Was ist ein Vendor-Risk-Assessment?
Ein Vendor-Risk-Assessment bewertet, welche Risiken aus der Zusammenarbeit mit einem Dienstleister entstehen. Es beantwortet drei Fragen: Was sagt der Dienstleister über sich zu, welche Belege gibt es dafür und welche Punkte bleiben offen.
Die drei Fragen
Die erste Frage stellt der Dienstleister selbst. In Fragebögen, Zertifikaten und Verträgen beschreibt er, wie er arbeitet: welche Massnahmen bestehen, wer zugreifen darf, welche Unterauftragnehmer im Spiel sind und wie gelöscht wird.
Die zweite Frage ist die nach den Belegen. Eine Aussage ohne Fundstelle ist ein Satz, keine Grundlage. Deshalb gehört zu jedem Befund die Stelle im Dokument, aus der er stammt, mit Abschnitt und Seite.
Die dritte Frage ist die unbequeme: Was ist nicht belegt? Eine fehlende Angabe ist kein Urteil, aber ein offener Punkt, der eine Entscheidung braucht: nachfordern, akzeptieren oder die Zusammenarbeit nicht fortsetzen.
Was ein Assessment von einem Fragebogen unterscheidet
Ein Fragebogen sammelt Antworten. Ein Assessment verknüpft jede Antwort mit ihrer Fundstelle, damit sie später überprüfbar bleibt.
- Ein Fragebogen endet, wenn er ausgefüllt ist. Ein Assessment endet mit einer Freigabe.
- Ein Fragebogen hängt an einer Person. Ein Assessment bleibt im Portfolio abrufbar, auch wenn die Person wechselt.
- Ein Fragebogen beantwortet, was gefragt wurde. Ein Assessment zeigt auch, was fehlt.
Was hineingehört
- Ein Prüfbestand: welche Dienstleister regelmässig angesehen werden.
- Unterlagen je Dienstleister: Fragebogen, Nachweise, Vertrag, Richtlinien.
- Ein Massstab: wonach die Bewertung abgestuft wird.
- Eine Fundstelle je Befund: Dokument, Abschnitt, Seite.
- Eine Freigabe und ein Protokoll: wer wann was entschieden hat.
Was ein Assessment nicht ersetzt
- Kein Vendor-Management-System: Stammdaten, Vertragsverwaltung und Einkauf bleiben, wo sie sind.
- Keine Rechtsberatung: regulatorische Pflichten und ihre Auslegung klärt Ihre Compliance-Funktion.
- Keine Zertifizierung des Dienstleisters: ein Assessment liest Nachweise, es erteilt sie nicht.
- Keine automatische Entscheidung: Bewertungen werden vorgelegt, nicht verhängt.
Hinweis
Dieser Beitrag erklaert, wie wir arbeiten. Regulatorische Pflichten und ihre Auslegung klaert Ihre Compliance-Funktion.