Waarom third-party risk management steeds belangrijker wordt.

De meeste organisaties weten heel goed met welke leveranciers zij samenwerken. Veel minder organisaties weten van welke leveranciers zij daadwerkelijk afhankelijk zijn.

Dat lijkt een klein verschil in formulering, maar het is misschien wel de belangrijkste ontwikkeling binnen risk management van dit moment.

Organisaties besteden steeds meer activiteiten uit, draaien op cloudplatformen, maken gebruik van gespecialiseerde technologiepartners en bouwen hun bedrijfsvoering rondom externe partijen die vaak cruciaal zijn voor de continuïteit van de onderneming. Dat levert schaalbaarheid, flexibiliteit en specialistische kennis op, maar zorgt tegelijkertijd voor een nieuw type risico: niet zozeer het risico dat een leverancier faalt, maar het risico dat de organisatie niet zonder die leverancier kan.

Juist daarom zien wij dat third-party risk management zich in hoog tempo ontwikkelt van een operationeel controleproces naar een strategisch thema dat steeds nadrukkelijker aandacht krijgt binnen bestuur, finance en risk.

Niet de leverancier is het risico, maar de afhankelijkheid

Traditioneel richt third-party risk management zich vooral op de leverancier zelf. Is deze financieel gezond? Beschikt de partij over de juiste certificeringen? Zijn de securitymaatregelen op orde? Worden risico's periodiek beoordeeld?

Dat zijn zonder twijfel relevante vragen, maar ze vertellen slechts een deel van het verhaal.

Een leverancier kan uitstekend presteren en volledig voldoen aan alle gestelde eisen, terwijl de organisatie toch een groot risico loopt omdat er simpelweg geen realistisch alternatief beschikbaar is. Een cloudprovider, gespecialiseerde softwareleverancier, logistieke partner of producent kan in de praktijk zó verweven zijn met de operatie dat uitval direct leidt tot verstoringen in omzet, dienstverlening of productie.

Daarmee ontstaat een belangrijk onderscheid tussen supplier risk en dependency risk. Waar het eerste zich richt op de kwaliteit van de leverancier, draait het tweede om de vraag hoe kwetsbaar de eigen organisatie is geworden door die afhankelijkheid. Naar onze indruk krijgt juist dat laatste nog lang niet overal de aandacht die het verdient.

Weerbaarheid vraagt om een andere manier van kijken

Een volwassen third-party risk assessment stopt daarom niet bij het beoordelen van de leverancier, maar begint juist met het begrijpen van de eigen organisatie.

Hoe snel kan een leverancier daadwerkelijk worden vervangen? Wat betekent dat voor processen, data, klanten en omzet? Welke kennis gaat verloren? Hoeveel tijd en investeringen zijn nodig voordat een alternatief operationeel is? En bestaat dat alternatief eigenlijk wel?

Dat zijn geen theoretische vragen, maar vragen die bepalen hoe weerbaar een organisatie werkelijk is.

Een contractuele exitclausule is immers nog geen exitstrategie en een tweede leverancier op papier is niet automatisch een werkbaar alternatief in de praktijk.

Meer dan een IT- of compliancevraagstuk

De groeiende aandacht voor cybersecurity heeft third-party risk management terecht hoger op de agenda gezet. Incidenten bij leveranciers kunnen immers direct gevolgen hebben voor systemen, data en reputatie.

Tegelijkertijd schuilt daarin ook een risico. Doordat cybersecurity zo zichtbaar is geworden, wordt third-party risk nog regelmatig benaderd als een IT- of complianceonderwerp, terwijl de grootste kwetsbaarheden vaak veel breder liggen.

Concentratierisico's ontstaan bijvoorbeeld wanneer meerdere kritieke processen afhankelijk blijken van dezelfde technologieprovider, wanneer verschillende bedrijven binnen een groep gebruikmaken van dezelfde externe infrastructuur of wanneer een onderneming voor een cruciale grondstof of dienst feitelijk slechts één realistisch alternatief heeft.

Op individueel niveau lijken dergelijke leveranciers vaak beheersbaar. Pas wanneer het totaalplaatje zichtbaar wordt, ontstaat inzicht in de daadwerkelijke kwetsbaarheid van het bedrijfsmodel.

Daarom raakt dit ook de CFO

Juist daar raakt third-party risk management steeds vaker het domein van finance.

Wanneer een kritieke externe partij uitvalt, beperkt de impact zich zelden tot operationele hinder. Verstoringen werken direct door in omzet, marge, cashflow, werkkapitaal en uiteindelijk de voorspelbaarheid van resultaten. Daarmee wordt third-party risk niet alleen een risicovraagstuk, maar ook een financieel en strategisch vraagstuk.

Dat zien wij ook terug in gesprekken met CFO's, investeerders en private equity-partijen. De vragen verschuiven steeds vaker van "Is deze leverancier voldoende beheerst?" naar "Hoe afhankelijk zijn wij eigenlijk geworden?" en "Wat betekent dat voor de waarde en continuïteit van de onderneming?"

Een duidelijke stap in volwassenheid

Misschien wel het meest opvallende signaal dat third-party risk management volwassen wordt, zien wij in de organisaties zelf.

Waar third-party risk voorheen vaak een onderdeel was van procurement, risk, compliance of information security, ontstaan steeds vaker specifieke TPRM-functies en zelfs aparte third-party risk management-afdelingen. Dat is wat ons betreft een logische ontwikkeling.

Niet omdat organisaties meer processen willen optuigen, maar omdat het onderwerp simpelweg te belangrijk en te complex is geworden om er 'iets bij te doen'. Het vraagt om een eigen expertise, een integrale blik en samenwerking tussen finance, procurement, IT, risk, compliance en de business.

Dat juichen wij alleen maar toe. Het laat zien dat organisaties third-party risk management steeds minder zien als een complianceverplichting en steeds meer als een discipline die direct bijdraagt aan de weerbaarheid van de onderneming.

De belangrijkste vraag verandert

De volwassenheidsvraag is daarom niet langer hoeveel leveranciers zijn beoordeeld of hoeveel risk assessments zijn afgerond.

De echte vraag is of een organisatie weet van welke externe partijen zij daadwerkelijk afhankelijk is, welke consequenties het heeft wanneer één van die partijen uitvalt en welke handelingsruimte er dan nog overblijft.

Organisaties die die vragen kunnen beantwoorden, beschikken niet alleen over beter third-party risk management. Zij begrijpen hun eigen bedrijfsmodel beter, hebben meer grip op hun operationele weerbaarheid en zijn beter voorbereid op een omgeving waarin afhankelijkheden alleen maar verder zullen toenemen.

En misschien is dat wel de belangrijkste ontwikkeling van allemaal. Third-party risk management gaat uiteindelijk steeds minder over leveranciers en steeds meer over de kwaliteit en veerkracht van de eigen organisatie.