À medida que a utilização de fornecedores terceiros cresce, é cada vez mais imperativo ser diligente com as práticas de avaliação de risco dos fornecedores. Os fornecedores e outros fornecedores de terceiros são essenciais para manter a maioria das organizações a funcionar sem problemas. Mas estas relações podem estar repletas de perigos que podem afectar negativamente as suas finanças, desempenho, e reputação.

Considere estes riscos: uma perturbação na cadeia de fornecimento do seu fornecedor que atrasa as entregas, medidas de segurança fracas que resultam numa violação de dados, ou o não cumprimento de regulamentos importantes que têm impacto financeiro. Sem culpa própria, a sua organização pode ser responsabilizada por erros cometidos por terceiros, que podem levar a processos judiciais, multas e danos à sua reputação - tudo isto um custo elevado para a sua organização.

Uma avaliação de risco de fornecedor é parte integrante de um programa eficaz de gestão de risco de terceiros (TPRM). A realização de avaliações de risco de fornecedores permite-lhe determinar os riscos e níveis de risco que um terceiro representa para a sua organização. As avaliações recolhem informações e documentação críticas dos seus fornecedores. Essa informação pode revelar vulnerabilidades que podem expor a sua organização a danos. Depois pode decidir se deve avançar com esse fornecedor, exigir alterações para satisfazer os seus requisitos, ou terminar a sua relação.

Como Começar o Processo

Comece com uma lista de todos os seus fornecedores, os produtos e/ou serviços que fornecem, e os riscos potenciais que apresentam. Categorize cada fornecedor como de alto risco, risco moderado, ou baixo risco.

Criar questionários de fornecedores personalizados. O tamanho único não serve a todos. Personalize os seus questionários para recolher informações críticas de cada fornecedor, incluindo o estado financeiro, práticas operacionais, controlos de segurança e conformidade regulamentar.

Para vendedores de baixo risco, poderá ter menos perguntas, mais padronizadas. Para os vendedores de alto risco (por exemplo, aqueles com acesso às suas redes internas, sistemas, e dados confidenciais), desejará sondar mais profundamente. Em todos os casos, mantenha as perguntas directas, concisas, e pertinentes para evitar interpretações erradas. As perguntas podem ser estruturadas em formatos para respostas de sim/não, escolha múltipla, e respostas escritas.

Por exemplo, uma pergunta inicial pode ser: A sua organização tem uma política de segurança da informação e procedimentos? Ao abrigo desta pergunta, pode fazer uma pergunta complementar sobre onde e como é armazenada a informação sensível. Outra pergunta de avaliação de amostra poderá perguntar se a organização tem uma política de resposta a incidentes, seguida de perguntas sobre a forma como os incidentes são tratados e o processo de mitigação.

Como parte da sua avaliação, peça aos vendedores que apresentem apólices relevantes, certificados de seguro, contratos e acordos que tenham com os seus próprios fornecedores terceiros (que se tornam riscos de quarta parte para si). O

O processo de verificação também inclui a realização de verificações de antecedentes, o pedido de referências e a recolha de opiniões de clientes. Certifique-se de que solicita planos completos de continuidade de negócio de qualquer terceiro classificado como de alto risco.

Frequência das Avaliações de Risco dos Vendedores

Conduzir uma avaliação inicial do risco antes de entrar numa relação com qualquer fornecedor de terceiros. Depois reavaliar periodicamente os vendedores para:

  • Revelar mudanças nas operações dos fornecedores, liderança, e áreas de risco novas/emergentes.
  • Identificar novos desenvolvimentos que possam afectar a capacidade do vendedor de cumprir as suas obrigações contratuais.
  • Confirme que as práticas do fornecedor ainda se alinham com os valores e objectivos da sua organização.

As reavaliações são normalmente realizadas anualmente, mas podem ser agendadas com maior frequência para fornecedores de alto risco. À medida que as suas relações com vendedores terceiros amadurecem, poderá sentir que pode relaxar a sua frequência de avaliação. Não cometa esse erro. Proteja a sua organização, mantendo-se vigilante com a realização de avaliações contínuas.

Antes de iniciar uma reavaliação, reveja o seu questionário, e faça as revisões que forem necessárias. Certifique-se de que todas as perguntas continuam a ser relevantes. É necessário acrescentar perguntas sobre o cumprimento de novas leis/regulamentos que se aplicam à sua organização. E abordar quaisquer desenvolvimentos inesperados como a pandemia de COVID, que exigiu que as organizações criassem rapidamente um conjunto completamente novo de protocolos e processos internos para proteger clientes, empregados, e outras partes interessadas.

Com cada reavaliação, avaliar o nível de risco de terceiros e a sua relação. Se houver alterações significativas nas respostas do fornecedor, pergunte quando e porquê as alterações foram feitas. Estas etapas determinarão se deseja continuar a trabalhar com o fornecedor ou terminar a sua relação.

Os benefícios da tecnologia para a avaliação dos riscos dos fornecedores

Mesmo as organizações mais pequenas podem ter dezenas de fornecedores. As grandes organizações podem trabalhar com dezenas de milhares. Manter o controlo de que muitos terceiros manualmente (pense em folhas de cálculo) é pesado, demorado e propenso a erros - na melhor das hipóteses.

O software TPRM automatiza e normaliza o processo de avaliação de risco do fornecedor. Oferece modelos de questionários que podem ser facilmente personalizados. Os vendedores podem submeter respostas através de portal, e o software pode automaticamente pontuar e classificar as respostas. Também pode trazer dados externos para ajudar a avaliar os riscos. A análise integrada, juntamente com ferramentas de relatórios flexíveis, permite cortar e classificar os dados da forma que desejar.

O software também pode enviar alertas automáticos para documentos e contratos de fornecedores expirados, para que possa ter a certeza de que informações desactualizadas não o põem em risco. Finalmente, o software permite-lhe criar, enviar correio electrónico, e obter contratos assinados directamente da plataforma.

Todas as informações de risco do fornecedor - incluindo acordos, contratos, políticas, e credenciais de acesso - são compiladas numa única plataforma com acesso partilhado entre departamentos. É possível actualizar dados e documentos armazenados em tempo real, pelo que os relatórios são sempre completos e precisos. Pode sentir-se confiante sobre a qualidade e actualidade dos dados e documentos de terceiros alojados no seu sistema. E tem toda a informação ao seu alcance para análise e tomada de decisão.

A avaliação de risco do fornecedor dá à sua organização a capacidade de examinar minuciosamente as práticas, reputações e níveis de risco de terceiros, mesmo antes da assinatura dos contratos. O processo vale bem o tempo e o esforço para que possa planear, preparar e tornar os vendedores responsáveis ao longo de toda a sua relação.

Se estiver à procura de software de gestão de risco de terceiros, descarregue isto Modelo RFP com as perguntas mais críticas relacionadas com o TPRM, e verifique as perguntas Riskonnect Software de Gestão de Riscos de Terceiros.