Sammanfattning: Tredjepartshantering är mer än ett leverantörsregister. EBA, DORA och NIS2/Cybersäkerhetslagen pekar åt samma håll: förstå era leverantörsberoenden, bedöm riskerna, ställ rätt krav och följ upp över tid. Här är hur ni går från en statisk lista till en fungerande leverantörsstyrning – som en livscykel.

Många organisationer är idag beroende av externa leverantörer för IT, molntjänster, drift, support, utveckling, säkerhet och verksamhetskritiska processer. Det gör tredjepartshantering till mer än en inköpsfråga.

För banker, försäkringsbolag och andra finansiella aktörer har kraven länge funnits genom bland annat EBA:s riktlinjer för outsourcing. Med DORA har kraven på ICT-tredjepartsrisk blivit ännu tydligare inom finanssektorn. Samtidigt lyfter NIS2 och den svenska cybersäkerhetslagen fram leverantörskedjan som en central del av cybersäkerhetsarbetet för fler sektorer. DORA omfattar bland annat ICT-riskhantering, ICT-tredjepartsrisk, testning och incidentrapportering, medan NIS2 ställer krav på riskhanteringsåtgärder och incidentrapportering i fler samhällsviktiga sektorer.

Det praktiska problemet är sällan att organisationen saknar leverantörer i ett register. Problemet är att man inte alltid vet vilka leverantörer som är kritiska, vilka risker de innebär, vilka krav som faktiskt har ställts och om leverantörerna följs upp över tid.

Tredjepartshantering behöver vara en livscykel

En fungerande tredjepartshantering börjar inte när avtalet ska signeras och slutar inte när leverantören är införd.

Den behöver täcka hela livscykeln:

identifiering och klassificering av leverantörer
bedömning av kritikalitet och beroenden
leverantörsgranskning och due diligence
riskanalys
kravställning och avtal
löpande uppföljning
incident- och kontinuitetsplanering
exitstrategi och avslut

EBA:s outsourcingramverk har länge betonat styrning, dokumentation, riskbedömning, due diligence, avtal, uppföljning och exit. EBA:s senare arbete med tredjepartsrisk går i samma riktning och beskriver livscykeln med risk assessment, due diligence, kontraktsfas, underleverantörer, monitoring, exit strategies och termination processes.

1. Börja med att veta vilka leverantörer ni har

Många organisationer har fler leverantörsberoenden än de först tror. Det gäller särskilt när man räknar in molntjänster, SaaS-lösningar, konsulter, driftspartners, supportavtal, integrationsleverantörer och underleverantörer.

Ett första steg är därför att skapa eller kvalitetssäkra ett leverantörsregister.

Registret bör inte bara innehålla namn och avtalsägare. Det bör också visa:

vilken tjänst leverantören levererar
vilken verksamhetsprocess som påverkas
vilken information leverantören hanterar
om personuppgifter behandlas
om tjänsten är verksamhetskritisk
vilka system eller integrationer som berörs
om underleverantörer används
vem som är intern ägare
när nästa uppföljning ska göras

Utan den överblicken blir riskarbetet lätt reaktivt.

2. Klassificera leverantörerna efter kritikalitet

Alla leverantörer ska inte hanteras på samma sätt. En leverantör av kontorsmaterial innebär inte samma risk som en molnplattform, ett banksystem, ett journalsystem eller en säkerhetskritisk driftspartner.

Därför behöver leverantörerna klassificeras.

Vanliga frågor är:

Är tjänsten kritisk eller viktig för verksamheten?
Kan ett avbrott påverka kunder, medlemmar, patienter eller samhällsviktig funktion?
Har leverantören tillgång till känslig information?
Är tjänsten svår att ersätta?
Finns koncentrationsrisk, till exempel beroende av en enskild molnleverantör?
Finns underleverantörer i kedjan?
Påverkas leveransen av regulatoriska krav?

Klassificeringen avgör hur djup granskningen behöver vara och hur ofta leverantören bör följas upp.

3. Gör leverantörsgranskning innan beslut

Leverantörsgranskning bör göras innan en ny leverantör väljs eller innan ett befintligt avtal förlängs för en kritisk tjänst.

Granskningen bör anpassas efter risknivån. För en lågkritisk leverantör kan det räcka med en enklare kontroll. För en kritisk IT- eller informationshanterande leverantör behövs ofta en betydligt mer strukturerad bedömning.

En leverantörsgranskning kan omfatta:

informationssäkerhet och tekniska kontroller
dataskydd och personuppgiftsbehandling
incidenthantering
kontinuitets- och återställningsförmåga
finansiell stabilitet
underleverantörer
geografisk placering av data och support
certifieringar och revisionsrapporter
avtalsvillkor och rätt till uppföljning
exitmöjlighet och dataåterlämning

Syftet är inte att samla dokument för sakens skull. Syftet är att förstå om leverantören är lämplig för den risk ni faktiskt tar.

4. Riskanalysen ska koppla leverantören till verksamheten

En vanlig svaghet i tredjepartshantering är att riskanalysen blir för generell. Leverantören bedöms isolerat, men inte utifrån vad den faktiskt gör för organisationen.

En bra riskanalys kopplar leverantören till verksamhetsprocessen.

Det innebär att man bedömer:

vad som händer om tjänsten ligger nere
vilken information som påverkas
vilka regulatoriska krav som träffar tjänsten
vilka beroenden som finns till andra system eller leverantörer
vilken återställningstid som krävs
om det finns manuella alternativ
vilka riskreducerande åtgärder som redan finns
vilka risker som behöver accepteras, åtgärdas eller följas upp

Det är först när riskanalysen kopplas till verklig verksamhetspåverkan som den blir användbar för beslut.

5. Avtalet måste stödja uppföljning och kontroll

Ett bra leverantörsavtal ska inte bara reglera pris, support och uppsägning. För kritiska leverantörer behöver avtalet även stödja säkerhet, uppföljning och efterlevnad.

Det kan handla om krav på:

informationssäkerhet
incidentrapportering
kontinuitet och återställning
underleverantörer
loggning och spårbarhet
rätt till revision eller uppföljning
hantering av personuppgifter
geografisk placering av data
förändringshantering
exit och dataåterlämning
samverkan vid incidenter och tillsyn

DORA lyfter särskilt ICT-tredjepartsrisk, centrala avtalskrav och övervakning av kritiska ICT-tredjepartsleverantörer inom finanssektorn.

6. Löpande granskningar är minst lika viktiga som onboarding

Många organisationer gör en bra initial leverantörsgranskning, men tappar uppföljningen efter att avtalet är signerat.

Det är riskabelt.

Leverantörer förändras. Tjänster förändras. Underleverantörer byts ut. Incidenter inträffar. Certifieringar löper ut. Organisationens egen användning av tjänsten växer.

Därför behöver tredjepartshanteringen underhållas över tid.

För kritiska leverantörer bör det finnas en plan för löpande uppföljning, exempelvis:

årlig eller halvårsvis leverantörsreview
uppdaterad riskanalys
genomgång av incidenter och avvikelser
kontroll av revisionsrapporter eller certifieringar
uppföljning av SLA och tillgänglighet
kontroll av underleverantörer
uppföljning av kontinuitet och återställningsförmåga
kontroll av om avtalet fortfarande matchar användningen

Det är ofta här tredjepartshanteringen blir verklig. Inte i checklistan vid inköp, utan i den återkommande uppföljningen.

7. Incident, kontinuitet och exit måste hänga ihop

En kritisk leverantör är inte bara en avtalsrelation. Det är ofta ett beroende i organisationens egen kontinuitetsförmåga.

Därför behöver varje kritisk leverantör kopplas till:

incidentprocessen
kontinuitetsplanering
återställningskrav
eskaleringsvägar
kommunikationsplan
ansvarsfördelning
alternativa arbetssätt
exitstrategi

Exitstrategin är särskilt viktig. Den ska inte bara beskriva att avtalet kan sägas upp. Den ska visa hur organisationen kan byta leverantör, ta hem tjänsten, återfå data eller fortsätta verksamheten om leverantören inte längre kan leverera.

För finansiella aktörer är detta en central del av både outsourcingstyrning och digital operativ motståndskraft.

8. Tredjepartshantering kräver ägarskap

En annan vanlig utmaning är att ansvaret hamnar mellan funktioner.

Inköp äger avtalet. IT äger tekniken. Juridik granskar villkoren. Informationssäkerhet gör riskbedömningen. Verksamheten äger processen. Dataskydd ansvarar för personuppgiftsfrågor.

Alla är inblandade, men ingen äger helheten.

Därför behöver tredjepartshantering ha en tydlig styrmodell:

vem äger leverantören
vem äger risken
vem godkänner nya leverantörer
vem följer upp kritiska leverantörer
vem hanterar avvikelser
vem rapporterar till ledning
vem beslutar om riskacceptans

Utan tydligt ägarskap blir tredjepartsrisk lätt en dokumentövning.

Så kan Kristensson i Skåne hjälpa till

Kristensson i Skåne hjälper organisationer att bygga, förbättra och förvalta tredjepartshantering utifrån krav från bland annat EBA, DORA, NIS2/Cybersäkerhetslagen, GDPR och ISO 27001.

Vi kan stötta som rådgivande konsult i ett avgränsat projekt, till exempel vid nulägesanalys, gap-analys eller framtagning av en ny process. Vi kan också leverera tredjepartshantering som en mer löpande tjänst, där vi hjälper till med återkommande leverantörsgranskningar, riskanalyser, uppföljning och underhåll av register och beslutsunderlag.

Stödet kan till exempel omfatta:

nulägesanalys av befintlig tredjepartshantering
gap-analys mot EBA, DORA, NIS2, GDPR eller ISO 27001
framtagning av policy, process och arbetsinstruktion
leverantörsklassificering
leverantörsgranskning och due diligence
riskanalys och riskbedömning
mallar för leverantörsfrågor och beslutsunderlag
stöd vid avtalskrav och säkerhetsbilagor
löpande granskningar och årlig uppföljning
rapportering till ledning, riskkommitté eller styrgrupp
stöd vid incident, omförhandling eller exit

Målet är att tredjepartshanteringen ska bli praktiskt användbar: tydliga beslut, tydligt ansvar och en uppföljning som faktiskt går att genomföra.

Från krav till fungerande leverantörsstyrning

Regelverken pekar i samma riktning: organisationer behöver förstå sina leverantörsberoenden, bedöma riskerna, ställa rätt krav och följa upp över tid.

Det behöver inte börja stort. Ofta räcker det att börja med de mest kritiska leverantörerna, skapa en tydlig klassificering och införa en återkommande uppföljning.

Det viktiga är att komma bort från en statisk leverantörslista och i stället bygga en styrning som visar:

vilka leverantörer som är viktiga
vilka risker de innebär
vilka krav som gäller
vad som är granskat
vad som behöver följas upp
vem som ansvarar

Då blir tredjepartshantering inte bara ett regulatoriskt krav. Det blir en del av organisationens faktiska motståndskraft.

Vill ni veta om er tredjepartshantering håller för kraven i EBA, NIS2 eller DORA? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss så tar vi ett första samtal om nuläge, risker och nästa steg.

Detta är en översikt och inte juridisk rådgivning. Varje organisation behöver bedöma sina krav utifrån verksamhet, sektor, leverantörsberoenden och regulatorisk omfattning.