Đánh giá rủi ro nhà cung cấp: Phương pháp phân cấp, song song

Đánh giá rủi ro nhà cung cấp là gì?

Đánh giá rủi ro nhà cung cấp biến một mối quan hệ dự kiến thành một quyết định có giới hạn về mức độ tiếp xúc. Nó xác định những gì nhà cung cấp sẽ làm, những hệ thống, dữ liệu, địa điểm, con người, quỹ hoặc hoạt động được quản lý mà nó có thể ảnh hưởng, bằng chứng nào là cần thiết và chủ sở hữu nào có thể chấp nhận, giảm thiểu, chuyển giao hoặc tránh rủi ro phát sinh. Kết quả không chỉ đơn thuần là một điểm số. Đó là một bản ghi kết nối bằng chứng, các câu hỏi chưa được giải quyết, kiểm soát, chủ sở hữu, thời gian và quyết định tiếp theo.

Hồ sơ đó nên đi kèm với mối quan hệ. Một kiểm tra tiền đủ điều kiện có thể quyết định liệu nhà cung cấp có thể tham gia một sự kiện tìm nguồn cung ứng hay không; một đánh giá sau đó có thể quyết định liệu nhà cung cấp có thể truy cập dữ liệu sản xuất hay không; giám sát liên tục có thể thay đổi làn đường sau khi kiểm soát thất bại hoặc cảnh báo tài chính. Đây là lý do tại sao việc đánh giá thuộc về quy trình giới thiệu nhà cung cấp, chứ không phải là một biểu mẫu tách rời biến mất sau khi được phê duyệt.

Những tín hiệu rủi ro nào nên thiết lập cấp độ rủi ro ban đầu?

Bắt đầu với những hậu quả mà chủ doanh nghiệp có thể mô tả: sự phụ thuộc vào hoạt động, thời gian thay thế, quyền truy cập hệ thống và dữ liệu, quyền truy cập vật lý, quyền giao dịch, hợp đồng phụ, phạm vi địa lý, tính liên tục của dịch vụ và ảnh hưởng của việc nhà cung cấp thất bại. Thêm giá trị hợp đồng và tính trọng yếu về tài chính, nhưng đừng để chi tiêu lấn át một rủi ro nghiêm trọng hơn. Mục đích của lần đánh giá đầu tiên không phải là quyết định rủi ro cuối cùng; mà là để chuyển các câu hỏi phù hợp đến đúng người đánh giá.

Chuyển đổi các tín hiệu đó thành một số ít các cấp được đặt tên với các ngưỡng bằng chứng rõ ràng. Hướng dẫn hiện tại của NIST nói việc điều chỉnh phải được giới hạn trong các nhu cầu quản lý rủi ro của tổ chức. Đối với mỗi cấp, hãy xác định người đánh giá mặc định, bằng chứng yêu cầu, thời gian phản hồi, yếu tố kích hoạt leo thang, thời hạn và tần suất giám sát. Sau đó cho phép một phát hiện nâng cấp cấp; không bao giờ cho phép thông tin bị thiếu làm giảm cấp một cách âm thầm.

Làm thế nào người yêu cầu có thể tránh hoàn thành ba bảng câu hỏi khác nhau?

Tách bối cảnh kinh doanh khỏi bằng chứng chuyên môn. Người yêu cầu nên giải thích nhu cầu, mục đích sử dụng, người dùng, thời gian, sự phụ thuộc, điểm tiếp xúc dữ liệu và hệ thống, các lựa chọn thay thế và nhà tài trợ chịu trách nhiệm. Bộ phận mua sắm có thể giải quyết danh tính nhà cung cấp và bối cảnh thương mại; tài chính, vận hành và bảo mật sau đó có thể kiểm tra cùng một hồ sơ và chỉ yêu cầu bằng chứng mà các quyết định của họ cần. Người yêu cầu không nên phải dịch các kiểm soát chuyên môn hoặc đối chiếu các biểu mẫu mâu thuẫn.

• Tạo một hồ sơ quan hệ ổn định với chủ sở hữu doanh nghiệp được chỉ định và danh tính nhà cung cấp.
• Tái sử dụng bằng chứng hiện có đã được xác minh cho nhà cung cấp đó và mục đích sử dụng; ghi lại tuổi và phạm vi của nó.
• Chuyển các khoảng trống cho người đánh giá miền có trách nhiệm thay vì gửi toàn bộ thư viện bằng chứng cho mọi người.
• Gửi yêu cầu hợp nhất cho nhà cung cấp khi một số làn cần bằng chứng liên quan.
• Hiển thị cho người yêu cầu những gì đã hoàn thành, những gì đang chờ xử lý, phát hiện nào quan trọng và ai là người chịu trách nhiệm cho hành động tiếp theo.

Làm thế nào để các nhóm có thể thực hiện đánh giá rủi ro song song mà không mất kiểm soát?

• Điều kiện đầu vào: ngữ cảnh kinh doanh tối thiểu và danh tính nhà cung cấp cần thiết trước khi bắt đầu công việc chuyên môn.
• Câu hỏi Lane: quyết định chính xác thuộc sở hữu của bộ phận vận hành, tài chính hoặc an ninh, không có đánh giá tổng hợp trùng lặp.
• Mức độ bằng chứng tối thiểu: tập hợp bằng chứng nhỏ nhất có thể trả lời câu hỏi của luồng đó ở cấp độ được chỉ định.
• Phụ thuộc: một người tiền nhiệm được chỉ định chỉ khi phát hiện của một luồng khác thay đổi đáng kể đánh giá này.
• Ngừng kích hoạt: phát hiện làm tạm dừng mối quan hệ bị ảnh hưởng hoặc nâng cấp cấp độ của mối quan hệ đó, mà không đóng băng các yêu cầu không liên quan.
• Trạng thái thoát: đạt, đạt có điều kiện, cần bằng chứng, giảm thiểu, chấp nhận hoặc từ chối—mỗi loại có chủ sở hữu và lý do.
• Quy tắc mở lại: ngày, sự kiện, thời hạn bằng chứng hết hạn hoặc thay đổi mức độ phơi nhiễm dẫn đến quyết định xem xét lại.

Hợp đồng định tuyến rủi ro này làm cho công việc song song có thể kiểm toán được. Các luồng độc lập bắt đầu cùng nhau; các tác vụ phụ thuộc chờ đợi một lý do được chỉ định; một yếu tố kích hoạt dừng được xác định hoặc một quyết định ngoại lệ có trách nhiệm có thể tạm dừng hoặc leo thang mối quan hệ. Một điều phối viên có thể xem liệu sự chậm trễ là do thiếu bằng chứng của nhà cung cấp, năng lực của người đánh giá, một sự phụ thuộc thực sự, một phát hiện vật chất không lường trước được, hay một quyết định chưa được giải quyết. Sự phân biệt đó quan trọng hơn một bộ đếm thời gian đầu cuối duy nhất vì mỗi nguyên nhân có một biện pháp khắc phục khác nhau.

Khi nào nên ưu tiên đánh giá nhà cung cấp thay vì bỏ qua?

Một lộ trình nhanh là một lộ trình bằng chứng nhỏ hơn với các ranh giới rõ ràng, không phải là không có đánh giá. NIST cho phép tùy ý xem xét bao nhiêu phần trong cơ sở của nó đối với một nguồn không quan trọng, nhưng nói rằng những phát hiện đáng tin cậy có thể yêu cầu đánh giá toàn diện hơn. Mô hình an toàn là tăng tốc có điều kiện: chứng minh các điều kiện phơi nhiễm thấp, nêu rõ những gì còn lại ngoài phạm vi, đặt thời hạn và tự động nâng cấp cấp độ khi một yếu tố kích hoạt xuất hiện.

• Là một mức tối thiểu không đầy đủ, mục đích sử dụng không có quyền truy cập vào hệ thống đặc quyền, dữ liệu sản xuất, thanh toán, thông tin cá nhân, dữ liệu bảo mật, dữ liệu được quy định hoặc quyền truy cập vật lý nhạy cảm.
• Lỗi vận hành có một phương án thay thế đã được thử nghiệm hoặc lộ trình khôi phục có thể chấp nhận được.
• Nhà cung cấp và dịch vụ khớp với hồ sơ mối quan hệ hiện tại, đã được xem xét trước đó.
• Các đánh giá bắt buộc về lệnh trừng phạt, danh tính, thuế, bảo hiểm, chính sách, an toàn, pháp lý, quy định và các đánh giá chuyên môn bắt buộc khác đã hoàn tất cho phạm vi đã xác định.
• Chủ sở hữu doanh nghiệp chấp nhận các điều kiện được ghi lại và ngày đánh giá lại có thời hạn.
• Bất kỳ thay đổi nào trong việc sử dụng, truy cập, hợp đồng phụ, địa lý, mức độ quan trọng hoặc chất lượng bằng chứng đều mở lại làn đường liên quan.

Thông tin thiếu không phải là bằng chứng của rủi ro thấp. Hướng dẫn liên ngành nói rằng các tổ chức nên ghi lại các hạn chế thẩm định, hiểu các rủi ro phát sinh và xem xét các lựa chọn thay thế, chẳng hạn như thông tin khác, kiểm soát bổ sung, giám sát hoặc một bên thứ ba khác. Ngoài lĩnh vực ngân hàng, nguyên tắc chuyển nhượng rất rõ ràng: sự không chắc chắn cần một sự sắp xếp và chủ sở hữu. Nó không nên biến mất đằng sau một điểm số không đầy đủ.

Báo cáo đánh giá rủi ro nhà cung cấp nên chứa những gì?

• Phạm vi mối quan hệ, mục đích sử dụng, chủ sở hữu kinh doanh, danh tính nhà cung cấp và thời hạn quyết định.
• Cấp độ ban đầu, các yếu tố phân cấp, ngày bằng chứng và mọi giả định hoặc thông tin còn thiếu.
• Tách biệt các phát hiện về vận hành, tài chính và bảo mật, mỗi phát hiện đều có bằng chứng, mức độ nghiêm trọng, độ tin cậy và chủ sở hữu.
• Sự phụ thuộc giữa các phát hiện và lý do tại sao bất kỳ nhiệm vụ nào cũng phải tuần tự.
• Trạng thái quyết định, điều kiện, biện pháp giảm thiểu, rủi ro còn lại được chấp nhận, quyền hạn ngoại lệ và thời hạn hết hiệu lực.
• Giám sát tín hiệu, tần suất đánh giá lại, kích hoạt mở lại và lịch sử thay đổi bất biến.

Báo cáo nên giúp hành động dễ dàng hơn, chứ không chỉ làm cho việc đo lường trở nên rõ ràng. Schoenherr và các đồng nghiệp cảnh báo rằng việc đo lường rủi ro không nên chỉ được thực hiện vì mục đích đo lường mà cần phải có hành động tiếp theo. Do đó, mọi phát hiện quan trọng đều cần có hậu quả: yêu cầu bằng chứng, thêm kiểm soát, thay đổi điều khoản, hạn chế quyền truy cập, giám sát, chấp nhận, chọn một giải pháp thay thế hoặc dừng lại. Nếu không ai có thể hành động trên một trường, hãy xem xét lại lý do tại sao nó có trong báo cáo.

Các tín hiệu khó khăn tài chính nên được sử dụng như thế nào?

Sử dụng các chỉ số tài chính để quyết định điều cần điều tra, không phải để mô phỏng sự chắc chắn. Trong bộ dữ liệu công ty đại chúng lịch sử của Audit Analytics, khoảng 84% công ty nộp đơn phá sản trong khoảng thời gian từ 2014 đến 2019 có điểm Altman Z-Score đáng chú ý trong ba năm trước đó. Quan sát đó có thể biện minh cho việc xem xét kỹ lưỡng tình hình tài chính xấu đi, nhưng nó không phải là xác suất thất bại của nhà cung cấp và không trực tiếp chuyển sang các doanh nghiệp tư nhân hoặc doanh nghiệp ít tài sản.

Phân tích tương tự cũng lưu ý rằng số lượng công ty có điểm Z đáng chú ý không phá sản nhiều hơn số lượng công ty phá sản đáng kể. Một dấu hiệu cảnh báo đỏ sẽ mở ra một cuộc xem xét cân xứng về tính thanh khoản, đòn bẩy, tạo tiền mặt, tập trung, bảo hiểm, tính liên tục, chất lượng công bố thông tin và các biện pháp bảo vệ theo hợp đồng. Ghi lại biến thể mô hình và ngày dữ liệu, sau đó để chủ sở hữu tài chính diễn giải tín hiệu trong bối cảnh thực tế của nhà cung cấp. Không chuyển đổi ngưỡng thành quy tắc từ chối tự động.

Nên đánh giá lại rủi ro nhà cung cấp bao lâu một lần?

Sử dụng cả nhịp độ và sự kiện. Hướng dẫn liên ngành nói rằng việc giám sát có thể định kỳ hoặc liên tục và rằng giám sát toàn diện hơn hoặc thường xuyên hơn là phù hợp cho các mối quan hệ rủi ro cao hơn. Đặt khoảng thời gian xem xét tối đa theo cấp độ, sau đó mở lại sớm hơn khi quyền truy cập, quyền sở hữu, hợp đồng phụ, địa lý, tình hình tài chính, hiệu suất, sự cố, quy định hoặc mức độ quan trọng của doanh nghiệp thay đổi. Thời hạn hiệu lực của bằng chứng phải được hiển thị trước khi trở thành một lỗ hổng tiềm ẩn.

Liên tục không có nghĩa là toàn diện. Bài báo được bình duyệt nói rằng không phải mọi quyết định đều phải được thực hiện sau một bài tập đo lường rủi ro toàn diện; nó lập luận rằng mức độ nghiêm ngặt phải phù hợp với quyết định cụ thể. Tự động hóa việc thu thập và nhắc nhở khi bằng chứng ổn định, nhưng yêu cầu diễn giải của con người đối với những thay đổi quan trọng, các trường hợp ngoại lệ, tín hiệu mâu thuẫn và chấp nhận rủi ro còn lại.

Các tác nhân AI thay đổi đánh giá rủi ro nhà cung cấp như thế nào?

Làm thế nào để bạn triển khai đánh giá rủi ro nhà cung cấp theo cấp độ mà không tạo ra nút thắt cổ chai mới?

1. Chọn một loại yêu cầu phổ biến và lập bản đồ các trạng thái chờ hiện tại, yêu cầu bằng chứng, chủ sở hữu quyết định và các phụ thuộc thực sự của nó.
2. Xác định một bản ghi đầu vào và một mô hình phân cấp nhỏ; kết nối nó với cách các nhóm đã thực hiện khám phá nhà cung cấp.
3. Viết các câu hỏi về vận hành, tài chính và bảo mật cùng với bằng chứng, yếu tố kích hoạt dừng và trạng thái thoát của chúng.
4. Chạy đồng thời các luồng trên một mẫu nhỏ trong khi vẫn giữ mọi quyết định do con người sở hữu; đo thời gian theo trạng thái và lý do, không chỉ từ đầu đến cuối.
5. Xem xét các trường hợp leo thang sai, rủi ro bị bỏ lỡ, bằng chứng không đầy đủ, nỗ lực của người yêu cầu, nỗ lực của người đánh giá, các trường hợp ngoại lệ và các quyết định được mở lại trước khi mở rộng.
6. Phiên bản hợp đồng định tuyến, quy tắc bằng chứng và quyền sở hữu; đưa hồ sơ kết quả vào quản lý quan hệ nhà cung cấp.
7. Chỉ loại bỏ các biểu mẫu trùng lặp và các trường không sử dụng sau khi hồ sơ quyết định mới chứng minh rằng bằng chứng cần thiết vẫn hiển thị.