De uitdaging
Cyberaanvallen komen steeds vaker binnen via partners en leveranciers. Daardoor groeit het belang van Third Party Risk Management (TPRM) snel. De cyberweerbaarheid van een organisatie hangt immers steeds sterker samen met die van de partijen waarmee zij samenwerkt.
Toezichthouders spelen hierop in door expliciete eisen te stellen aan het beheer van leveranciersrisico’s. Regelgeving zoals DORA en NIS2 verplicht organisaties om beter inzicht te hebben in hun afhankelijkheden en aantoonbaar te maken hoe risico’s bij derde partijen worden beheerst.
Dit zorgt voor een toenemende compliance-druk. Het goed inrichten van TPRM brengt veel handmatig werk met zich mee, terwijl processen vaak versnipperd zijn. Contracten moeten worden gecontroleerd, assessments beoordeeld, assurance-rapporten verzameld en leveranciers gevalideerd. Veel van deze stappen zijn tijdrovend en foutgevoelig.
Daarbij ontbreekt het vaak aan standaardisatie. Organisaties wisselen informatie uit via lange vragenlijsten en documentatie die tussen partijen wordt gedeeld. Al deze informatie moet handmatig worden beoordeeld voordat kan worden vastgesteld of een leverancier aan de gestelde eisen voldoet. Tegelijkertijd moeten afnemers sneller aantoonbare assurance leveren en verwachten leveranciers snelle, consistente reacties om deals of contractverlengingen niet te vertragen.
De aanpak
KPMG helpt organisaties om hun TPRM-functie efficiënter en robuuster in te richten met behulp van AI, zonder de menselijke rol uit het proces te halen.
Bij contractmanagement analyseren AI-taalmodellen contractclausules en vergelijken deze met actuele regelgeving en best practices. Ontbrekende bepalingen, zoals incidentmeldtermijnen of patch-SLA’s, worden automatisch gesignaleerd en voorzien van concrete tekstvoorstellen. Juristen behouden de regie, maar starten vanuit een geannoteerd document in plaats van een leeg contract.
Ook bij compliance-ondersteuning kan AI veel handmatig werk versnellen. Ingestuurde documenten, zoals SOC- of ISAE-rapportages en pentestresultaten, worden automatisch geanalyseerd en samengevat tot relevante controles en resterende risico’s. Hierdoor kunnen organisaties sneller prioriteiten stellen en krijgen leveranciers eerder inzicht in mogelijke tekortkomingen.
Daarnaast helpt AI bij het actueel houden van leveranciersregisters. Met externe signalen, bijvoorbeeld via RiskRecon, worden domeinen, certificaten en digitale assets automatisch gekoppeld aan leveranciers en subverwerkers. Zo ontstaat een dynamisch overzicht van derde en vierde partijen dat veranderingen signaleert en risicotrends zichtbaar maakt.
Het resultaat
Door AI toe te passen binnen TPRM-processen kunnen organisaties administratieve lasten aanzienlijk verminderen en tegelijkertijd de kwaliteit en aantoonbaarheid van hun risicobeheer vergroten.
Documentanalyse, contractreviews en leveranciersassessments verlopen sneller en consistenter. Doorlooptijden verkorten van weken naar dagen of zelfs uren, terwijl organisaties beter inzicht krijgen in risico’s binnen hun leveranciersketen.
Hiermee ontstaat een solide basis voor schaalbaar en toekomstbestendig Third Party Risk Management, waarin compliance-eisen beter worden geborgd en besluitvorming sneller en beter onderbouwd kan plaatsvinden.
Het team dat het verschil maakte
Een multidisciplinair AI Factory-team van KPMG Nederland ondersteunt organisaties bij het digitaliseren en optimaliseren van Third Party Risk Management-processen. Door expertise in AI & Data te combineren met kennis van cybersecurity, governance en Digital Process Excellence helpen zij organisaties TPRM efficiënter, consistenter en toekomstbestendig in te richten.
