Excel w TPRM (Third-Party Risk Management – zarządzanie ryzykiem związanym z dostawcami i partnerami zewnętrznymi) działa. Chociaż niektórzy go pewnie nie prowadzą, bo nie ma takiego procesu w firmie (jeszcze). U wielu w szczególności, gdy ilość umów to kilkadziesiąt, kilkaset lub więcej jest już pewnie cały dział, który się tym zajmuje. Ryzyko generowane przez dostawców jest zarządzane najlepiej w firmach i instytucjach podlegających regulacjom np. finanse.
NIS2 nie wymaga: „wdrożysz narzędzie TPRM”, tylko nakłada obowiązek wdrożenia środków zarządzania ryzykiem cyber, a jednym z kluczowych elementów jest bezpieczeństwo łańcucha dostaw i relacji z dostawcami, podwykonawcami, integratorami i komponentami, których nie widzisz bo są ukryte w SZBI innej organizacji. Raport WEF GCO (Global Cybersecurity Outlook 2026) z tego roku ujął to wprost: zależności w cyfrowym łańcuchu dostaw są często niezmapowane, a naruszenie u jednego dostawcy potrafi przejść kaskadą przez cały ekosystem.
Excel przegrywa niewątpliwie z rzeczywistością, bo ta się bardzo szybko zmienia, dochodzą nowe podmioty, nowe ryzyka.
Arkusz i ankieta mają trzy wady, których nie przeskoczysz:
- opierają się na deklaracjach, a nie na pomiarze,
- są punktowe (raz na rok/kwartał),
- nie łapią zmian między przeglądami.
Co daje podejście „ratings + continuous monitoring”?
Tu wchodzą platformy ratingowe oparte o obserwacje. Z tego, co widzę takich platform jest kilka. Ja działam z RiskRecon by Mastercard. Kluczowa jest w nim logika: narzędzie ciągle monitoruje, a potem układa wyniki tak, żeby dało się nimi zarządzać, nie tylko je oglądać. Najbardziej lubię ocenę i możliwość działania, jeśli obserwowany dostawca ma ocenę niską. Tego systemu nie należy mylić z systemami detekcji podatności, albo z systemami GRC. To inna grupa systemów, chociaż różne platformy mogą łączyć te funkcje.
GRC odpowiada na pytanie: „Jak zarządzamy ryzykiem i zgodnością w całej firmie?”
TPRM odpowiada na pytanie: „Jak kontrolujemy ryzyko, które wnoszą nasi dostawcy i partnerzy?”
Jak można porównać różne systemy TPRM?
- RiskRecon by Mastercard waży problemy nie tylko „jak poważne”, ale podaje też gdzie w jakim komponencie problemy występują i jaka jest wartość tego komponentu/systemu (np. czy zbiera dane wrażliwe, czy umożliwia transakcje). Priorytetyzacja „pod ryzyko”, a nie tylko „pod liczbę findings”.
- SecurityScorecard opisuje scoring jako oparty o faktory i kalkulację bazującą na liczbie i znaczeniu wykrytych problemów (severity + quantity).
- BitSight podkreśla, że rating powstaje z danych zewnętrznych z dwóch klas: konfiguracje i zdarzenia bezpieczeństwa, liczony codziennie.
Wykrycie i wskazanie podatności jest bardzo ważne, ale połączenie go z wartością systemu i porównanie z innymi podobnymi podmiotami daje dodatkową wartość. Ważne jest też dla mnie, żeby taki raport dostawać na bieżąco. To jest generalna przewaga nad zbieraniem Exceli lub innymi formami statycznego okresowego raportowania.
Jak ja bym to zorganizował w praktyce?
Excel zostawiłbym do zbierania deklaracji dostawców. A ocenę realnego ryzyka dostawców przeniósłbym na model ciągły:
- rating i monitoring jako „radar” (co się zmienia),
- priorytety pod kontekst (co naprawdę boli),
- action plan do dostawcy (co ma poprawić i kiedy).
WEF nazywa problem po imieniu: łańcuch dostaw jest zbyt połączony, zbyt mało widoczny i zbyt łatwo robi efekt domina.
Po historiach, gdzie problem zaczynał się u dostawcy (np. firmy świadczące wsparcie, zewnętrzne rozwiązywanie problemów) trudno udawać, że ankieta raz w roku wystarczy. Także zerknijcie na ten temat ryzyka, nie tylko AI zmienia świat.
Konsultacja z ekspertem ISCG: https://outlook.office.com/book/Konsultacjewobszarzeaplikacjibiznesowych@ISCG.onmicrosoft.com/s/2VVesV7_S0WX_wGdYLgHlQ2?ismsaljsauthenabled