Derde-partijrisico onder DORA en NIS2, aantoonbaar vastgelegd.
Een leveranciersregister met tier-indeling, een afhankelijkheidsgraaf tot en met subcontractors en een export van het informatieregister (Register of Information) die een half leeg dossier weigert. Gebouwd en gehost in de EU.
Van nu naar straks
Van leverancierslijst naar aantoonbaar ketenbeeld
Een lijst met leveranciers heeft elke organisatie. Laten zien hoe diep die leveranciers in de eigen processen zitten, en dat onderbouwen richting de toezichthouder, is iets anders.
Niemand overziet de keten
Valt een leverancier uit, dan blijkt pas welke bedrijfsfuncties en subcontractors eraan hangen.
Afhankelijkheidsgraaf
Bedrijfsfuncties, leveranciers en hun onderaannemers staan in één graaf, met concentratierisico aan de knoop zelf. In de uitvaltest kiest u een partij, een soort dienst of een land en ziet u wat er stilvalt.
Het register is nooit af
Het informatieregister (Register of Information) wordt op het laatste moment in een spreadsheet samengesteld, met gaten die niemand opvallen.
Export met een controle vooraf
De export (DORA art. 28 lid 3) weigert een register waarin verplichte velden ontbreken, zegt welke, en brengt u met één knop naar de plek waar u ze invult.
Assurance ligt in een map
ISAE- en SOC-rapporten van leveranciers worden opgevraagd, maar niet gestructureerd beoordeeld, en de leverancier levert ze aan per mail.
Assurance in dezelfde omgeving
De leverancier levert zijn rapport aan via een persoonlijke link, zonder account. U beoordeelt type, periode, oordeel, CUEC's en subserviceorganisaties, en een rapport dat niet meer dekt valt op in de cockpit.
Het contract loopt stilzwijgend door
De opzegtermijn staat in een PDF die niemand opent, en het contract verlengt zichzelf voordat iemand de leverancier heeft herbeoordeeld.
Opzegsignalering per contract
Elk contract is een eigen object met looptijd en opzegtermijn. Dertig dagen voor het opzegmoment krijgt de contracteigenaar een melding. Is er veertien dagen na het opzegmoment nog niet gereageerd, dan gaat de melding naar de beheerders van uw organisatie.
Zo ziet het eruit
Een greep uit TPRM
Klik op een miniatuur voor dat scherm, of op het beeld voor de volledige weergave.
Veelgestelde vragen
Wat u vooraf wilt weten over TPRM
Wat is TPRM?
TPRM (third-party risk management) is het leveranciersregister van Audirium voor derde-partijrisico onder DORA en de ketenzorgplicht van NIS2. Het combineert een register met tier-indeling, een afhankelijkheidsgraaf tot en met subcontractors, contracten met eisenlijsten, de beoordeling van assurancerapporten, een meldplicht-simulator en de Register of Information-export in één omgeving.
Voor wie is TPRM bedoeld?
Voor risk officers, compliance- en auditfuncties en inkoop bij financiële instellingen onder DORA en bij organisaties met een ketenzorgplicht onder NIS2. De app is gemaakt voor wie aan de toezichthouder moet kunnen laten zien van welke leveranciers de organisatie afhankelijk is en hoe die beheerst worden.
Wat doet TPRM concreet?
TPRM legt leveranciers vast met een onderbouwde tier, tekent de keten van bedrijfsfunctie tot subcontractor, houdt per contract de looptijd, opzegtermijn en eisen van DORA, NIS2, CRA en ISO 27001 bij, laat leveranciers hun assurancerapport via een link aanleveren, rekent meldtermijnen door bij een incident en exporteert het informatieregister met een controle vooraf.
Waarin verschilt TPRM van een spreadsheet of een leverancierslijst in een inkoopsysteem?
Een spreadsheet weet niet welke bedrijfsfuncties aan een leverancier hangen of welke subcontractor drie leveranciers deelt; de graaf laat dat zien. De Register of Information-export weigert een onvolledig register en zegt welke velden ontbreken. Een CUEC uit een assurancerapport kunt u koppelen aan de contracteis die erop leunt.
Hoe gebruikt TPRM AI, en wie beslist?
De AI leest een assurancerapport in gerichte secties uit en markeert per contracteis of die in het contract staat, telkens met citaat en paginaverwijzing en met een melding welke secties niet gevonden zijn. Elk veld is een voorstel dat u controleert voordat het wordt opgeslagen. Of de scope passend is, de periode aansluit en welk restrisico u accepteert, vult de AI nooit in.
Hoe zit het met data en hosting bij TPRM?
De gegevens staan per organisatie gescheiden op servers van Hetzner in de Europese Unie. Rapporten en contracten die u uploadt staan naast de database van uw eigen organisatie. Een leverancier die via de persoonlijke link aanlevert ziet alleen het ene verzoek waar die link bij hoort.
Wat TPRM biedt
Eén omgeving voor de hele keten
TPRM brengt register, graaf, contracten, assurance en meldplicht samen, zodat u de vraag van de toezichthouder vanuit één plek beantwoordt.
AI leest voor, u concludeert
De AI leest een assurancerapport van honderd pagina's in gerichte secties uit en markeert per contracteis of die in het contract staat, met een letterlijk citaat en paginaverwijzing. Alleen die secties gaan naar het AI-model dat uw organisatie heeft ingesteld; uw beheerder kiest de route, waaronder verwerking binnen de EU, of zet AI uit. Elk veld is een voorstel dat u controleert; de conclusie over scope, periode en restrisico vult de AI nooit in.
Tier-indeling met onderbouwing
Elke leverancier krijgt een tier van 1 (kritiek) tot en met 4 (laag). Per leverancier kiest u het kader: DORA, NIS2 of beide; tier 1 heet daarbij kritiek of essentieel. De risico-triage legt de factoren vast (kritieke functie, datatoegang, vervangbaarheid) en rekent daaruit een tier-voorstel; u mag afwijken.
Afhankelijkheidsgraaf en kaart
Van bedrijfsfunctie via leverancier naar subcontractor, zodat concentratierisico zichtbaar wordt. Een wereldbol toont per land hoeveel leveranciers er zitten en waar de concentratie ligt.
Register of Information
Export conform DORA art. 28 lid 3, met een gate die een onvolledig register tegenhoudt en per ontbrekend veld een knop naar de plek waar u het invult. De LEI-code wordt op de controlecijfers getoetst.
Contracten en eisen per raamwerk
Een leverancier kan meer contracten hebben, elk met looptijd, opzegtermijn, documentversies en een clausuletoets. Eisenlijsten voor DORA (15 bepalingen), NIS2, CRA en ISO 27001, per contract af te vinken met citaat als bewijs.
Leverancierslink zonder account
Bij het opvragen van een rapport maakt u een persoonlijke link die u zelf verstuurt. De leverancier uploadt het rapport en beantwoordt vijf vragen; het antwoord staat als concept bij uw verzoek tot u het overneemt of afwijst.
CUEC's gekoppeld aan uw eigen eisen
De maatregelen die u zelf moet treffen om het oordeel van de serviceauditor te laten gelden, houdt u bij met eigenaar en status. Per CUEC kiest u de contracteis waar hij bij hoort, zodat u ziet welke eis op uw eigen maatregel leunt.
Meldplicht-simulator en lopend dossier
Rekent de meldtermijnen van NIS2, DORA en de AVG door voor een incident bij een leverancier, met de contractuele meldtermijn van die leverancier ernaast. Een dossier houdt tijdens het incident bij wat gemeld is en wat nog open staat.
Cockpit die eerlijk telt
Eén cijfer over de keten, gewogen over acht deelmaten. Een maat die voor uw organisatie niet geldt telt niet als nul, een leeg register krijgt geen groen, en een verstreken meldtermijn maakt het stoplicht rood ongeacht het gemiddelde.
Werkwijze
Van leverancier tot verantwoording in zes stappen
Leg de leveranciers vast
Registreer leveranciers met dienst, land en eigenaar. De risico-triage rekent een tier-voorstel uit dat u overneemt of onderbouwd aanpast.
Breng de keten in beeld
Koppel bedrijfsfuncties, leveranciers en subcontractors in de afhankelijkheidsgraaf en zie waar het concentratierisico zit.
Leg contracten vast en toets de eisen
Voeg per leverancier de contracten toe met looptijd en opzegtermijn, upload het document en laat de AI per eis een citaat voorstellen. U bevestigt voordat iets in de checklist landt.
Vraag assurance op en beoordeel
Stuur de leverancier een persoonlijke link voor het rapport. Beoordeel type, periode, oordeel, de maatregelen die u zelf moet treffen (CUEC's) en de onderdelen die buiten het rapport vallen. Sluit de rapportperiode niet aan op uw boekjaar, dan rekent de app uit hoe groot het gat is waarvoor u een aanvullende verklaring (bridge letter) nodig hebt.
Oefen de meldplicht
Reken met de simulator door welke termijnen gaan lopen als een leverancier uitvalt, en leg een echt incident vast als dossier met afvinkbare meldingen.
Verantwoord aan de toezichthouder
Exporteer het informatieregister zodra de controle vooraf groen is, en lees in de cockpit wie aan zet is en wat binnen zestig dagen verstrijkt.
In de suite
Wat TPRM leest uit de andere tools, en wat het teruggeeft
TPRM leest alleen in de registers van andere tools en schrijft er niet in. Een bron die niet bereikbaar is heet zo, en nooit 'geen gegevens'.
Privorium
Een leverancier toont de AVG-status uit het verwerkersregister: is er een verwerkersovereenkomst, is de doorgifte geborgd, zijn de sub-verwerkers bekend. Omgekeerd ziet Privorium bij een overeenkomst de tier van de leverancier.
BCM
Het leveranciersfiche toont welke bedrijfsprocessen op deze leverancier steunen en welke hersteltijd de impactanalyse van hem eist, naast de hersteltijd in zijn SLA.
NIS2 Scanner
Het register levert het bewijs voor het thema toeleveringsketen in de NIS2 Scanner, zodat u die vraag daar niet opnieuw beantwoordt. De eigen NIS2-positie leest TPRM op zijn beurt uit de Scanner.
Incident en Asset
Een meldplichtdossier kan aan een ICT-incident in de Incident-app hangen, en een contract aan een asset in het assetregister, met de herkomst van die gegevens erbij.
Weten wie er in de keten zit, en het kunnen aantonen?
Vraag een demo aan of neem contact op voor meer informatie over TPRM voor uw organisatie.