Het belang van risicobeheer bij derden - sessie 1

6. Onbehandeld risico kan onvoorspelbaar zijn

Als een derde partij geen passend toezicht kan bieden op hun juiste waarborgen en controles, kan de Organisatie worden blootgesteld aan een hoger financieel, operationeel & contractueel, regelgevings- of reputatierisico.

Het meest recente en bekende voorbeeld was het COVID-19-vaccincontract dat de EU onderhandelde met een van de vaccinproducenten. De clausule 'ten beste inspanning' creëerde een hoger risico voor de EU om hun contractuele doel te bereiken, namelijk het vaccineren van de EU-bevolking in de kortst mogelijke tijd. Gebroken processen, het niet effectief handelen bij het ontstaan van problemen, en het niet monitoren van herstelactiviteiten kan kostbaarder zijn dan het risico van tevoren aan te pakken.

7. Wat zet uw organisatie op het spel?

De volgende risicofactoren kunnen een belangrijke invloed hebben op het succes van uw project of organisatie:

• Strategisch risico: Risico van ongeschikte inkoopbeslissingen door de organisatie als gevolg van een gebrek aan afstemming van derden met de bedrijfsstrategie en doelstellingen van het bedrijf.
• Contractueel risico: Het risico dat de organisatie producten en/of diensten niet ontvangt in overeenstemming met haar verwachtingen, vanwege onvolledige of onvoldoende contractuele bepalingen van derden, of door het onvermogen van een derde om aan de contractvoorwaarden te voldoen.
• Risico van onderbreking van diensten/producten: Risico dat de activiteiten van de organisatie worden verstoord door de ineffectiviteit van het continuïteitsprogramma van een derde partij, of door het onvermogen van de derde partij om gedurende een langere periode diensten aan de organisatie te leveren. Risico wanneer een derde partij besluit te stoppen met de productie van een bepaald product of de levering van een bepaalde dienst.
• Risico op reputatieschade: Risico op schade aan het merk van de organisatie als gevolg van het onvermogen van een derde partij om aan de verwachtingen en/of naleving van de organisatie te voldoen. Bijvoorbeeld, terwijl een bedrijf sterk kan inzetten op zijn duurzaamheidsreputatie, kan een groot incident van vervuiling door hun derde partij de publieke opinie over het merk van de organisatie schaden.
• Financiële levensvatbaarheidsrisico: Risico op verstoring van de activiteiten van de organisatie doordat een derde partij niet langer in staat is producten/diensten te leveren omdat het geen winst kan genereren of het benodigde kapitaal niet kan behouden om haar lopende activiteiten te ondersteunen. Risicofactoren zoals de omvang van het derde partijbedrijf, groeipercentages, winstgevendheid, liquiditeit, kapitaalstructuur, toegang tot kapitaal, marktpositie, geografisch gebied en de kwaliteit van het management moeten in overweging worden genomen.
• Kredietrisico: Het risico op financieel verlies voor de organisatie dat ontstaat wanneer kredietblootstelling wordt veroorzaakt door een derde partij die een garantie aan de onderneming houdt, regelt of uitgeeft; of het creëren van een verplichting voor de organisatie wanneer de derde partij niet adequaat wordt beheerd.
• Compliance/juridisch risico: Het risico dat de organisatie niet voldoet aan wetten, ethische normen of haar eigen beleid/standaarden/procedures omdat een derde partij niet over adequate compliance-beheersmaatregelen beschikt voor zijn producten/diensten/middelen.
• Informatiebeveiligingsrisico: Risico op ongepaste openbaarmaking, corruptie of vernietiging van de vertrouwelijke informatie van de organisatie als gevolg van het falen van een derde partij om passende beveiligings- en privacycontroles over de informatie van de instelling toe te passen.
• Transactief/Operationeel Risico: Risico op een financieel verlies voor de organisatie en/of een negatieve impact op de levering van producten/diensten van de organisatie als gevolg van tekortkomingen in de interne processen/mensen/middelen van een derde partij en/of andere problemen met derden, bijvoorbeeld het ontbreken van gelijke voorwaarden en condities met de onderaannemer van de derde partij.

• Geopolitiek risico: Risico op verstoring van de activiteiten van de organisatie als gevolg van economische, sociale en politieke omstandigheden en gebeurtenissen in een land die de activiteiten of levensvatbaarheid van een derde partij nadelig kunnen beïnvloeden.

   

Voorbeelden van regelgevende wetten:

• Verenigd Koninkrijk Wet bescherming persoonsgegevens
• EU Algemene verordening gegevensbescherming (AVG)
• VS Internationale Safe Harbor Privacy-principes
• Consumentenbeschermingsinstanties — digitale rechten
• Gidsen: Europese Unie Agentschap voor Netwerk- en Informatieveiligheid (ENISA)
• Industrie: Payment Card Industry (PCI) Security Standards Council richtlijnen

8. Risicobeperkingsplan

Hoewel risicofuncties potentiële risicocategorieën identificeren en prioriteren, hebben ze geen invloed op het daadwerkelijk optreden van het risico.

Dus je kunt jezelf afvragen: “Wat te doen als je leverancier failliet gaat? Welke acties moeten worden ondernomen wanneer het geïdentificeerde risico zich voordoet?”

Risicobeheersingsmaatregelen zijn verdeeld in twee groepen: preventieve en repressieve maatregelen. Binnen de preventieve maatregelen zijn er opnieuw twee mogelijkheden. De risicoleider kan manieren vinden om het risico te verminderen of zelfs te elimineren. Ten tweede kan de risicofunctie proberen de impact op de contractuele doelstellingen te beperken.

Repressieve risicobeheersmaatregelen worden uitgevoerd nadat het risico zich heeft voorgedaan en dan zijn alleen maatregelen mogelijk om de omvang van de impact te verminderen of de oorspronkelijke situatie volledig te herstellen. De wederopbouw van een afgebrand gebouw met behulp van de middelen van de verzekeringsmaatschappij is in feite een repressieve risicobeheersmaatregel.

De risicofunctie overlegt met de contracteigenaar over de risico's die de risicoleider heeft geïdentificeerd en de passende maatregelen die hij/zij zal implementeren, en hoe de communicatie met de derde partij over de risico's en de maatregelen zal plaatsvinden. Het besluit om een maatregel niet door te voeren is ook een optie. Dit hangt af van de risicobereidheid van de organisatie in het algemeen en de kosten-batenafweging. De contracteigenaar accepteert vervolgens het risico. Alle beslissingen worden vastgelegd ter goedkeuring. De contracteigenaar zal in goede samenwerking de risicofunctie ondersteunen bij de definitieve beslissing over de te nemen actie.

9. Wie vervult de rol van functie voor het beheer van risico's bij derden in uw organisatie?

Risicobeheer wordt vaak alleen gezien als de taak van auditors en juristen. Echter, tijdens vroege precontractuele besprekingen worden deze functies zelden uitgenodigd aan tafel met de derde partij. Daarom beperken we in dit rapport de rol van de risicofunctie niet alleen tot de compliance officers van uw organisatie. Wij vinden dat elke vertegenwoordiger van uw organisatie die aan tafel zit met een derde partij, vanaf het begin op de hoogte moet zijn van de potentiële risico’s van die derde partij.

De volgende rollen nemen vaak de taken van de risicofunctie op zich in een discussie met een derde partij:

• Inkoop- & Leveranciersmanager (SVM)
• Contractmanager
• Juridisch Adviseur & Accountants
• Servicemanager
• IT-Architect
• IT Business Partners
• Business Managers
• Externe Accountants

Nu je weet welke soorten onvoorziene omstandigheden je succes kunnen bedreigen en wie er risico-bewustzijn moet creëren, lees je verder in de volgende blogpost en ontdek je hoe je de TPRM-capaciteiten van je organisatie kunt verbeteren.