🤝 Risicobeheer van derde partijen (TPRM)

"Uw leveranciers. Hun risico. Eén platform."
Screen een leverancier, verstuur alleen de vragenlijsten die ertoe doen, beoordeel de antwoorden, en sluit een evaluatie af die u later kunt verklaren.

Risicobeheer van derde partijen (leveranciersbeheer) brengt leveranciers naar dezelfde Brainframe-werkruimte waarin u al risico's, beheersmaatregelen en documenten beheert. Beoordelingen leven niet langer in spreadsheets en mailboxen. Elke leverancier heeft een record, elke evaluatie heeft een duidelijke cyclus, en elk antwoord bewaart een geschiedenis van wie wat heeft gezegd.

1️⃣ Waarom dit bestaat

De meeste organisaties beheren risico's, beheersmaatregelen en frameworks al binnen een GRC-platform. Leveranciers zijn vaak het onderdeel dat daar nog buiten valt.

Typische hiaten:

• Vragenlijsten in omloop — Excel-bestanden per e-mail verstuurd, in verschillende versies teruggestuurd, zonder betrouwbare scoring.
• Bewijs in mailboxen — certificaten, rapporten en contracten opgeslagen op plekken waar ze gemakkelijk verloren gaan en moeilijk te betwisten zijn.
• Reviews zonder bewijs — geen duidelijk overzicht van wie een antwoord heeft beoordeeld, wat er werd bevraagd, of welk risicobesluit werd goedgekeurd.
• Handmatig opnieuw opgebouwde registers — de leverancierslijst elke cyclus opnieuw samengesteld uit bronnen die niet met elkaar overeenkomen.

Brainframe dicht dat gat binnen het platform dat u al gebruikt. Dezelfde login, dezelfde machtigingen, en hetzelfde risico- en beheersmaatregelmodel. Leveranciersbeheer is een uitbreiding van uw GRC-werk, geen tweede tool om te verzoenen.

Een leveranciersrecord kan de beoordelingen, de door u geaccepteerde risico's en beheersmaatregelen, het bewijs, en het besluit om later opnieuw te beoordelen bevatten. U hoeft het resultaat niet opnieuw over te typen in een ander register.

2️⃣ Eén evaluatie, van eerste blik tot ondertekend resultaat

Een leveranciersbeoordeling is een herhaalbare cyclus. U verstuurt niet elk formulier naar elke leverancier, en u verliest de antwoorden van vorig jaar niet wanneer u opnieuw begint.

📌 Het afsluiten van een evaluatie bevriest die versie. Een latere herbeoordeling is een nieuwe evaluatie. Deze overschrijft het verleden niet.

3️⃣ Formulieren: ontwerp het sjabloon één keer

Een formuliersjabloon is de blauwdruk. U ontwerpt het één keer. U bouwt de vragen niet opnieuw op voor elke leverancier.

Het sjabloon definieert:

• Categorieën en vragen — zodat mensen het formulier in een duidelijke volgorde invullen.
• Antwoordtypen — vrije tekst, keuzes, uploads, en de andere antwoordformaten die u nodig heeft.
• Scores — een waarde op een antwoord wanneer u wilt dat het antwoord meetelt voor volwassenheid.
• Vervolgvragenlijsten — een antwoord kan een diepgaander formulier ontgrendelen, zoals extra due diligence.
• Wat er daarna gebeurt — bijvoorbeeld velden invullen op een document, werk toevoegen aan een bord, een antwoord lezen als een risicosignaal, of de mensen informeren die het moeten beoordelen.

Twee manieren om hetzelfde type formulier te gebruiken

💡 Een aanvraagformulier is voor het steeds opnieuw verzamelen van informatie. Een leveranciersvragenlijst is voor beoordelen, reviewen, vergrendelen, en het bijhouden van het verhaal van die leverancier.

4️⃣ Hoe formulieren worden ingesteld voor leveranciers

Leveranciersvragenlijsten gebruiken dezelfde sjabloonfamilie, met een rol in de beoordeling.

In de leveranciersinstellingen verwijst elk leveranciertype naar de formulieren die dat type moet gebruiken:

• Voorbeoordeling — de openingsvragenlijst. Elke evaluatie begint hier.
• Due diligence — de diepgaandere vragenlijsten die na de voorbeoordeling kunnen gelden.

U kiest welke gepubliceerde formuliersjablonen deze rollen vervullen. Een logistieke leverancier en een ICT-leverancier hoeven niet dezelfde vragen te delen.

Op het sjabloon zelf bepaalt u hoe streng het formulier is: welke antwoorden worden gescoord, welk antwoord een vervolgformulier opent, wie wordt geïnformeerd wanneer de vragenlijst klaar is voor review, en welke antwoorden moeten worden behandeld als risicosignalen voordat iemand ernaar kijkt.

5️⃣ Waarom u begint met een voorbeoordeling

De voorbeoordeling is een screening, niet de volledige audit.

Deze wordt vaak intern voltooid, door de persoon die de samenwerking kent: wat de leverancier gaat doen, welke gegevens hij zal zien, en hoe kritiek de dienst is. U kunt hem ook extern versturen wanneer de leverancier zelf de eerste vragen moet beantwoorden.

De antwoorden bepalen de diepgang van de rest van de evaluatie. Een samenwerking met laag risico kan stoppen na de voorbeoordeling. Een leverancier die gevoelige gegevens verwerkt, kritieke ICT beheert, of zich in een gereguleerde keten bevindt, zou moeten doorgaan naar due diligence.

Dat is het doel van het eerste formulier:

• U leert genoeg om te beoordelen of meer vragen gerechtvaardigd zijn.
• U voorkomt dat u een lang beveiligingspakket stuurt naar een leverancier die dat niet nodig heeft.
• U houdt een overzicht bij van waarom de latere vragenlijsten wel of niet werden gebruikt.

6️⃣ Vervolgvragenlijsten gaan slechts zo diep als de antwoorden vereisen

Due-diligenceformulieren zijn optioneel en specifieker. Beveiliging, privacy, weerbaarheid, of een ander onderwerp dat u heeft ontworpen — elk is een afzonderlijke vragenlijst.

Een vervolgvragenlijst wordt op twee manieren relevant:

• Het leveranciertype vermeldt hem al als een due-diligenceformulier voor dat soort leverancier.
• Een eerder antwoord ontgrendelt hem. Een "ja" op een voorbeoordelingsvraag kan de reden zijn dat een diepgaander formulier binnen bereik komt. (geel gemarkeerd)

U stuurt vervolgens elke vragenlijst naar de persoon die deze daadwerkelijk kan beantwoorden. Juridische zaken, beveiliging en het hoofdcontact van de leverancier hoeven niet één postvak te delen. Als een antwoord zwak is, kunt u om een update vragen en die vragenlijst opnieuw versturen.

📌 U verstuurt niet elk formulier naar elke leverancier. U verstuurt wat de voorbeoordeling, en het leveranciertype, rechtvaardigen.

7️⃣ Leveranciertypen houden de juiste formulieren bij elkaar

Een leveranciertype is het profiel voor een soort derde partij: ICT, een professionele dienst, een verwerker, logistiek, of elke andere indeling die past bij hoe u inkoopt.

Elk type kan het volgende hebben:

• een eigen voorbeoordeling
• een eigen set due-diligenceformulieren
• een eigen plaats in uw leveranciersinstellingen, zodat onboarding niet begint vanaf een lege lijst

Wanneer iemand een evaluatie start en het type kiest, selecteert Brainframe vooraf die voorbeoordeling en de due-diligencevragenlijsten die kunnen gelden. De gebruiker kiest nog steeds wat te versturen. Het type voorkomt alleen dat hij het pakket handmatig moet samenstellen.

8️⃣ Bereid het risicotype voor voordat u op AI vertrouwt

Leverancierswerk moet terechtkomen in een documenttype en een risicotype dat u voor derde partijen heeft geconfigureerd.

Stel dit in bij de leveranciersinstellingen:

• Leveranciersdocumenttype — waar de leverancier zelf wordt opgeslagen.
• Standaard risicotype — de risicomethode die wordt gebruikt bij het beoordelen van die leverancier.

Het risicotype zorgt voor consistentie in de latere stappen. De methodologie ervan bepaalt hoe u risico scoort en leest. De sjabloon voor het behandelplan is de structuur van het plan dat u schrijft wanneer de evaluatie wordt afgesloten.

Wanneer AI is ingeschakeld, nemen deze twee instellingen een groot deel van het repetitieve werk voor hun rekening:

• Bevindingen en een volwassenheidsbeeld voorstellen terwijl u antwoorden beoordeelt.
• Risico's voorstellen die passen bij deze leverancier en dit risicotype, in plaats van een generieke lijst.
• Beheersmaatregelen voorstellen die bij die risico's horen.
• Een behandelplan opstellen vanuit het sjabloon, met gebruik van de leverancier, de risico's, de beheersmaatregelen, en de vragen die u heeft gemarkeerd.

AI bereidt het werk voor. Uw reviewers accepteren, wijzigen of verwerpen elke suggestie nog steeds voordat deze telt. De verantwoordelijkheid blijft bij de risico-eigenaar.

9️⃣ Een typisch traject

Dit is het pad vanuit de leveranciersmodule. De schermen volgen de bovenstaande cyclus.

Start de evaluatie en kies het leveranciertype

Open de leverancier en start onboarding, of start een nieuwe evaluatie wanneer het tijd is om opnieuw te beoordelen.
U selecteert het leveranciertype. Die keuze selecteert vooraf de voorbeoordeling en de due-diligencevragenlijsten die kunnen gelden. U kunt het pakket zien voordat er iets wordt verstuurd. Voltooi de voorbeoordeling intern wanneer uw eigen team de antwoorden al kent.

Verstuur de vragenlijsten

Verstuur vanuit de leverancier elke vragenlijst die uit moet gaan. Verschillende formulieren kunnen naar verschillende personen gaan.
De leverancier ontvangt een beveiligde link en beantwoordt deze in de portal. Hij heeft geen toegang tot uw interne werkruimte nodig.

De leverancier kan collega's uitnodigen

De persoon die de link ontvangt, kan dezelfde vragenlijst delegeren aan collega's die een specifiek onderdeel kennen. Meerdere personen kunnen samen aan één formulier werken.

Self-hosted: de portal kan in de cloud staan, het record blijft bij u

Op een cloud-Brainframe-werkruimte beantwoorden leveranciers op hetzelfde platform.

Bij een self-hosted installatie kunt u het interne platform privé houden en leveranciers toch laten antwoorden op een openbare portal in de cloud:

• U publiceert de vragenlijst naar buiten. De leverancier maakt nooit verbinding met uw interne omgeving.
• U haalt de antwoorden terug wanneer u dat wilt, inclusief het bewijs dat zij hebben geüpload.
• Na die terughaling leven de antwoorden in uw eigen Brainframe. Die kopie op de portal wordt gewist.
• Uw risico's, beheersmaatregelen, documenten en workflows blijven het bronsysteem.

Een probleem op de openbare portal opent uw interne GRC-gegevens niet. De uitwisseling wordt vanaf uw kant gestart.

Een voltooide vragenlijst beoordelen

Wanneer een vragenlijst wordt ingediend, worden de op het formulier geconfigureerde reviewers geïnformeerd.

Open de review en loop de antwoorden door. Voor elk antwoord kunt u:

• een bevinding registreren
• de volwassenheid van het antwoord instellen
• het markeren als Geaccepteerd wanneer het goed genoeg is
• het markeren als Markeren als risico wanneer het moet meewegen in de risicobeoordeling van de leverancier
• het markeren als Update vereist wanneer de leverancier opnieuw moet antwoorden, en vervolgens opnieuw versturen

AI kan de vragenlijst vooraf analyseren: voorgestelde bevindingen, een volwassenheidsmeting, en antwoorden die onvolledig of zwak lijken. U bevestigt of corrigeert deze suggesties. Niets wordt vastgelegd enkel omdat het model het voorstelde.

Breng elk "markeren als risico"-antwoord samen in één risicobeoordeling

U behandelt niet elke vragenlijst als een afzonderlijke risico-oefening. Wanneer de benodigde vragenlijsten zijn beoordeeld, opent u Risico's beoordelen.

Elk antwoord dat u heeft gemarkeerd als Markeren als risico, over alle vragenlijsten van de evaluatie heen, valt samen binnen het bereik. Vanaf daar bouwt u het risicobeeld voor deze leverancier op:

• Koppel een risico dat al bestaat bij de leverancier of in uw register.
• Voeg een risico toe uit de risico's die u al heeft gedefinieerd voor dit risicotype.
• Laat AI nieuwe risico's voorstellen in de context van deze leverancier, deze antwoorden, en uw methodologie.

Vervolgens koppelt u de van toepassing zijnde beheersmaatregelen. AI kan deze ook voorstellen. U stelt in hoever elke beheersmaatregel is geïmplementeerd, en u verwijdert alles wat er niet thuishoort.

Sluit de evaluatie af en plan de volgende review

Wanneer de risicoreview is voltooid, vergrendelt u de evaluatie.

Vergrendelen doet drie dingen:

• Het schrijft de goedgekeurde risico's en beheersmaatregelen naar de leverancier.
• Het bevriest deze evaluatie. Vragen, antwoorden, bevindingen en risicobesluiten blijven zoals ze waren, zelfs als u later het formuliersjabloon bewerkt.
• Het stelt u in staat de volgende review te plannen, zodat de herbeoordeling een eigenaar en een datum heeft.

Nadat deze is afgesloten, schrijft u het behandelplan

Een vergrendelde evaluatie kan een behandelplan opleveren voor die leverancier en die evaluatie.

Genereer het met AI, of schrijf het zelf. Het AI-concept gebruikt het behandelplansjabloon van het leveranciersrisicotype, samen met de leverancierscontext, de risico's en beheersmaatregelen die u heeft gekoppeld, hoever die beheersmaatregelen zijn geïmplementeerd, en de vragenlijstantwoorden die u als risico's heeft gemarkeerd. Het resultaat is een document bij de evaluatie, gekoppeld aan de leverancier, dat u kunt openen en bewerken zoals elk ander document.

Het plan is het verhaal van wat u gaat doen. De vergrendelde evaluatie blijft het bewijs van wat u heeft besloten.

🔟 Wat u later nog kunt zien

Het auditlogboek bewaart het volledige verhaal: antwoorden, reviewacties, en de risico's die u heeft geselecteerd.

Voor een vraag kunt u de geschiedenis openen in plaats van alleen het laatste antwoord. Als een auditor vraagt wat deze leverancier twee jaar geleden heeft gezegd, is de evaluatie van die cyclus er nog steeds.

Wanneer u de volgende evaluatie start:

• Wordt de nieuwste versie van de formuliersjablonen gebruikt.
• Worden eerdere antwoorden overgenomen naar vragen die nog bestaan, zodat niemand vanaf een lege pagina begint.
• Wordt het werk nog steeds gemarkeerd om opnieuw te worden gedaan. Overgenomen antwoorden zijn een voorsprong, geen goedkeuring.
• Wordt geüpload bewijs gewist en moet opnieuw worden geleverd.

📌 Vergrendelen betekent dat deze evaluatie is afgesloten. Een nieuwe evaluatie is een nieuwe versie. Geschiedenis betekent dat u kunt uitleggen waarom.

✅ Een praktische checklist

• Leveranciertypen bestaan, elk met een voorbeoordeling en de due-diligenceformulieren die dat type nodig kan hebben.
• Het leveranciersdocumenttype en het standaard risicotype zijn ingesteld, inclusief het behandelplansjabloon als u AI gaat gebruiken.
• Een nieuwe leverancier start vanuit onboarding, met het type gekozen voordat vragenlijsten worden verstuurd.
• De voorbeoordeling is voltooid voordat diepgaandere formulieren worden verstuurd.
• Elke verstuurde vragenlijst heeft een echte ontvanger, die collega's kan uitnodigen.
• Reviewers gebruiken Geaccepteerd, Markeren als risico, of Update vereist, en schrijven een bevinding waar dat relevant is.
• Risico's beoordelen dekt elk gemarkeerd antwoord, met risico's en beheersmaatregelen bevestigd door een persoon.
• De evaluatie is vergrendeld, de volgende review is gepland, en het behandelplan is opgeslagen bij die evaluatie.

Bijgewerkt op: 30/09/2026