Kristine Hageselle Engh er ekspert på tredjepartsrisiko og leverandørstyring.
– Sikkerheten er som kjent ikke sterkere enn det svakeste leddet, sier senior manager Kristine Hageselle Engh i BDO Consulting.
Hun er ekspert på tredjepartsrisiko, som lenge har vært en kjent utfordring innen cybersikkerhet.
– En leverandør kan ha tilgang til kritiske systemer og data, og bruker i sin tur gjerne flere underleverandører. Det gjør det vanskelig å holde oversikten over hvem aktørene i verdikjeden er, hvor dataene behandles, og hva som skjer dersom en av dem rammes av en sikkerhetshendelse, forteller hun.
Engh bistår daglig virksomheter med å sikre at leverandørene deres ikke blir et svakt punkt i verdikjeden, blant annet gjennom grundige anskaffelsesprosesser og løpende leverandøroppfølging.
– God leverandørstyring gir trygghet for at sikkerheten fungerer, sier hun.
Ikke alle leverandører er like kritiske, og oppfølgingen bør derfor tilpasses hvilken tjeneste leverandøren leverer, hvilke systemer og data den har tilgang til, og hva konsekvensene blir dersom leveransen faller bort.
Som første steg anbefaler Engh å kartlegge leverandørene og klassifisere dem etter kritikalitet og risiko. Det innebærer også å få oversikt over vesentlige underleverandører og avhengigheter som kan ligge flere ledd unna den direkte avtaleparten.
– Ledelsen bør kunne svare på hvilke leverandører virksomheten er mest avhengig av, hvilke tilganger de har, og hvor raskt driften blir påvirket dersom de ikke kan levere. Hvis denne oversikten først må skaffes når noe har skjedd, mister virksomheten verdifull tid, sier hun.
Hun understreker at vurderingen ikke bare bør handle om hvor mye en leverandør koster, eller hvor omfattende avtalen er.
– Selv en liten leverandør kan levere tjenester, teknologi eller kompetanse som er helt avgjørende for driften. Kritikalitet handler derfor om konsekvensene av bortfall, ikke størrelsen på leverandøren, sier Engh.
Sikkerhetskrav i leverandørkontrakten er et viktig utgangspunkt, men gir ikke alene trygghet for at risikoen er håndtert.
– Mange virksomheter stiller omfattende sikkerhetskrav når de inngår en avtale med en leverandør. Utfordringen er at kravene ikke alltid blir fulgt opp gjennom hele leverandørforholdet, og da har de begrenset verdi, forteller Engh.
Hun understreker at leverandører må følges opp gjennom hele avtaleperioden, for eksempel gjennom rapportering, revisjoner, sertifiseringer og uavhengige tredjepartsrapporter. Omfanget bør stå i forhold til risikoen og hvor kritisk leveransen er.
– Tjenester endres, nye underleverandører kommer til, og både trusselbildet og avhengigheter utvikler seg. Derfor må også sikkerhetskravene og oppfølgingen vurderes jevnlig, forklarer Engh.
Hun anbefaler også at ansvaret for oppfølging er tydelig plassert internt. Virksomheten bør vite hvem som skal motta og vurdere dokumentasjon, følge opp avvik og avgjøre om risikoen fortsatt er akseptabel.
Selv grundig leverandøroppfølging kan ikke fjerne all risiko. Engh understreker at virksomheten må ha en plan for hvordan den skal håndtere bortfall eller sikkerhetshendelser hos kritiske leverandører. Alternative løsninger, beredskap og muligheten til å avslutte eller flytte leveransen bør vurderes før behovet oppstår.
– Hva gjør vi dersom denne leverandøren ikke kan levere i morgen? Har vi alternative løsninger, tilgang til nødvendige data og kompetanse til å opprettholde de viktigste funksjonene? Hvis svaret er uklart, har virksomheten identifisert et beredskapsbehov, sier Engh.
Hun anbefaler også å trekke kritiske leverandører inn i beredskapsøvelser. Det kan avdekke uklarheter i ansvar, varsling og kommunikasjon før en virkelig hendelse setter samarbeidet på prøve.
– Virksomheten og leverandøren kan hver for seg ha gode planer. Det avgjørende er om planene fungerer sammen når situasjonen er uoversiktlig og tiden er knapp, avslutter hun.
Finn ut hvordan BDO kan bistå virksomheten din med risikostyring og sikkerhet.
Virksomheter som kan svare tydelig på disse spørsmålene, har et bedre utgangspunkt for å håndtere risikoen i leverandørkjeden:
Ønsker du å få tilsendt lignende saker? Meld deg på nyhetsbrevet vårt og få nyheter og innsikt fra BDO 1-2 ganger i måneden.