning er en af de eneste måder at visualisere, hvor stor en procentdel af din tredjepartsforsyningskæde den overvåger. Her er de vigtigste målinger til at måle TPRM-dækning:

13. Mean Time to Onboard (MTTO): En kort gennemsnitlig onboarding-tid kan afsløre, at din organisations proces ikke er omfattende nok til at dække alle risici fuldt ud. I modsætning hertil kan en lang gennemsnitlig onboarding-tid vise, at din proces er for kompliceret.
14. % af tredjeparter overvåges ikke: Hvor stor en procentdel af din forsyningskæde overvåger du ikke ved hjælp af en VRM-løsning? Overholdes alle leverandører på højt niveau?
15. # af uboardede leverandører på lønningslisten: Hvor mange leverandører på din organisations lønningsliste er unboarded? Din organisation kan udsætte sig selv for yderligere risici og trusler, hvis leverandører bliver taget af bordet.

UpGuard giver organisationer værktøjerne til at strømline deres TPRM-programmer og administrere leverandørens livscyklus med automatiserede arbejdsgange og intuitive leverandørdashboards.

UpGuard Vendor Risk indeholder et komplet værktøjssæt med kraftfulde funktioner:

• Risikovurderinger af leverandører: Hurtige, præcise og giver et omfattende overblik over dine leverandørers sikkerhedsstilling
• Tredjeparts sikkerhedsvurderinger: En objektiv, datadrevet og dynamisk måling af en organisations cyberhygiejne
• Spørgeskemaer om leverandørsikkerhed: Fleksible spørgeskemaer, der fremskynder vurderingsprocessen og giver dyb indsigt i en leverandørs sikkerhed
• Bibliotek med interessentrapporter: Skræddersyede skabeloner giver personalet mulighed for nemt at kommunikere sikkerhedspræstationer til interessenter på ledelsesniveau
• Arbejdsgange for afhjælpning og afhjælpning: Omfattende arbejdsgange til at strømline risikostyringsprocesser og forbedre sikkerhedsniveauet
• Integrationer: Integrer nemt UpGuard med over 4.000 apps ved hjælp af Zapier
• 24/7 kontinuerlig overvågning: Meddelelser i realtid og risikoopdateringer døgnet rundt ved hjælp af nøjagtige leverandørdata
• Intuitivt design: Brugervenlige leverandørportaler og førstepartsdashboards
• Kundeservice i verdensklasse: Professionelt cybersikkerhedspersonale står klar til at hjælpe dig med at få mest muligt ud af UpGuard og forbedre din sikkerhedsstilling