Управление рисками третьих сторон (TPRM).

Сквозная дисциплина идентификации, оценки, контрактации, мониторинга и отключения сторонних контрагентов, чтобы вносимые ими кибер-, операционные и комплаенс-риски оставались в пределах аппетита. Относится к категории Соответствие и стандарты в кибербезопасности.

Сквозная дисциплина идентификации, оценки, контрактации, мониторинга и отключения сторонних контрагентов, чтобы вносимые ими кибер-, операционные и комплаенс-риски оставались в пределах аппетита.

TPRM охватывает любые отношения, в которых организация зависит от внешних сторон — вендоров, поставщиков услуг, облачных платформ, финтех-партнёров, поставщиков n-уровня — для достижения бизнес-результатов. Типичный жизненный цикл включает: тиринг по присущему риску, due diligence (анкеты по безопасности, SOC 2, ISO 27001, выездные аудиты), договорные гарантии (право аудита, уведомление о нарушениях, условия по данным), постоянный мониторинг (рейтинги, аналитика угроз, аттестации), обработку инцидентов и отключение. Регуляторы в финансах (DORA, OCC, FFIEC), здравоохранении (HIPAA) и приватности (GDPR) предъявляют всё более детализированные требования. Современные программы интегрируют TPRM с ERM, закупками, юридической функцией и киберопераций, особо отслеживая концентрацию и риски цепочки поставок.

Защита от Управление рисками третьих сторон (TPRM) обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: TPRM, Киберриски третьих сторон.