Lieferantenrisiken im Griff: Third-Party-Risk-Management mit OneTrust stärken

Lieferanten sind heute fester Bestandteil moderner Wertschöpfungsketten. Sie bringen Expertise, Kapazität und Tempo – und erhöhen gleichzeitig die Abhängigkeit von externen Partnern. Damit rückt ein Thema in den Mittelpunkt: Third-Party-Risk-Management (TPRM). Regulatorische Vorgaben wie das Lieferkettensorgfaltspflichtengesetz (LkSG), der Digital Operational Resilience Act (DORA), die Richtlinie zur Netzwerk- und Informationssystemsicherheit (NIS2) und die internationale Organisation für Normung ISO, sowie Datenschutzanforderungen machen deutlich, dass Organisationen Risiken in der Lieferkette systematisch erkennen, steuern und nachweisbar dokumentieren müssen. Die Herausforderung besteht darin, diese Anforderungen integriert, effizient und auditfest umzusetzen.

Genau hier setzt die Kombination aus Beratungsexpertise von adesso und Tool-Unterstützung durch OneTrust an. Die Reihenfolge ist dabei bewusst so:

adesso entwickelt zusammen mit ihren Kunden das passende TPRM-Zielbild, verankert es organisatorisch und übersetzt Regulierung in gelebte Governance. OneTrust liefert anschließend die Plattform, auf der diese Governance skalierbar, automatisiert und nachvollziehbar umgesetzt wird.

Viele Unternehmen haben bereits Elemente eines Third-Party-Risk-Managements: Fragebögen, Sicherheitsprüfungen, Compliance-Checks, einzelne LkSG- oder Datenschutzprozesse. Oft fehlt jedoch die Klammer, die alles zusammenführt: ein durchgängiges TPRM-Verständnis, das Regulierung, Risikoappetit, Beschaffung, IT, Compliance, Informationssicherheit und Fachbereiche verbindet.

Genau hier setzt adesso an. Zunächst werden regulatorische und strategische Rahmenbedingungen geordnet: Welche Gesetze, Normen und Standards gelten, welche Teile der Lieferantenlandschaft sind betroffen, wie wirken LkSG, DORA, NIS2, ISO 27001 und Datenschutzrecht konkret? Daraus entsteht ein klares Bild über Pflichten und deren Auswirkungen auf Prozesse und Daten.

Darauf aufbauend entwickelt adesso ein TPRM-Zielbild, das sich an der Praxis orientiert. Zunächst werden Rollen und Verantwortlichkeiten definiert. Anschließend beschreibt adesso den gesamten Prozess von der Bedarfsmeldung bis zur Vertragsbeendigung. Ergänzend wird festgelegt, wie Risiken bewertet und gesteuert werden. Risikomodelle, Fragenkataloge, Kriterien für kritische Lieferanten und Maßnahmenkataloge werden aus Best Practices abgeleitet und auf die Organisation zugeschnitten.

Dieses Zielbild wird konsequent in den Alltag überführt. adesso verankert Prozesse in Einkauf, Fachbereichen, IT und Risikofunktionen, bindet bestehende GRC-, IKS- und ISMS-Strukturen an und begleitet den Change mit Schulungen und Coaching. Erfahrungen aus ersten Assessments fließen direkt in die Weiterentwicklung von Kriterien, Abläufen und Governance-Regeln ein.

OneTrust als Enabler – und adesso als Architekt im Hintergrund

Auf der von adesso entwickelten Basis kann OneTrust seinen Mehrwert entfalten. Ohne Governance-Design bleibt ein Tool häufig bei der Digitalisierung bestehender Excel-Listen stehen. Mit klarer Governance wird es zum Enabler für Transparenz und Automatisierung.

adesso übersetzt das entwickelte Prozess- und Rollenmodell in die Konfiguration von OneTrust. Lieferantenstruktur und Risikokategorien spiegeln sich im Inventar wider, Fragebögen und Workflows bilden den End-to-End-Prozess von Erfassung über Bewertung bis Monitoring ab. Regulatorische Anforderungen werden in konkrete Inhalte und Logiken übertragen, sodass alle Anforderungen im TPRM systematisch berücksichtigt sind.

Gleichzeitig integriert adesso OneTrust in die bestehende IT-Landschaft.

Interne Systeme und externe Quellen können angebunden werden.

So entsteht eine gemeinsame Datenbasis, auf der TPRM-Entscheidungen getroffen werden.

Technologie folgt der Governance, nicht umgekehrt.

Typischer Projektverlauf: Von der Standortbestimmung zum laufenden Programm

Ein TPRM-Projekt mit adesso und OneTrust beginnt mit einer Standortbestimmung. Prozesse, Rollen, Tools und vorhandene Dokumentation werden analysiert, relevante regulatorische Anforderungen dem Geschäftsmodell zugeordnet. Daraus entsteht ein Bild über den Ist-Zustand und zentrale Lücken.

Im nächsten Schritt wird ein TPRM-Zielbild erarbeitet und in einer Blauphase konkretisiert: Standardprozesse, Risikomodell, Fragebögen und Maßnahmen werden definiert, Rollen und Informationsflüsse klar beschrieben. Eine Implementierungsblaupause legt fest, welche Funktionen in OneTrust abgebildet und welche in anderen Systemen verbleiben.

Darauf folgen Konfiguration, Integration und der Aufbau von Dashboards und Audit-Trails. In einer Pilotphase mit ausgewählten Lieferanten werden Prozesse und Einstellungen unter Realbedingungen getestet und angepasst, bevor ein gestufter Rollout startet. Im laufenden Betrieb wird das TPRM-System anhand regulatorischer Änderungen, Kennzahlen und Erfahrungen weiterentwickelt und regelmäßig gegen Geschäftsmodell und Risikoappetit gespiegelt.

Effizienz, Transparenz und Prüfungsfestigkeit als Ergebnisse

Der kombinierte Ansatz von adesso und OneTrust zielt auf mehr Effizienz und bessere Governance. Durch bewusste Prozessgestaltung und anschließende Digitalisierung entsteht ein durchgängiger Ablauf statt eines Tool-Puzzles. Beschaffung, Fachbereiche, Risiko, Compliance und IT arbeiten entlang klarer Schritte und Verantwortlichkeiten, standardisierbare Aufgaben werden automatisiert.

Ein einheitliches Risikomodell und klare Kriterien ermöglichen ein konsistentes Bild über Lieferantenrisiken. Dashboards und Berichte folgen einer aus der Governance abgeleiteten Logik und liefern eine verlässliche Basis für Entscheidungen. Gleichzeitig steigt die Prüfungsfestigkeit: Historien, Audit-Logs, Entscheidungen und Maßnahmen sind nachvollziehbar dokumentiert, regulatorische Anforderungen aus dem LkSG, DORA und NIS2 sowie aus Informationssicherheit und Datenschutz lassen sich transparent nachweisen.

Third-Party-Risk-Management als strategisches Governance-Projekt

Third-Party-Risk-Management ist mehr als die Einführung eines neuen Tools oder das Verschicken von Fragebögen. Im Kern handelt es sich um ein Governance-Projekt, das ein belastbares Design, klare Prozesse und eine gelebte Verantwortungskultur benötigt. Genau an dieser Schnittstelle wirkt adesso: Regulatorische Anforderungen werden in praktikable Strukturen übersetzt, Rollen und Abläufe werden so gestaltet, dass sie im Alltag funktionieren, und die Organisation wird auf diesem Weg aktiv begleitet.

OneTrust übernimmt in diesem Setup die Rolle des technischen Enablers. Die Plattform sorgt dafür, dass Governance nicht nur in Richtlinien existiert, sondern in automatisierten Workflows, strukturierten Daten, konsistenten Bewertungen und aussagekräftigen Reports sichtbar wird. In der Kombination entsteht aus einem einzelnen Projekt zu Lieferantenrisiken ein strategisches Third-Party-Risk-Management-Programm, das Organisationen widerstandsfähiger macht, operative Effizienz steigert und regulatorische Sicherheit erhöht.