Start · Lösungen · Weitere Lösungen
Lösung · Weitere LösungenVierhundert Dienstleister halten Ihre Daten, und die Tabelle darüber hat einen Eigentümer
Jeder Dienstleister mit Datenzugriff ist aktuell geprüft
Jeder Dienstleister mit Daten- oder Systemzugriff hat eine aktuelle Prüfung, einen Eigentümer und ein Ablaufdatum, das Nachhalten läuft nach Zeitplan, und Analysten bestätigen jeden Registerwert.
Kurzfassung für die Geschäftsführung
Dienstleisterprüfungen leben in einer Tabelle, Zertifikate in Postfächern, und den Ablauf entdeckt der Prüfer.
Zwei Dinge fehlen heute, und keines davon ist ein Werkzeug: ein System of Record, in das andere Systeme schreiben, und ein Mechanismus, der bemerkt.
Jeder Dienstleister mit Datenzugriff hat eine aktuelle Prüfung, einen benannten Eigentümer und ein Ablaufdatum.
das Register in Microsoft Lists oder Dataverse; SharePoint-Nachweisbibliothek; Power BI
Geschäftliches Problem
Dienstleistersicherheit
Die Sicherheitsprüfung von Dienstleistern ist ein Prozess, dessen Bedeutung alle anerkennen und den niemand durchgängig verantwortet. Der Einkauf legt den Dienstleister an, die IT vergibt den Zugriff, die Sicherheit verschickt den Fragebogen, die Rechtsabteilung zeichnet den Auftragsverarbeitungsvertrag, und das Register, das alles verbinden sollte, ist eine Tabelle, die nebenbei gepflegt wird.
Fragebögen gehen als Anhang hinaus und kommen Wochen später teilweise ausgefüllt zurück, mit Zertifikaten, die niemand auf Geltungsbereich und Ablauf prüft. Aus einem SOC-2-Bericht die wenigen relevanten Fakten zu ziehen kostet eine Analystin rund eine Stunde, und das Ergebnis wird von Hand ins Register übertragen.
Prüfungen sind laut Richtlinie jährlich und in der Praxis gelegentlich, weil nichts daran erinnert. Auch verbindet nichts das Register mit den Ereignissen, die Dienstleister entstehen lassen, sodass ein Lieferant angelegt, mit einem Gastkonto versehen und ein Jahr lang bezahlt werden kann, bevor die Sicherheit den Namen kennt.
Das Problem hält sich, weil die Arbeit verteilt und wenig sichtbar ist und weil die Folge, ein Prüfungsbefund oder ein Vorfall über einen Dienstleister, lange nach dem Versäumnis eintritt. Die Kosten sind null, bis sie sehr groß sind.
Wie es heute läuft
- MenschDer Einkauf legt einen Dienstleister an und die IT vergibt Zugriff; die Sicherheit erfährt es später, manchmal über die Rechnung
- MenschEine Analystin schickt den Fragebogen als Word-Dokument an eine Kontaktadresse
- WartezeitDer Dienstleister antwortet nach zwei Erinnerungen und mehreren Wochen, teilweise
- MenschDie Analystin liest Fragebogen, Zertifikat und einen etwaigen SOC-2-Bericht und überträgt die Kernpunkte
- FehlerrisikoGeltungsbereich und Ablauf des Zertifikats werden notiert oder nicht, je nachdem, wer geprüft hat und wie voll die Woche war
- SystemEin nächster Prüftermin wird in die Tabelle getippt, wo nichts darauf reagieren wird
- WartezeitDer Termin verstreicht unbemerkt, und der Zugriff läuft unabhängig vom Prüfstatus weiter
- FehlerrisikoEin Prüfer verlangt Nachweise, und Analysten durchsuchen Postfächer nach Dokumenten, die mit einer Kollegin gegangen sind
Warum der heutige Prozess mehr kostet als sichtbar
Hinter jeder Ausnahme steht eine Stunde, die niemand erfasst hat.
- Die Analystenstunden je Prüfung sind überschaubar, das Risiko ist es nicht. Ein Dienstleister mit abgelaufenen Kontrollen und aktivem Zugriff auf Patienten- oder Gehaltsdaten ist ein Vorfall, der auf ein Datum wartet, und Aufsichtsbehörden behandeln Fehler in der Lieferkette als Fehler des Hauses.
- Die Prüfungsvorbereitung wird jedes Jahr zum Projekt, weil die Nachweise über Postfächer, Laufwerke und persönliche Ordner verstreut sind statt an einem Ort zu liegen.
- Cyberversicherer fragen nach dem Drittparteiprogramm und bepreisen die Antwort, sodass ein schwaches Register jährlich bezahlt wird, ob etwas passiert oder nicht.
- Die Abhängigkeit von einer Person ist erheblich. Geht die Analystin mit der Tabelle, beginnt das Programm von vorn, und die Dienstleister, an die niemand denkt, sind die, die niemand prüft.
- Doppelarbeit verdeckt Lücken: Ein Dienstleister wird von zwei Abteilungen zweimal geprüft, ein anderer nie, weil keine Liste sagt, wer was hält.
Kosten des Nichthandelns
Die Zahl der Dienstleister steigt mit jedem neuen Dienst, Cloud-Werkzeug und ausgelagerten Bereich, und jeder Zugang ist eine Zeile, die niemand pflegt. Der Anteil abgelaufener Prüfungen wächst leise, und der Dienstleister mit den schwächsten Kontrollen ist der, den seit dem Onboarding niemand angesehen hat. Versicherer bepreisen das Programm in der Prämie, und Aufsichtsbehörden, die Nachweise zur Lieferkette verlangen, werten eine Tabelle zunehmend als Befund statt als Antwort.
Dann stellt jemand die einfache Frage: Zeigen Sie mir die aktuelle Sicherheitsprüfung des Payroll-Dienstleisters. Heute kostet das einen Tag Suche und ergibt einen Fragebogen von vor drei Jahren, ein im Frühjahr abgelaufenes Zertifikat und eine Mail mit der Zusage, das neue zu schicken. Die Analysten, die das von Hand zusammenhalten, brennen am Nachhalten aus und gehen, was das Programm auf das zurücksetzt, was die nächste Person rekonstruieren kann.
Eine plausible Organisation mit realistischen Größenordnungen. Die Zahlen sind zum Nachrechnen mit Ihren Daten gedacht, kein Kundenergebnis.
Eine private Gesundheitsgruppe mit 3.400 Beschäftigten, die Kliniken und diagnostische Labore in zwei Ländern betreibt, der DSGVO unterliegt und als wesentliche Einrichtung den NIS2-Pflichten, mit Microsoft 365, Teams, SharePoint und Microsoft Entra ID sowie Power BI, das die Finanzabteilung bereits nutzt.
Rund 420 Dienstleister halten Patienten-, Personal- oder Finanzdaten oder greifen auf interne Systeme zu: Laborsoftware, Bildgebung, Payroll, Cloud-Hosting, Gerätewartung, Agenturen. Bei jährlicher Prüfung sind das etwa 35 Prüfungen im Monat.
Fünf Personen in der Sicherheit und acht im Einkauf teilen sich die Verantwortung, geführt in einem Excel-Register. Fragebögen sind Word-Dokumente, Zertifikate und SOC-2-Berichte kommen per Mail, eine GRC-Plattform gibt es nicht.
Etwa 3,2 Stunden je Prüfung, überwiegend Nachhalten, Lesen, Extrahieren und Abtippen statt Beurteilen, dazu rund 120 Stunden im Jahr, um Nachweise für Prüfung und Versicherung zusammenzutragen.
Das Register wird ein System mit einem Roboter dahinter: Zeilen aus den Ereignissen, die Dienstleister entstehen lassen, risikoabgestufte Fragebögen mit planmäßigem Nachhalten, Nachweise in einer Bibliothek, aus den Dokumenten vorgeschlagene und von Analysten bestätigte Werte, Ablauftermine mit Eskalation in Teams.
Im Modell wird die Abdeckung eine Zahl mit Trend, das Nachhalten hängt nicht mehr am Gedächtnis, und Prüfungsnachweise sind ein Export. Nichts hiervon ist ein gemessenes Kundenergebnis; Ihr eigenes Register wird diese Zahlen verschieben.
Vorgeschlagene Lösung
Zwei Dinge fehlen heute, und keines davon ist ein Werkzeug: ein System of Record, in das andere Systeme schreiben, und ein Mechanismus, der bemerkt, wenn ein Datum verstreicht. Beides liefern wir, im Tenant, den Sie ohnehin betreiben.
Das Register liegt in Microsoft Lists oder in Dataverse, wo das Volumen es rechtfertigt: eine Zeile je Dienstleister mit Datenklassifizierung, Zugriffsart, Risikostufe, benanntem Eigentümer, Prüfstatus, Fälligkeit und Zertifikatsablauf. Zeilen entstehen aus den Ereignissen, die Dienstleister entstehen lassen, einem Onboarding-Eintrag, einem unterschriebenen Vertrag, einem Gastkonto in Microsoft Entra ID, sodass die Liste nicht mehr davon abhängt, dass jemand an eine Zeile denkt.
Fragebögen sind Microsoft Forms, nach Risiko abgestuft, damit eine Marketingagentur nicht die Fragen eines Hosting-Anbieters beantwortet. Ein Roboter verschickt sie, hält in festgelegten Abständen über den Outlook 365 Konnektor nach, sammelt Antworten und Dokumente in einer SharePoint-Nachweisbibliothek und akzeptiert einen vorhandenen SOC-2-Bericht oder ein ISO-27001-Zertifikat für die Abschnitte, die sie abdecken. UiPath GenAI Activities lesen diese Dokumente und schlagen Registerwerte vor: Gültigkeit und Geltungsbereich des Zertifikats, Unterauftragsverarbeiter, Verschlüsselung, Meldefristen bei Vorfällen. Jeder Vorschlag kommt mit der Textstelle, aus der er stammt, als UiPath Action Center Validierungsaufgabe in Microsoft Teams, und eine Analystin bestätigt oder korrigiert ihn. Nichts gelangt unvalidiert ins Register.
Danach erledigt der Roboter, was Menschen am schlechtesten liegt: Fälligkeiten und Abläufe verfolgen, den benannten Eigentümer in Teams erinnern, überfällige Dienstleister hoher Stufe an den CISO eskalieren und abgelaufene Prüfungen an die Zugriffsüberprüfung melden, damit Prüfstatus und Zugriff aufhören, unverbundene Tatsachen zu sein. Power BI zeigt Abdeckung, überfällige Prüfungen, ablaufende Zertifikate und Stufen, mit einem Export, den ein Prüfer mitnehmen kann. Lieferanten-Onboarding und Sanktionsscreening sind eigene Lösungen hier; diese Seite behandelt die Sicherheitsprüfung, die danach weiterläuft.
Microsoft Lists oder Dataverse mit Regeln und Versionshistorie; Microsoft Forms; SharePoint-Nachweisbibliothek mit Vertraulichkeits- und Aufbewahrungsbezeichnungen; UiPath Action Center Validierungsaufgaben in Microsoft Teams; UiPath GenAI Activities unter dem UiPath AI Trust Layer; UiPath Orchestrator Trigger, Warteschlangen und Prüfpfad; Zugriffsüberprüfungen in Microsoft Entra ID
Das Registermodell und seine Risikostufenregeln; die Fragebogenstufen und ihre Zuordnung zu Nachweisarten; die Roboter für Versand, Nachhalten und Sammeln; das Design von Extraktion und Validierungsaufgabe; die Logik für Fälligkeiten, Abläufe, Erinnerungen und Eskalationen; die Meldung an die Zugriffsüberprüfung; die Power BI Abdeckungssicht und den Prüferexport
Registeranlage aus der Onboarding-Quelle des Einkaufs oder dem ERP-Lieferantenstamm und aus unterschriebenen Verträgen; Gastkonto-Ereignisse aus Microsoft Entra ID; Datensatzanlage in einer GRC-Plattform, falls später eine kommt
So läuft der automatisierte Prozess
- AutomatisierungEin Dienstleister mit Daten- oder Systemzugriff erscheint im Onboarding, in einem unterschriebenen Vertrag oder als Gastkonto, und eine Registerzeile entsteht
- SystemDie Risikostufe folgt per Regel aus Datenklassifizierung und Zugriffsart, und die Fragebogenstufe folgt aus der Risikostufe
- AutomatisierungDer Roboter verschickt den Fragebogen und hält in festgelegten Abständen nach, wobei vorhandene SOC-2- oder ISO-Nachweise für die abgedeckten Abschnitte akzeptiert werden
- AutomatisierungAntworten und Dokumente landen in der Nachweisbibliothek, und die Extraktion schlägt Registerwerte mit der Quelltextstelle vor
- MenschEine Analystin validiert jeden vorgeschlagenen Wert in einer Action Center Aufgabe in Teams und korrigiert, was die Extraktion falsch gelesen hat
- MenschErgeben sich Befunde, entscheiden Eigentümer und Sicherheit über Behebung, Akzeptanz oder Trennung
- AutomatisierungDie Prüfung schließt mit nächster Fälligkeit und verfolgtem Zertifikatsablauf, und die Erinnerungen laufen ab diesen Daten
- AutomatisierungAbdeckung, überfällige Prüfungen und ablaufende Zertifikate erscheinen in Power BI, mit einem Nachweisexport für Prüfer
Modell der Mensch-Maschine-Zusammenarbeit
Die Automatisierung übernimmt
- Registerzeilen aus Onboarding, Verträgen und Gastkonten, mit per Regel gesetzter Risikostufe
- Fragebogenversand, planmäßiges Nachhalten und das Sammeln der Nachweise in einer Bibliothek
- Vorgeschlagene Registerwerte aus Berichten und Antworten, jeder mit seiner Quelltextstelle
- Fälligkeiten, Abläufe, Erinnerungen, Eskalationen, Meldungen an die Zugriffsüberprüfung und die Abdeckungssicht
Menschen entscheiden
- Über jeden Wert, der ins Register gelangt, bestätigt in einer Validierungsaufgabe vor der Speicherung
- Über die Risikostufe, wo die Regel diskutabel ist, und darüber, was ein Befund praktisch bedeutet
- Über Behebung, Risikoakzeptanz und Trennung, mit dokumentierter und datierter Akzeptanz
- Über die Richtlinie: Prüfhäufigkeit, Stufendefinitionen und den Inhalt des Fragebogens
Vorher und nachher
Systeme und Integrationen
Jeder Eintrag lässt sich in der Herstellerdokumentation prüfen. Die Evidenzklasse steht daneben.
Eingänge
- Onboarding-Einträge des Einkaufs oder der ERP-Lieferantenstamm
- unterschriebene Verträge
- Gastkonten in Microsoft Entra ID
- Fragebogenantworten
- Zertifikate und Prüfberichte
Automatisierungsebene
- UiPath Orchestrator
- UiPath Robots
- UiPath GenAI Activities
- UiPath Action Center
- UiPath Integration Service
Zielsysteme
- das Register in Microsoft Lists oder Dataverse
- SharePoint-Nachweisbibliothek
- Power BI
- eine GRC-Plattform, wo vorhanden
Berührungspunkte für Menschen: Validierungsaufgaben in Microsoft Teams; Erinnerungen an Eigentümer und Eskalationen an den CISO; die Befundentscheidung mit dem Eigentümer
Eingesetzte Technologien
das Register: eine Zeile je Dienstleister mit Stufe, Eigentümer, Status sowie Prüf- und Zertifikatsdaten
Arisikoabgestufte Fragebögen an Dienstleister, Antworten automatisch gesammelt
AVersand, planmäßiges Nachhalten, Nachweissammlung, Terminverfolgung, Eskalation
Aschlagen Registerwerte aus Berichten und Antworten vor, mit Modellfreigabeliste, EU-Routing und Protokoll
AValidierung jedes vorgeschlagenen Werts durch Analysten vor dem Registereintrag
ADienstleistermail, Antworten und die Nachweisbibliothek
AGastkonten erzeugen eine Prüfzeile; eine abgelaufene Prüfung meldet die Konten zur Zugriffsüberprüfung
AAbdeckung, überfällige Prüfungen und ablaufende Zertifikate nach Stufe, mit dem Prüferexport
ABeispielhaftes Wirtschaftlichkeitsmodell
Die Rechnung ist offen, damit man ihr widersprechen kann.
Die Einheit ist hier eine Prüfung und jene Hälfte davon, die mechanisch ist. Eine Prüfung dauert heute 3,2 Stunden, also 192 Minuten; Nachhalten, Sammeln, Lesen, Extrahieren und Abtippen machen etwa die Hälfte aus, deshalb trägt der Rechner 96 Minuten je Prüfung und lässt den Rest bei den Analysten, wo die Beurteilung hingehört. Der Stundensatz von 58 € ist ein angenommener Vollkostensatz für Sicherheitsanalysten, und nichts davon wurde bei einem Kunden gemessen. Die Prüfungsvorbereitung wird unten getrennt gerechnet, und der Vorfall, den dieses Programm verhindern soll, wird gar nicht gerechnet.
Rechnen Sie mit Ihren Zahlen
Eine illustrative Schätzung aus Ihren Eingaben. Sie modelliert freigesetzte Kapazität und verspricht keine Einsparung.
Geschäftlicher Nutzen
- Jeder Dienstleister mit Datenzugriff hat eine aktuelle Prüfung, einen benannten Eigentümer und ein Ablaufdatum, weil Zeilen aus Ereignissen entstehen und nicht aus Erinnerung
- Das Nachhalten läuft nach Zeitplan statt nach Aufmerksamkeit, sodass Antwortzeiten sinken und Analysten aufhören, das Erinnerungssystem zu sein
- Das Lesen eines SOC-2-Berichts wird zu einer kurzen Validierung mit gezeigter Textstelle statt zu einer Stunde Extraktion je Dienstleister
- Zertifikatsabläufe und überfällige Prüfungen erscheinen Wochen vorher in Teams statt erst in der Prüfung
- Zugriff und Prüfstatus sind endlich verbunden, sodass eine abgelaufene Prüfung die Menschen erreicht, die das Konto sperren können
- Nachweise für Prüfung und Versicherung sind ein Export aus einer Bibliothek statt eines Projekts in jedem Frühjahr
Die Managementsicht
- Abdeckung als Zahl mit Trend: Dienstleister im Umfang, aktuell, überfällig, ablaufend, nach Risikostufe, ohne dass jemand sie zusammenstellt
- Benannte Eigentümer, die automatisch erinnert werden, wodurch Verantwortung ohne Sitzung sichtbar wird
- Ausnahmen und Risikoakzeptanzen dokumentiert mit Person, Begründung und Befristung
- Ein Programm, das Personalwechsel übersteht, weil es ein System mit Historie ist und keine Datei mit Eigentümer
KPIs für die Geschäftsführung
Sicherheit und Governance
Sicherheit wird mit dem Prozess entworfen, nicht danach.
- Dienstleisternachweise enthalten oft vertrauliche Prüfberichte, deshalb hat die Bibliothek eingeschränkte Berechtigungen, Vertraulichkeitsbezeichnungen und eine Aufbewahrungsbezeichnung nach Ihrer Richtlinie
- Die Extraktion läuft unter dem UiPath AI Trust Layer mit freigegebenem Modell und Routing in die EU-Region, und eine benannte Analystin bestätigt jeden Vorschlag, bevor sich das Register ändert
- Das Register führt Versionshistorie: wer welchen Wert wann bestätigt hat und was vorher dort stand
- Roboter nutzen Dienstkonten, begrenzt auf das Dienstleisterpostfach, die Formulare, die Bibliothek und das Register, mit Geheimnissen in einem Tresor statt im Ablauf
- Kontaktdaten der Dienstleister sind die einzigen verarbeiteten personenbezogenen Daten, innerhalb der EU-Datengrenze von Microsoft 365 und der EU-Region der UiPath Automation Cloud; Ausnahmen und Risikoakzeptanzen werden mit Person, Begründung und Befristung erfasst
Warum jetzt
Lieferkettensicherheit ist für viele Branchen von guter Praxis zu Recht geworden: Die Richtlinie (EU) 2022/2555, die NIS2-Richtlinie, verlangt von wesentlichen und wichtigen Einrichtungen, Drittparteirisiken zu steuern und dies nachzuweisen
Dienstleister halten heute den Großteil der Unternehmensdaten in eigenen Clouds, und Gastkonten in Microsoft Entra ID geben ihnen Zugriff, den keine Tabelle sieht, weshalb das Register aus Ereignissen entstehen muss statt von Hand
Extraktion unter dem AI Trust Layer mit einer Analystin, die jeden Wert bestätigt, macht das Lesen von Dienstleisterberichten in der Breite praktikabel, und Lists, Forms und Teams liefern Register, Fragebogen und Erinnerungen in einem Tenant, den Sie bereits bezahlen
Relevante Führungsrollen
Die Abdeckung wird eine Zahl mit Trend, das Nachhalten läuft automatisch, und ablaufende Kontrollen zeigen sich, bevor ein Prüfer fragt
Die Sorgfaltspflicht in der Lieferkette nach DSGVO und NIS2 ist je Dienstleister belegt, mit Verarbeitungsbedingungen, die zur Praxis passen
Der Prüfstatus ist vor Unterschrift und Verlängerung sichtbar, und Dienstleister werden von einem System nachgehalten statt vom Einkaufspersonal
Der Dienstleisterzugriff in Microsoft Entra ID ist an den Prüfstatus gekoppelt, was die Lücke zwischen Verzeichnis und Register schließt
Häufige Fragen und Einwände
Das Register kann dort einziehen, sobald sie da ist. Nachhalten, Nachweissammlung und Extraktion sind die Arbeit, die ein GRC-Werkzeug weiterhin Menschen überlässt, und die Roboter erledigen sie gegen jedes Register, bei dem Sie landen.
Sie tun es bereits, nur langsam. Planmäßiges Nachhalten, ein kurzer abgestufter Bogen und die Anerkennung vorhandener SOC-2- oder ISO-Nachweise statt Antworten senken die Last auf beiden Seiten, und die Antwortzeit wird eine steuerbare Zahl.
Das Modell schlägt einen Wert vor und zeigt die Textstelle, aus der er stammt; eine Analystin bestätigt jeden einzelnen unter ihrer eigenen Identität. Nichts gelangt unvalidiert ins Register, und das Protokoll zeigt, wer bestätigt hat.
Wann diese Lösung nicht passt
- Weniger als ein paar Dutzend Dienstleister mit Datenzugriff, wo eine gepflegte Liste und Kalendererinnerungen angemessen sind
- Eine GRC-Plattform mit Modul für Dienstleisterrisiko, bereits eingeführt und besetzt, wo die Lücke Prozessdisziplin ist und kein Werkzeug
- Überhaupt kein Dienstleisterbestand, denn der Abgleich kommt zuerst und kann das ganze erste Projekt sein
Eine Frage für die nächste Sitzung
Welche der drei Quellen, unsere Dienstleisterliste, unsere Verträge oder die Gastkonten in Microsoft Entra ID, behandelt dieses Haus als maßgeblichen Nachweis darüber, wer seine Daten hält, und wann wurde sie zuletzt mit den beiden anderen abgeglichen?
Vorgehen bei der Umsetzung
Die Umsetzung läuft in Etappen, damit sie jederzeit gestoppt werden kann.
Wir liefern
- Zuerst den Bestandsabgleich: das Register gegen den ERP-Lieferantenstamm, die Vertragsbibliothek und die Entra ID Gastkonten, was meist Dienstleister mit Zugriff findet, die keine Prüfung je erfasst hat
- Das Registermodell, die Risikostufenregeln und die Fragebogenstufen, abgestimmt mit Sicherheit und Einkauf
- Automatisierungen für Versand, Nachhalten, Sammeln, Erinnern und Eskalieren samt der Ereignisse, die Zeilen erzeugen
- Die Extraktionskonfiguration und das Design der Validierungsaufgabe, samt dem, was die Analystin je Vorschlag sieht
- Die Power BI Abdeckungssicht und den Nachweisexport, den man einem Prüfer direkt geben kann
- Tests an einer Dienstleisterstichprobe, Inbetriebnahme, Analystenschulung, Betreuung nach dem Start
Wir benötigen von Ihnen
- Das aktuelle Register, so unvollständig es ist, und die dahinterliegende Sicherheitsrichtlinie
- Den Fragebogeninhalt und die Nachweise, die Sie heute schon anstelle von Antworten akzeptieren
- Eine Sicherheitsverantwortliche für die Validierung und einen Kontakt im Einkauf für die Onboarding-Ereignisse
- Lizenzen, wo Funktionen sie brauchen: Power BI und Entra ID Governance, falls Zugriffsüberprüfungen im Umfang sind
Etappen
Abgleich
Register, Lieferantenstamm, Verträge und Gastkonten vergleichen; den Umfang abstimmen
Design
Stufen, Fragebögen, Fälligkeitsregeln, Eskalationswege und die Nachweistaxonomie
Aufbau
Register, Versand und Nachhalten, Nachweisbibliothek, Extraktion, Validierungsaufgaben, Auswertung
Pilot
Die höchste Risikostufe, meist dreißig bis fünfzig Dienstleister, durch einen vollen Zyklus
Ausrollen
Weitere Stufen, Onboarding-Auslöser und die Anbindung an die Zugriffsüberprüfung
Betrieb
Abdeckung überwachen, Stufen und Fragebögen nachjustieren, vierteljährliche Prüfung mit der Sicherheit
Quick Win. Der Aufwand folgt dem Zustand des Bestands mehr als irgendetwas Technischem: Wo Dienstleisterliste, Verträge und Verzeichnis auseinandergehen, ist der Abgleich die Arbeit.
Im Register steht „geprüft“. Die Person, die das eintrug, ist im Frühjahr gegangen.
Geben Sie uns Ihre Dienstleisterliste mit dem, was in der Spalte zur letzten Prüfung steht, auch wenn die Hälfte leer ist. Sie erhalten eine Abdeckungskarte nach Risikostufe und den Nachhalteplan, den ein Roboter fahren würde.
Abdeckung der Dienstleisterprüfungen zeigenDer Nachbarprozess hat meist dasselbe Problem
Schluss mit drei verlorenen Wochen und fehlenden Nachweisen bei jedem neuen Lieferanten.
Lösung ansehen Recht & ComplianceGeschäftspartner-Screening: Sanktionen, USt, RegisterIhre Partnerkartei stimmte am Tag der Prüfung. Sanktionen und Umsatzsteuerstatus haben sich danach bewegt.
Lösung ansehen Weitere LösungenKeine Zahlung an einen ungeprüften LieferantenEine Bankverbindung, die auf eine E-Mail hin geändert wird, ist der billigste Weg zu einem sechsstelligen Verlust.
Lösung ansehen Weitere LösungenNDAs und Standardverträge an einem Tag unterschriebenEin zweiseitiges NDA auf eigenem Muster wartet neun Tage hinter einer Ausschreibungsprüfung und einem Streitfall.
Lösung ansehen Case StudyB2B-Kunden-Onboarding in 24 Stunden — Case StudyEin Neukunde bleibt nicht „heiß“, nur weil Ihr Prozess neun Schritte hat.
Case Study ansehen Case StudyDas intelligente Vertragsregister — Case StudyJeder neue Vertrag und Nachtrag läuft durch IXP: Parteien, Beträge, Fristen und Klauseln landen in einem lebenden Register.
Case Study ansehenBranchen, in denen wir das am häufigsten umsetzenProduktion & IndustrieÖffentlicher SektorDienstleistungen & ITShared Services