Za hranice vlastních zdí: Proč už nestačí kontrolovat jen vlastní firmu?

Pro mnoho lidí je TPRM stále poměrně neznámá zkratka. Co si pod řízením rizik třetích stran vlastně představit?

TPRM (Third-Party Risk Management) označuje řízení rizik spojených s externími poskytovateli služeb, dodavateli nebo obchodními partnery. Každá firma dnes spolupracuje s řadou externích subjektů, kterým svěřuje část svých procesů nebo odpovědností. A právě v okamžiku, kdy část činností outsourcujete, vznikají i nová rizika. Jednoduše řečeno, nestačí kontrolovat jen vlastní společnost. Je potřeba věnovat pozornost i tomu, zda problémy nevznikají u vašich dodavatelů.

Co si vlastně představit pod pojmem managed services v oblasti TPRM?

Zjednodušeně řečeno jde o model, kdy organizace nepřenáší odpovědnost za řízení rizik, ale může delegovat část operativních aktivit na specializovaný tým. Deloitte v takovém případě přebírá operativní činnosti v rámci celého životního cyklu dodavatele. V rámci standardní služby pomáháme například s onboardingem dodavatelů, due diligence, průběžným monitoringem rizik nebo offboardingem. Součástí je také podpora při řešení incidentů, koordinace nápravných opatření nebo sledování kvality poskytovaných služeb. Vedle toho si klient může službu rozšířit o volitelné komponenty, například pokročilý screening dodavatelského řetězce, podporu při plnění požadavků DORA, NIS2 nebo ESG, hloubkové audity dodavatelů či smluvní podporu. Klienti si tak mohou zvolit rozsah služby podle svých potřeb a úrovně podpory, kterou chtějí využívat.

Tato problematika tu s námi není krátce. Proč se o ní dnes mluví mnohem více než dříve?

Samotné téma tu s námi je už delší dobu. Důvodů, proč jeho význam v posledních letech roste, je ale několik. Tím hlavním je skutečnost, že firmy stále více outsourcují. Vzniká tak větší závislost na externích dodavatelích a poskytovatelích služeb. Navíc zdaleka už nejde jen o podpůrné činnosti. Společnosti dnes outsourcují i byznysově kritické procesy, na kterých závisí jejich každodenní fungování. Současně přibývá incidentů, které mají původ právě v dodavatelském řetězci a mohou negativně dopadat na klienty, zákazníky i samotný byznys. A do toho vstupuje stále přísnější regulatorní prostředí a vyšší očekávání regulátorů. Objevují se i nová témata, která před několika lety nebyla tak výrazná. Firmy jsou stále více závislé na několika velkých cloudových poskytovatelích a rychle roste využívání AI. Právě kombinace outsourcingu, nových technologií, regulatorních požadavků a rostoucího počtu incidentů dělá z TPRM oblast, kterou si dnes firmy nemohou dovolit podceňovat.

Co přesně může Deloitte společnostem přinést v oblasti TPRM?

Hlavním přínosem managed service a našeho operate modelu je větší transparentnost a odlehčení od každodenní administrativní zátěže. Specializovaný tým Deloitte funguje jako prodloužená ruka klienta. Pomáhá s operativou, koordinací i komunikací s dodavateli. Firma pak získává více prostoru na strategické řízení a informované rozhodování. Současně dochází k optimalizaci procesů, lepšímu přehledu nad riziky a ve finále často i ke snížení nákladů.

Zmínila jsi, že firmy stále více outsourcují. Proč je tento trend tak silný?

Je to úzce spojené s tlakem na efektivitu, optimalizaci nákladů a konkurenceschopnost. Jak se globalizuje trh, řadě firem už ekonomicky nedává smysl budovat některé kapacity interně. Externí partneři dokážou určité služby zajistit efektivněji nebo levněji, a proto firmy stále častěji přistupují k outsourcingu.

Každá mince má ale dvě strany. S výhodami přichází i větší závislost na dodavatelích a s ní spojená rizika. Pokud nejsou tato rizika správně řízena, mohou mít problémy na straně dodavatele velmi citelné dopady i na samotnou organizaci.

Mluvila jsi také o regulatorním prostředí. Jakou roli v celé oblasti hrají DORA a NIS2?

Obě regulace se oblasti třetích stran a souvisejících rizik věnují. DORA se zaměřuje především na finanční sektor a stanovuje konkrétní požadavky na řízení rizik spojených s ICT službami a ICT dodavateli. NIS2 uplatňuje podobný princip, ale její dopad je mnohem širší. Netýká se pouze finančního sektoru, ale zasahuje do celé řady dalších odvětví, například průmyslu nebo automotive. Zatímco finanční instituce bývají na regulatorní požadavky zvyklé a určitou úroveň maturity v této oblasti již mají, mnoho dalších firem se s podobnými požadavky setkává poprvé. Najednou už nejde jen o doporučenou dobrou praxi, ale o standard, který regulace přímo vyžadují.

Stále více se prosazuje průběžný monitoring, práce s daty a schopnost průběžně vyhodnocovat, zda se rizikový profil dodavatele v čase nemění. Společnost musí rozumět tomu, které služby outsourcují, kdo jim je poskytuje a jaké dopady by měl jejich výpadek. Firmy dnes neřeší jen to, zda mají proces formálně nastavený, ale také zda jsou schopny prokázat, že skutečně funguje.

Buďme konkrétní – jaká rizika dnes firmám nejčastěji vznikají prostřednictvím dodavatelů?

Neexistuje jedno konkrétní riziko, které by převládalo nad ostatními. Velmi často se setkáváme například se situací, kdy se firmy příliš spoléhá na jednoho dodavatele nebo na určitou geografickou oblast, tomu se říká riziko koncentrace. Dále jsou zde kybernetická rizika, finanční rizika, rizika podvodů, reputační rizika nebo rizika související s udržitelností. Z mého pohledu ale bývá největším problémem spíše absence uceleného přístupu. Firmy často nemají úplný přehled o svém dodavatelském portfoliu, neumějí správně vyhodnotit jednotlivá rizika nebo pracují s procesy, které jsou velmi administrativně náročné. Výsledkem je, že velká část energie padne na vyplňování formulářů a dotazníků, ale chybí prostor na skutečné zamyšlení nad tím, jaká rizika konkrétní dodavatel představuje.

Další výzvou bývají omezené interní kapacity nebo smluvní nastavení, které organizaci neumožňuje získávat potřebné informace od dodavatele. V praxi také často narážíme na nedostatek kvalitních dat pro průběžný monitoring. Bez dostatečné transparentnosti je pak velmi obtížné dělat informovaná rozhodnutí a včas identifikovat potenciální problémy.

Co vlastně znamená, že je dodavatel rizikový?

Vždy záleží na tom, jakou službu poskytuje a jak důležitá pro organizaci je. Jinou míru rizika bude představovat dodavatel licencí pro jeden interní nástroj a jinou například poskytovatel cloudových služeb nebo strategický logistický partner. Pokud například firma spoléhá z devadesáti procent na jednoho logistického partnera, musí počítat s tím, že jeho výpadek může zásadně narušit její fungování. V takovém případě je potřeba mít připravené krizové scénáře a plány kontinuity. Právě schopnost správně posoudit význam jednotlivých dodavatelů a pochopit potenciální dopady jejich selhání je jedním ze základních pilířů TPRM.

Jak to tak popisuješ, tak si říkám – kdo všechno vlastně může být dodavatel?

Firmy si pod dodavateli často představí IT společnosti, cloudové poskytovatele nebo logistické partnery. Ve skutečnosti ale může být třetí stranou téměř každý externí subjekt, se kterým organizace spolupracuje. Dodavatelem je však i například úklidová firma, marketingová agentura, freelancer, konzultant, nebo influencer. Samozřejmě vždy záleží na tom, jakou službu poskytuje a jaký má přístup k datům, systémům nebo procesům firmy. Důležité je pochopit povahu dané služby a rizika, která s ní souvisejí. Jinou míru rizika představuje externí grafik, jinou vývojář interního softwarového řešení, který pracuje s interními systémy, a jinou poskytovatel cloudových služeb.

Pokud už se incident stane, jak by měla společnost postupovat?

V první řadě je potřeba zvládnout samotný incident a minimalizovat jeho dopady. Je nutné aktivovat krizové scénáře, obnovit kontinuitu provozu a zajistit, aby byly dopady na klienty i interní procesy co nejmenší. Tím ale práce nekončí. Jakmile je situace stabilizovaná, je potřeba provést důkladnou analýzu příčin. Firma by si měla vyhodnotit, kde problém vznikl, zda bylo možné ho odhalit dříve a jaká nápravná opatření je potřeba přijmout, aby se podobná situace neopakovala.

Oslovují vás klienti spíše preventivně, nebo až ve chvíli, kdy už mají problém?

Setkáváme se s oběma variantami. Velmi často bývá impulzem auditní nález, incident nebo jiná konkrétní událost, která firmu upozorní na slabé místo. Současně ale pozorujeme rostoucí počet klientů, kteří přicházejí proaktivně. Impulzem může být nová regulace, rostoucí množství incidentů na trhu nebo snaha lépe porozumět vlastnímu dodavatelskému ekosystému.

Kdy začíná firmám dávat smysl TPRM řešit systematicky?

Nejde ani tak o velikost firmy jako o velikost a komplexitu dodavatelského portfolia. Pokud firmy spravuje velké množství dodavatelů a procesy jsou převážně manuální, administrativní náročnost velmi rychle roste. Zaměstnanci pak tráví většinu času rutinními úkoly místo toho, aby se věnovali skutečnému vyhodnocování rizik a rozhodování. Typicky ale ta potřeba nastává ve chvíli, kdy firma naráží na limity interních kapacit. Dalším impulsem bývá nová regulace nebo auditní nález. Organizace najednou zjistí, že potřebuje řídit třetí strany mnohem systematičtěji než doposud a že stávající procesy už jednoduše nestačí. Často vidíme, že informace o dodavatelích jsou rozptýlené napříč různými odděleními, každý pracuje s trochu jiným pohledem na rizika a chybí jednotný přístup.

Jak rozsáhlá dodavatelská portfolia dnes firmy běžně spravují?

V rámci našich služeb se setkáváme nejen se stovkami, ale i s tisíci dodavatelů.

Na trhu existuje řada poradenských a technologických řešení. V čem je přístup Deloitte odlišný?

Myslím si, že především v komplexnosti. Klient od nás nezískává pouze poradenskou službu ani jen technologickou platformu. Získává partnera, který pomůže celý model navrhnout, implementovat, nastavit a následně dlouhodobě rozvíjet. Neřešíme pouze procesy, metodiku nebo technologii samostatně, ale díváme se na řízení rizik třetích stran jako na celek. Díky kombinaci regulatorních, technologických a provozních zkušeností dokážeme klientovi pomoci nejen s návrhem řešení, ale i s jeho každodenním fungováním.  Jde o dlouhodobou spolupráci, která klientovi pomáhá řídit rizika třetích stran způsobem odpovídajícím jeho konkrétním potřebám a prostředí.

Chcete se dozvědět víc? Pročtěte si webovou stránku!