🤝 Risikomanagement für Drittparteien (TPRM)

„Ihre Lieferanten. Deren Risiko. Eine Plattform."
Prüfen Sie einen Lieferanten, versenden Sie nur die relevanten Fragebögen, überprüfen Sie die Antworten und schließen Sie eine Bewertung ab, die Sie später erklären können.

Risikomanagement für Drittparteien (Lieferantenmanagement) bringt Lieferanten in denselben Brainframe-Arbeitsbereich, in dem Sie bereits Risiken, Kontrollen und Dokumente verwalten. Bewertungen leben nicht länger in Tabellenkalkulationen und Postfächern. Jeder Lieferant hat einen Datensatz, jede Bewertung hat einen klaren Zyklus, und jede Antwort behält einen Verlauf darüber, wer was gesagt hat.

1️⃣ Warum das existiert

Die meisten Organisationen verwalten Risiken, Kontrollen und Frameworks bereits innerhalb einer GRC-Plattform. Lieferanten sind oft der Teil, der noch außerhalb davon liegt.

Typische Lücken:

• Im Umlauf befindliche Fragebögen — per E-Mail versendete Excel-Dateien, in unterschiedlichen Versionen zurückgesendet, ohne verlässliche Bewertung.
• Nachweise in Postfächern — Zertifikate, Berichte und Verträge, gespeichert an Orten, an denen sie leicht verloren gehen und schwer zu hinterfragen sind.
• Überprüfungen ohne Nachweis — keine klare Aufzeichnung darüber, wer eine Antwort überprüft hat, was hinterfragt wurde, oder welche Risikoentscheidung genehmigt wurde.
• Manuell neu erstellte Register — die Lieferantenliste wird bei jedem Zyklus erneut aus Quellen zusammengestellt, die nicht übereinstimmen.

Brainframe schließt diese Lücke innerhalb der Plattform, die Sie bereits verwenden. Derselbe Login, dieselben Berechtigungen und dasselbe Risiko- und Kontrollmodell. Lieferantenmanagement ist eine Erweiterung Ihrer GRC-Arbeit, kein zweites Tool, das abgeglichen werden muss.

Ein Lieferantendatensatz kann die Bewertungen, die von Ihnen akzeptierten Risiken und Kontrollen, die Nachweise und die Entscheidung tragen, später erneut zu überprüfen. Sie müssen das Ergebnis nicht in ein anderes Register erneut eintippen.

2️⃣ Eine Bewertung, vom ersten Blick bis zum abgezeichneten Ergebnis

Eine Lieferantenbewertung ist ein wiederholbarer Zyklus. Sie senden nicht jedes Formular an jeden Lieferanten, und Sie verlieren nicht die Antworten des letzten Jahres, wenn Sie erneut beginnen.

📌 Das Abschließen einer Bewertung friert diese Version ein. Eine spätere Neubewertung ist eine neue Bewertung. Sie überschreibt nicht die Vergangenheit.

3️⃣ Formulare: die Vorlage einmal gestalten

Eine Formularvorlage ist der Bauplan. Sie gestalten sie einmal. Sie bauen die Fragen nicht für jeden Lieferanten neu auf.

Die Vorlage definiert:

• Kategorien und Fragen — damit Personen das Formular in klarer Reihenfolge ausfüllen.
• Antworttypen — Freitext, Auswahlmöglichkeiten, Uploads und die anderen benötigten Antwortformate.
• Punktwerte — ein Wert für eine Antwort, wenn diese zum Reifegrad zählen soll.
• Folgefragebögen — eine Antwort kann ein tiefergehendes Formular freischalten, etwa eine zusätzliche Due-Diligence-Prüfung.
• Was als Nächstes geschieht — zum Beispiel das Ausfüllen von Feldern auf einem Dokument, das Hinzufügen von Arbeit zu einem Board, das Lesen einer Antwort als Risikosignal, oder das Benachrichtigen der Personen, die sie überprüfen müssen.

Zwei Möglichkeiten, dieselbe Art von Formular zu nutzen

💡 Ein Anfrageformular dient dazu, Informationen immer wieder zu sammeln. Ein Lieferantenfragebogen dient dazu, zu bewerten, zu überprüfen, zu sperren und die Geschichte dieses Lieferanten festzuhalten.

4️⃣ Wie Formulare für Lieferanten eingerichtet werden

Lieferantenfragebögen verwenden dieselbe Vorlagenfamilie, mit einer Rolle in der Bewertung.

In den Lieferanteneinstellungen verweist jeder Lieferantentyp auf die Formulare, die dieser Typ verwenden soll:

• Vorbewertung — der einleitende Fragebogen. Jede Bewertung beginnt hier.
• Due Diligence — die tiefergehenden Fragebögen, die nach der Vorbewertung zutreffen können.

Sie wählen aus, welche veröffentlichten Formularvorlagen diese Rollen übernehmen. Ein Logistikanbieter und ein IT-Lieferant müssen nicht dieselben Fragen teilen.

Auf der Vorlage selbst legen Sie fest, wie streng das Formular ist: welche Antworten bewertet werden, welche Antwort eine Nachverfolgung öffnet, wer benachrichtigt wird, wenn der Fragebogen zur Überprüfung bereit ist, und welche Antworten als Risikosignale behandelt werden sollen, bevor eine Person sie sich ansieht.

5️⃣ Warum Sie mit einer Vorbewertung beginnen

Die Vorbewertung ist ein Screening, nicht der vollständige Audit.

Sie wird oft intern abgeschlossen, von der Person, die die Zusammenarbeit kennt: was der Lieferant tun wird, welche Daten er sehen wird, und wie kritisch der Dienst ist. Sie können sie auch extern versenden, wenn der Lieferant selbst die ersten Fragen beantworten soll.

Die Antworten entscheiden über die Tiefe des weiteren Bewertungsverlaufs. Eine Zusammenarbeit mit geringem Risiko kann nach der Vorbewertung enden. Ein Lieferant, der sensible Daten verarbeitet, kritische IT betreibt oder in einer regulierten Kette steht, sollte mit der Due Diligence fortfahren.

Das ist der Zweck des ersten Formulars:

• Sie erfahren genug, um zu beurteilen, ob weitere Fragen gerechtfertigt sind.
• Sie vermeiden es, ein langes Sicherheitspaket an einen Lieferanten zu senden, der es nicht benötigt.
• Sie behalten eine Aufzeichnung darüber, warum die späteren Fragebögen verwendet wurden oder nicht.

6️⃣ Folgefragebögen gehen nur so tief, wie es die Antworten erfordern

Due-Diligence-Formulare sind optional und spezifischer. Sicherheit, Datenschutz, Resilienz oder ein anderes von Ihnen gestaltetes Thema — jedes ist ein eigenständiger Fragebogen.

Eine Nachverfolgung wird auf zwei Arten relevant:

• Der Lieferantentyp listet sie bereits als Due-Diligence-Formular für diese Art von Lieferant auf.
• Eine frühere Antwort schaltet sie frei. Ein „Ja" bei einer Vorbewertungsfrage kann der Grund sein, warum ein tiefergehendes Formular in den Geltungsbereich fällt. (gelb markiert)

Sie senden dann jeden Fragebogen an die Person, die ihn tatsächlich beantworten kann. Recht, Sicherheit und der Hauptansprechpartner des Lieferanten müssen sich kein gemeinsames Postfach teilen. Wenn eine Antwort schwach ist, können Sie um eine Aktualisierung bitten und diesen Fragebogen erneut senden.

📌 Sie senden nicht jedes Formular an jeden Lieferanten. Sie senden das, was die Vorbewertung und der Lieferantentyp rechtfertigen.

7️⃣ Lieferantentypen halten die richtigen Formulare zusammen

Ein Lieferantentyp ist das Profil für eine Art von Drittpartei: IT, eine professionelle Dienstleistung, ein Auftragsverarbeiter, Logistik, oder jede andere Aufteilung, die zu Ihrer Einkaufsweise passt.

Jeder Typ kann Folgendes haben:

• eine eigene Vorbewertung
• einen eigenen Satz von Due-Diligence-Formularen
• einen eigenen Platz in Ihren Lieferanteneinstellungen, sodass das Onboarding nicht bei einer leeren Liste beginnt

Wenn jemand eine Bewertung startet und den Typ auswählt, wählt Brainframe diese Vorbewertung und die zutreffenden Due-Diligence-Fragebögen vorab aus. Der Benutzer wählt weiterhin, was gesendet wird. Der Typ hindert ihn lediglich daran, das Paket manuell zusammenzustellen.

8️⃣ Bereiten Sie den Risikotyp vor, bevor Sie sich auf KI verlassen

Lieferantenarbeit sollte auf einem Dokumenttyp und einem Risikotyp landen, den Sie für Drittparteien konfiguriert haben.

Legen Sie dies in den Lieferanteneinstellungen fest:

• Lieferanten-Dokumenttyp — wo der Lieferant selbst gespeichert wird.
• Standard-Risikotyp — die Risikomethode, die bei der Bewertung dieses Lieferanten verwendet wird.

Der Risikotyp sorgt für Konsistenz in den späteren Schritten. Seine Methodik bestimmt, wie Sie Risiko bewerten und lesen. Seine Behandlungsplan-Vorlage ist die Struktur des Plans, den Sie beim Abschluss der Bewertung verfassen.

Wenn KI aktiviert ist, übernehmen diese beiden Einstellungen einen großen Teil der sich wiederholenden Arbeit:

• Vorschläge für Feststellungen und eine Reifegradansicht, während Sie Antworten überprüfen.
• Vorschlagen von Risiken, die zu diesem Lieferanten und diesem Risikotyp passen, statt einer generischen Liste.
• Vorschlagen von Kontrollen, die zu diesen Risiken gehören.
• Entwurf eines Behandlungsplans aus der Vorlage, unter Verwendung des Lieferanten, der Risiken, der Kontrollen und der von Ihnen markierten Fragen.

KI bereitet die Arbeit vor. Ihre Prüfer akzeptieren, ändern oder lehnen jeden Vorschlag weiterhin ab, bevor er zählt. Die Verantwortung bleibt beim Risikoeigentümer.

9️⃣ Ein typischer Ablauf

Dies ist der Weg aus dem Lieferantenmodul. Die Bildschirme folgen dem obigen Zyklus.

Bewertung starten und Lieferantentyp wählen

Öffnen Sie den Lieferanten und starten Sie das Onboarding, oder starten Sie eine neue Bewertung, wenn eine Neubewertung ansteht.
Sie wählen den Lieferantentyp aus. Diese Wahl wählt die Vorbewertung und die zutreffenden Due-Diligence-Fragebögen vorab aus. Sie können das Paket einsehen, bevor irgendetwas gesendet wird. Schließen Sie die Vorbewertung intern ab, wenn Ihr eigenes Team die Antworten bereits kennt.

Die Fragebögen versenden

Versenden Sie ausgehend vom Lieferanten jeden Fragebogen, der hinausgehen soll. Unterschiedliche Formulare können an unterschiedliche Personen gehen.
Der Lieferant erhält einen sicheren Link und antwortet im Portal. Er benötigt keinen Zugriff auf Ihren internen Arbeitsbereich.

Der Lieferant kann Kollegen einladen

Die Person, die den Link erhält, kann denselben Fragebogen an Kollegen delegieren, die einen bestimmten Abschnitt kennen. Mehrere Personen können gemeinsam an einem Formular arbeiten.

Selbst gehostet: Das Portal kann in der Cloud sein, der Datensatz bleibt bei Ihnen

In einem Cloud-Brainframe-Arbeitsbereich antworten Lieferanten auf derselben Plattform.

Bei einer selbst gehosteten Installation können Sie die interne Plattform privat halten und Lieferanten trotzdem auf einem öffentlichen Portal in der Cloud antworten lassen:

• Sie veröffentlichen den Fragebogen nach außen. Der Lieferant verbindet sich nie mit Ihrer internen Umgebung.
• Sie holen die Antworten zurück, wenn Sie es wünschen, einschließlich der von ihnen hochgeladenen Nachweise.
• Nach diesem Abruf befinden sich die Antworten in Ihrem eigenen Brainframe. Diese Kopie auf dem Portal wird gelöscht.
• Ihre Risiken, Kontrollen, Dokumente und Workflows bleiben das führende System.

Ein Problem auf dem öffentlichen Portal öffnet nicht Ihre internen GRC-Daten. Der Austausch wird von Ihrer Seite aus gestartet.

Einen abgeschlossenen Fragebogen überprüfen

Wenn ein Fragebogen eingereicht wird, werden die im Formular konfigurierten Prüfer benachrichtigt.

Öffnen Sie die Überprüfung und gehen Sie die Antworten durch. Für jede Antwort können Sie:

• eine Feststellung erfassen
• den Reifegrad der Antwort festlegen
• sie als Akzeptiert markieren, wenn sie gut genug ist
• sie als Als Risiko markieren markieren, wenn sie in die Lieferantenrisikobewertung einfließen muss
• sie als Aktualisierung erforderlich markieren, wenn der Lieferant erneut antworten muss, und dann erneut senden

KI kann den Fragebogen vorab analysieren: vorgeschlagene Feststellungen, eine Reifegradeinschätzung, und Antworten, die unvollständig oder schwach wirken. Sie bestätigen oder korrigieren diese Vorschläge. Nichts wird festgeschrieben, nur weil das Modell es vorgeschlagen hat.

Jede „Als Risiko markieren"-Antwort in eine Risikobewertung zusammenführen

Sie behandeln nicht jeden Fragebogen als separate Risikoübung. Wenn die benötigten Fragebögen überprüft wurden, öffnen Sie Risiken überprüfen.

Jede Antwort, die Sie als Als Risiko markieren markiert haben, über alle Fragebögen der Bewertung hinweg, fällt gemeinsam in den Geltungsbereich. Von dort aus bauen Sie das Risikobild für diesen Lieferanten auf:

• Ein bereits bestehendes Risiko verknüpfen, das beim Lieferanten oder in Ihrem Register vorhanden ist.
• Ein Risiko hinzufügen aus den bereits für diesen Risikotyp definierten Risiken.
• KI neue Risiken vorschlagen lassen im Kontext dieses Lieferanten, dieser Antworten und Ihrer Methodik.

Anschließend verknüpfen Sie die zutreffenden Kontrollen. KI kann auch diese vorschlagen. Sie legen fest, wie weit jede Kontrolle umgesetzt ist, und entfernen alles, was nicht dazugehört.

Die Bewertung abschließen und die nächste Überprüfung planen

Wenn die Risikoüberprüfung abgeschlossen ist, sperren Sie die Bewertung.

Das Sperren bewirkt drei Dinge:

• Es schreibt die abgezeichneten Risiken und Kontrollen auf den Lieferanten.
• Es friert diese Bewertung ein. Fragen, Antworten, Feststellungen und Risikoentscheidungen bleiben so, wie sie waren, selbst wenn Sie später die Formularvorlage bearbeiten.
• Es ermöglicht Ihnen, die nächste Überprüfung zu planen, sodass die Neubewertung einen Eigentümer und ein Datum hat.

Nach dem Abschluss den Behandlungsplan verfassen

Eine gesperrte Bewertung kann einen Behandlungsplan für diesen Lieferanten und diese Bewertung erzeugen.

Erstellen Sie ihn mit KI, oder verfassen Sie ihn selbst. Der KI-Entwurf verwendet die Behandlungsplan-Vorlage des Lieferantenrisikotyps, zusammen mit dem Lieferantenkontext, den von Ihnen verknüpften Risiken und Kontrollen, dem Umsetzungsgrad dieser Kontrollen, und den Fragebogenantworten, die Sie als Risiken markiert haben. Das Ergebnis ist ein Dokument bei der Bewertung, verknüpft mit dem Lieferanten, das Sie wie jedes andere Dokument öffnen und bearbeiten können.

Der Plan ist die Erzählung dessen, was Sie tun werden. Die gesperrte Bewertung bleibt der Nachweis dessen, was Sie entschieden haben.

🔟 Was Sie später noch sehen können

Das Auditprotokoll bewahrt die vollständige Geschichte: Antworten, Überprüfungsmaßnahmen und die von Ihnen ausgewählten Risiken.

Bei einer Frage können Sie den Verlauf öffnen, statt nur die neueste Antwort zu sehen. Wenn ein Auditor fragt, was dieser Lieferant vor zwei Jahren gesagt hat, ist die Bewertung aus diesem Zyklus weiterhin vorhanden.

Wenn Sie die nächste Bewertung starten:

• Werden die neuesten Formularvorlagen verwendet.
• Werden frühere Antworten auf Fragen übertragen, die noch existieren, sodass niemand bei einer leeren Seite beginnt.
• Wird die Arbeit weiterhin als erneut zu erledigen markiert. Übertragene Antworten sind ein Vorsprung, kein Abzeichnen.
• Wird hochgeladener Nachweis gelöscht und muss erneut bereitgestellt werden.

📌 Sperren bedeutet, dass diese Bewertung abgeschlossen ist. Eine neue Bewertung ist eine neue Version. Verlauf bedeutet, dass Sie erklären können, warum.

✅ Eine praktische Checkliste

• Lieferantentypen existieren, jeweils mit einer Vorbewertung und den Due-Diligence-Formularen, die dieser Typ benötigen kann.
• Der Lieferanten-Dokumenttyp und der Standard-Risikotyp sind festgelegt, einschließlich der Behandlungsplan-Vorlage, falls Sie KI verwenden werden.
• Ein neuer Lieferant beginnt mit dem Onboarding, wobei der Typ vor dem Versenden der Fragebögen ausgewählt wird.
• Die Vorbewertung ist abgeschlossen, bevor tiefergehende Formulare versendet werden.
• Jeder versendete Fragebogen hat einen echten Empfänger, der Kollegen einladen kann.
• Prüfer verwenden Akzeptiert, Als Risiko markieren oder Aktualisierung erforderlich, und verfassen dort, wo relevant, eine Feststellung.
• Risiken überprüfen deckt jede markierte Antwort ab, mit von einer Person bestätigten Risiken und Kontrollen.
• Die Bewertung ist gesperrt, die nächste Überprüfung ist geplant, und der Behandlungsplan ist bei dieser Bewertung gespeichert.

Aktualisiert am: 30/09/2026