Vendor Risk Management Software: functionaliteiten, voordelen en de beste keuze

Leveranciersbeheer betekende vroeger een spreadsheet en een jaarlijkse vragenlijst. Die aanpak voldoet niet meer. Interne beleidsregels worden steeds uitgebreider en regelgeving zoals DORA, NIS2 en sectorspecifieke uitbestedingsregels schrijft inmiddels voor hoe organisaties hun externe partijen moeten beoordelen, monitoren en documenteren. De grotere uitdaging is dat niet elke leverancier op dezelfde manier beoordeeld kan worden: een cloudprovider die klantgegevens verwerkt, een salarisverwerker en een kantoorleverancier brengen elk andere risico's met zich mee en vereisen verschillende vragenlijsten, beheersmaatregelen, contractvoorwaarden en beoordelingscycli. Dit alles bijhouden in spreadsheets, e-mailwisselingen en losse tools wordt al snel onbeheersbaar.

Software voor leveranciersrisicobeheer brengt alles op één plek samen: beoordelingen, risico's, beheersmaatregelen, bewijsstukken, contracten, evaluaties en herstelmaatregelen. Zo hebt u een actueel beeld van uw risico's door derden én een duidelijk dossier van hoe en waarom elke leverancier is beoordeeld.

Ben je alleen op zoek naar een checklist om je te begeleiden bij het aankoopproces van vendor risk management-software? Download dan hier onze gratis checklist.

Wil je liever een praktische demo van een complete GRC-oplossing met geïntegreerde risicobeheersoftware voor derden? Vraag dan nu direct een gratis demo aan:

Wat is software voor leveranciersrisicobeheer?

Software voor leveranciersrisicobeheer is een platform om risico's van samenwerking met externe bedrijven te identificeren, beoordelen en monitoren. In plaats van elke leverancier via aparte bestanden te volgen, staat alles in één systeem: wie de leverancier is, waartoe die toegang heeft, hoe kritiek die is, wat uit de laatste beoordeling bleek, welke problemen nog openstaan en wat er in het contract staat.

Voor deze softwarecategorie worden verschillende namen gebruikt. Third-party risk management software, vaak afgekort tot TPRM-software, is de meest gangbare term bij security- en complianceteams. Inkoopteams spreken vaker van supplier risk management software. In de praktijk overlappen die begrippen sterk en ondersteunen de meeste tools ze allemaal. Het belangrijkste verschil is de reikwijdte. TPRM richt zich doorgaans op informatiebeveiliging en gegevensbescherming: kan deze leverancier onze gegevens veilig houden? Leveranciersrisicobeheer kijkt vaak breder, bijvoorbeeld naar financiële stabiliteit, leveringsbetrouwbaarheid, geografische concentratie en ESG-risico's. Een goed platform ondersteunt beide zonder twee afzonderlijke processen.

De meeste tools voor leveranciersrisicobeheer bieden:

• Een centraal leveranciersregister met eigenaarschap, kritikaliteit en de gegevens of systemen waarmee elke leverancier werkt

• Risicogebaseerde beoordelingen, zodat een kritieke cloudprovider grondiger wordt beoordeeld dan een leverancier met een laag risico

• Verzameling van bewijsstukken, zoals certificeringen, SOC 2-rapporten, beleidsdocumenten en antwoorden op vragenlijsten

• Een contractregister dat aan elke leverancier is gekoppeld, zodat contractrisico's, verlengingsdata en belangrijke verplichtingen naast de beoordeling zichtbaar zijn

• Opvolging van verbetermaatregelen voor bevindingen, met verantwoordelijken en deadlines

• Geplande evaluaties en rapportages voor management, auditors en toezichthouders

Leveranciersrisicobeheer maakt deel uit van een breder business-assurancekader, waarin risico's, beheersmaatregelen, compliance, contracten en externe partijen gezamenlijk worden beheerd in plaats van in afzonderlijke silo's.

Waarom hebben organisaties software voor leveranciersrisicobeheer nodig?

Wanneer een bedrijf met slechts enkele leveranciers werkt, volstaat een spreadsheet meestal. Eén persoon kent alle leveranciers, weet wanneer de laatste beoordeling plaatsvond en kan zo nodig het contract terugvinden. Het proces zit in het hoofd van die persoon, en op die schaal werkt dat prima.

Dat verandert wanneer het aantal leveranciers groeit. Individuele teams nemen nieuwe SaaS-tools in gebruik, uitbestedingsrelaties nemen toe en voor u het weet zijn er honderd of meer externe partijen met toegang tot systemen, gegevens of kritieke processen. De spreadsheet bestaat nog, maar weerspiegelt de werkelijkheid niet langer. Vaak ontstaan dezelfde problemen:

Beoordelingen worden inconsistent. Verschillende medewerkers beoordelen leveranciers op verschillende manieren. Het ene team stuurt een leverancier met een laag risico een beveiligingsvragenlijst met 200 vragen, terwijl een kritieke dienstverlener na een korte e-mail wordt goedgekeurd. Zonder vaste aanpak per risicoklasse zijn resultaten niet vergelijkbaar.

Vragenlijsten raken verouderd. Een sjabloon van drie jaar geleden weerspiegelt het huidige beleid of nieuwe wettelijke eisen niet meer, maar wordt nog steeds gebruikt omdat overal bijwerken te veel werk is.

Niemand is duidelijk verantwoordelijk. Valt de leverancier onder inkoop, IT, het betrokken bedrijfsteam of compliance? Als het eigenaarschap onduidelijk is, blijven vervolgacties liggen.

Bewijsstukken zijn versnipperd. Certificaten staan in inboxen, SOC 2-rapporten op een gedeelde schijf en beleidsdocumenten in iemands downloadmap. Wanneer een auditor bewijs opvraagt, kost het dagen om het dossier te reconstrueren, waarna vaak blijkt dat de helft verlopen is.

Contracten staan los van risico's. Het contract staat in een juridische map, gescheiden van de risicobeoordeling. Dat is een van de meest voorkomende risico's bij contractbeheer: niemand controleert of het contract de beveiligings-, audit- en exitbepalingen bevat die volgens de risicobeoordeling nodig zijn, of houdt contracten nauwkeurig genoeg bij om een automatische verlenging tijdig te signaleren.

Beoordelingen worden gemist. Jaarlijkse evaluaties hangen af van iemand die eraan denkt ze te starten. In drukke kwartalen worden ze uitgesteld en een leverancier die bij onboarding één keer is beoordeeld, wordt daarna niet meer bekeken.

Bevindingen blijven openstaan. Een beoordeling brengt een zwakte aan het licht, de leverancier belooft die te verhelpen en vervolgens hoort niemand er nog iets over. Zonder opvolging stapelen onopgeloste bevindingen zich ongemerkt op.

Het totaaloverzicht ontbreekt. Misschien wel het grootste probleem is dat de directie geen zicht heeft op het totale leveranciersrisico. Hoeveel kritieke leveranciers zijn er? Hoeveel hebben achterstallige beoordelingen of openstaande bevindingen met een hoog risico? Welke uitval zou de meeste schade veroorzaken? Een spreadsheet kan die informatie technisch bevatten, maar biedt in de praktijk zelden een betrouwbaar antwoord.

Deze problemen ontstaan niet door een gebrek aan inzet, maar doordat een groeiende en uiteenlopende groep leveranciers wordt beheerd met tools die daar niet voor ontworpen zijn. Precies dat probleem lost software voor leveranciersrisicobeheer op.

Software voor leveranciersrisicobeheer versus spreadsheets

Spreadsheets zijn een logisch startpunt. Bij twintig leveranciers en één duidelijke beheerder werkt Excel prima; zo begint vaak ook contractbeheer en leveranciersregistratie in kleine ondernemingen. Problemen ontstaan wanneer de lijst groeit tot tientallen leveranciers, meerdere proceseigenaren moeten bijdragen of iemand vraagt om aan te tonen wat er twaalf maanden geleden is gebeurd.

De werkelijke kosten van spreadsheets zitten zelden in de spreadsheet zelf, maar in de opvolging: achter een verlopen ISO-certificaat aangaan, drie versies van dezelfde beoordeling vergelijken en elk kwartaal opnieuw een rapport maken omdat niemand de cijfers van het vorige kwartaal vertrouwt.

Dat betekent niet dat elke organisatie morgen een gespecialiseerde tool nodig heeft. Bij een kleine leverancierslijst en weinig regeldruk is een goed bijgehouden spreadsheet met duidelijk eigenaarschap beter dan een duur platform dat niemand gebruikt. Het omslagpunt komt meestal door regelgeving (NIS2, DORA), een externe audit of een leveranciersincident dat laat zien hoe weinig u eigenlijk wist.

Wat doet software voor leveranciersrisicobeheer?

In de kern biedt VRM-software één plek om vier vragen over elke leverancier te beantwoorden: wie zijn ze, hoeveel schade kunnen ze ons berokkenen, wat hebben we gecontroleerd en wat doen we aan de tekortkomingen? De negen onderstaande functionaliteiten zijn gangbaar in volwassen oplossingen.

1. Houd een centraal leveranciersregister bij

Alles begint met een volledige lijst. Niet alleen de leveranciers die inkoop kent, maar ook de SaaS-tool die marketing met een creditcard heeft aangeschaft. Een bruikbaar leveranciersprofiel bevat:

• de naam, juridische entiteit en categorie van de leverancier

• de interne relatie-eigenaar

• de diensten die de leverancier levert

• de systemen en gegevens waartoe de leverancier toegang heeft

• het belang van de leverancier voor uw bedrijfsvoering

In de praktijk is het opbouwen van dit register vaak het moeilijkste deel van het hele project. Verzamel gegevens uit financiën (wie betalen we?), IT (wie heeft accounts of integraties?) en contractbeheer (met wie hebben we een overeenkomst?).

2. Classificeer leveranciers op risico en kritikaliteit

U kunt 400 leveranciers niet allemaal even grondig beoordelen, en dat moet u ook niet willen. Risicoklassen helpen om de inspanning daar te richten waar die nodig is. Een gangbaar model kent drie klassen: hoog, gemiddeld en laag.

De klasse is meestal gebaseerd op het inherente risico: het risico vóór beheersmaatregelen. Typische factoren zijn:

• Gevoeligheid van gegevens: verwerkt de leverancier persoonsgegevens, financiële informatie of bedrijfsgeheimen?

• Toegang tot systemen: heeft de leverancier toegang tot uw netwerk, productiesystemen of OT-omgeving?

• Operationele afhankelijkheid: zouden uw activiteiten stilvallen als de leverancier morgen uitvalt?

• Blootstelling aan regelgeving: valt deze relatie onder regelgeving zoals NIS2, DORA of de AVG?

• Vervangbaarheid: hoe lang zou het duren om deze leverancier te vervangen?

Een schoonmaakbedrijf zonder systeemtoegang is laag risico. Een cloudprovider die uw klantgegevens host, is hoog risico. Het meeste werk zit in het grijze gebied daartussen.

3. Voer leveranciersrisicobeoordelingen uit

Zodra een leverancier een risicoklasse heeft, bepaalt die klasse welke beoordeling nodig is. Een leverancier met een laag risico kan volstaan met een korte eigen verklaring. Een leverancier met een hoog risico krijgt een uitgebreide beveiligingsvragenlijst, documentcontrole en mogelijk een audit op locatie of op afstand.

Met goede software kunt u vragenlijsten één keer opstellen en hergebruiken, ze rechtstreeks naar de contactpersoon van de leverancier sturen en antwoorden consistent beoordelen. Het doel is dat twee analisten bij dezelfde leverancier ongeveer tot dezelfde conclusie komen. Hoe u een third-party-risicobeoordeling uitvoert, behandelen we uitgebreider in een afzonderlijk artikel.

4. Verzamel documenten en bewijsstukken

Een antwoord op een vragenlijst is een bewering. Bewijsstukken onderbouwen die bewering. Gebruikelijke bewijsverzoeken zijn:

• ISO 27001-certificaten (controleer de reikwijdte, niet alleen het logo)

• SOC 2 Type II-rapporten

• informatiebeveiligings- en privacybeleid

• recente samenvattingen van penetratietests

• certificaten van cyberverzekeringen

• verwerkersovereenkomsten (DPA's)

• resultaten van tests voor bedrijfscontinuïteit

De software moet elk document koppelen aan de leverancier en de bijbehorende beoordeling, en vervaldatums bewaken. Een ISO-certificaat dat vier maanden verlopen is, is een veelvoorkomende bevinding bij leveranciersaudits.

5. Koppel risico's, beheersmaatregelen en leveranciers

Hier schieten veel zelfstandige VRM-tools tekort. Ze behandelen de leveranciersbeoordeling als een losstaande activiteit: vragenlijst erin, score eruit, dossier gesloten. Maar een leveranciersrisico is alleen relevant in het licht van uw afhankelijkheid van die leverancier en de maatregelen die u hebt genomen om het risico te beheersen.

De samenhang ziet er zo uit: Leverancier → Risico → Beheersmaatregel → Beoordeling → Bewijsstuk. Als uw salarisverwerker zwakke toegangsbeveiliging heeft, vormt dat een risico voor uw HR-gegevens. Een beheersmaatregel kan een contractuele verplichting tot MFA zijn, gecombineerd met een jaarlijkse bewijscontrole. De beoordeling toetst of de maatregel werkt en het bewijsstuk onderbouwt dat.

Risicoscores worden veel bruikbaarder met een consistente methodiek; onze gratis Risk Score Matrix laat zien hoe waarschijnlijkheid en impact samen een transparant scoremodel vormen.

6. Beheer bevindingen en verbetermaatregelen

Beoordelingen brengen problemen aan het licht. Wat er daarna gebeurt, bepaalt of de hele exercitie waarde heeft gehad.

1. De beoordeling signaleert een probleem.

2. Er wordt een bevinding met een ernstniveau geregistreerd.

3. Een actie wordt toegewezen aan een verantwoordelijke, intern of bij de leverancier.

4. Er wordt een deadline vastgesteld.

5. De verantwoordelijke uploadt bewijs van de oplossing.

6. De bevinding wordt afgesloten of de leverancier wordt opnieuw beoordeeld.

Zonder workflow verdwijnen bevindingen vaak in het beoordelingsrapport en gebeurt er verder niets mee.

7. Monitor leveranciers doorlopend

Leveranciersrisico is geen eenmalige controle. Een leverancier die bij onboarding in orde was, kan worden overgenomen, een datalek krijgen of uw gegevens aan een nieuwe onderaannemer toevertrouwen. Goede software ondersteunt periodieke herbeoordelingen per risicoklasse (bijvoorbeeld jaarlijks voor hoog en elke twee à drie jaar voor laag) en maakt het mogelijk om bij veranderingen een tussentijdse beoordeling te starten.

Sommige tools voegen externe signalen toe, zoals beveiligingsratings of nieuwswaarschuwingen. Die kunnen tijdig waarschuwen, maar vervangen geen beoordeling.

8. Beheer contracten en verlengingsdata

Het contract is vaak uw sterkste middel om invloed uit te oefenen op een leverancier, terwijl het regelmatig losstaat van het risicoproces. Door contractgegevens aan het leveranciersdossier te koppelen kunt u het volgende bewaken:

• start-, eind- en verlengingsdatums van contracten

• opzegtermijnen

• beveiligings- en auditclausules

• verplichtingen voor het melden van incidenten

• beoordelingsdatums gekoppeld aan contractverlengingen

Een verlenging is het beste moment om een zwakke beveiligingsclausule te verbeteren. Als het risicoteam pas ná ondertekening van de verlenging wordt geïnformeerd, is die kans verkeken. Software die contractbeheertaken automatiseert, zoals verlengingsmeldingen en herinneringen aan verplichtingen, maakt het contractregister onderdeel van het risicoproces in plaats van een archief. Hieronder gaan we uitgebreider in op contractrisicobeheer.

9. Maak dashboards en rapportages

Management en auditors willen antwoorden, geen bestanden. Nuttige standaardoverzichten zijn:

• leveranciers met een hoog risico en hun actuele status

• achterstallige beoordelingen

• openstaande bevindingen naar ernst en ouderdom

• leveranciers per risicoklasse

• contracten die binnen 90 dagen aflopen

• voortgang van beoordelingen voor de hele leveranciersportefeuille

De levenscyclus van leveranciersrisicobeheer

De meest gemaakte fout bij leveranciersrisicobeheer is om het als een onboardingcontrole te behandelen. Een leverancier wordt één keer beoordeeld en goedgekeurd, waarna niemand meer kijkt totdat er iets misgaat. Een werkend proces is cyclisch: stap 1 tot en met 4 en stap 8 vinden één keer per relatie plaats, terwijl stap 5 tot en met 7 terugkeren zolang de samenwerking duurt.

1. Identificeren. Breng elke externe partij in kaart, ook leveranciers die niet via inkoop zijn aangeschaft.

2. Classificeren. Ken een risicoklasse toe op basis van gegevens, toegang, afhankelijkheid en regelgeving.

3. Beoordelen. Verstuur de beoordeling die bij de risicoklasse past en controleer de bewijsstukken.

4. Goedkeuren en onboarden. Beslis of en onder welke voorwaarden u samenwerkt en leg beveiligingseisen vast in het contract.

5. Monitoren. Volg veranderingen zoals incidenten, overnames, aflopende certificaten en nieuwe onderaannemers.

6. Herbeoordelen. Herhaal de beoordeling volgens planning of eerder als er iets verandert.

7. Verbeteren. Volg bevindingen totdat ze zijn opgelost en gecontroleerd.

8. Offboarden. Trek aan het einde van de relatie toegang in, haal gegevens terug of verwijder ze en sluit het dossier af met bewijs.

Offboarding is de fase die de meeste organisaties overslaan. Voormalige leveranciers met actieve accounts of kopieën van uw gegevens vormen een stille maar reële bedreiging.

Belangrijke functies van software voor leveranciersrisicobeheer

Bijna elke aanbieder in deze markt kan alle vakjes op een functielijst aanvinken. De relevante vraag is niet óf een functie bestaat, maar hoe goed die aansluit bij uw werkwijze. Bij elke functie hieronder noemen we een vraag die u tijdens een demo kunt stellen.

Aanpasbare risicobeoordelingen

U wilt vragenlijsten aanpassen aan uw eigen risicobereidheid, sector en regelgeving. Vraag: kunnen we vragenlijsten zelf maken en wijzigen, of zijn daarvoor telkens consultants van de leverancier nodig?

Geautomatiseerde beoordelingsworkflows

De tool moet beoordelingen versturen, herinneringen bij te late antwoorden verzenden en reacties ter controle doorsturen, zonder handwerk. Vraag: kan de workflow per risicoklasse verschillen?

Risicoscores voor leveranciers

Scores moeten uitlegbaar zijn, geen black box. Vraag: kunnen we exact zien hoe een score is berekend en de weging aanpassen?

Koppeling aan beheersmaatregelen

Leveranciersmaatregelen moeten kunnen worden gekoppeld aan uw eigen raamwerk, zoals ISO 27001 Bijlage A, NIS2-maatregelen of DORA-vereisten. Vraag: kan één beheersmaatregel voor leveranciers als bewijs dienen voor meerdere raamwerken tegelijk?

Beheer van bewijsstukken

Documenten moeten aan de juiste leverancier en beoordeling gekoppeld zijn, inclusief bewaking van vervaldatums. Vraag: wat gebeurt er automatisch wanneer een certificaat verloopt?

Bevindingen en herstelmaatregelen

Bevindingen hebben eigenaren, deadlines en een afsluitstap met bewijs nodig. Vraag: kunnen leveranciers hun eigen verbeteracties bijwerken?

Contractbeheer

Contractdatums en beveiligingsclausules moeten naast de risicogegevens staan. Let bij contractbeheer binnen een VRM-tool op een beveiligd register, verlengingsmeldingen, opvolging van verplichtingen en koppeling aan de risicoklasse van de leverancier. Gespecialiseerde tools voor contractrisicobeheer en contractregisters gaan dieper in op juridische contractredactie, maar voor de meeste risicoteams is de onderlinge koppeling belangrijker. Vraag: waarschuwt de tool de risico-eigenaar vóór een verlenging in plaats van erna?

Rollen en verantwoordelijkheden

Proceseigenaren, risicoanalisten, inkoopmedewerkers en goedkeurders hebben elk andere weergaven en rechten nodig. Vraag: kunnen we onze eigen RACI inrichten, of alleen de standaardrollen van de leverancier gebruiken?

Audittrails

Elke wijziging van een score, bevinding of goedkeuring moet worden vastgelegd. Vraag: kunnen we de volledige historie van één leverancier exporteren in een formaat dat een auditor accepteert?

Dashboards en rapportages

Standaarddashboards besparen tijd; flexibele dashboards voorkomen discussies. Vraag: kan een directielid het hoofdrapport begrijpen zonder training?

Integraties

Veelvoorkomende integraties zijn inkoop- en ERP-systemen, identiteitsproviders, ticketingsystemen en diensten voor beveiligingsratings. Vraag: is er een open API en wat kost die?

AI-ondersteund risicobeheer

AI-functies zijn tegenwoordig standaard in verkooppresentaties, maar variëren van echt nuttig tot puur cosmetisch. Verderop in deze koopgids bespreken we hoe u ze beoordeelt. Kort gezegd: vraag wat de AI daadwerkelijk oplevert en of een mens het resultaat kan controleren.

Software voor leveranciersrisicobeheer en compliance

De rode draad in recente Europese regelgeving is eenvoudig: u blijft verantwoordelijk voor risico's die u uitbesteedt. Toezichthouders nemen geen genoegen meer met 'dat regelt onze leverancier'. Ze willen zien dat u weet welke leveranciers belangrijk zijn, dat u ze hebt beoordeeld en dat u dit periodiek herhaalt.

Dit is geen volledig juridisch overzicht, maar een samenvatting van wat elk kader van uw leveranciersproces verwacht, zodat u kunt bepalen wat uw software moet ondersteunen.

NIS2 en risico's in de toeleveringsketen

Artikel 21 van de NIS2-richtlijn noemt beveiliging van de toeleveringsketen als een van de minimale maatregelen voor cyberrisicobeheer. Organisaties moeten daarbij rekening houden met de kwetsbaarheden en cyberbeveiligingspraktijken van elke directe leverancier, niet alleen met leveranciers als algemene categorie.

In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking trad en van toepassing is op meer dan 8.000 Nederlandse organisaties. Cyberbeveiliging is nu expliciet een verantwoordelijkheid van het bestuur, inclusief de toeleveringsketen.

Organisaties die onder de Nederlandse Cyberbeveiligingswet (NIS2) vallen, moeten beoordelingen van de cyberbeveiliging van leveranciers, passende contractuele eisen en bewijs van periodieke evaluaties opnemen in hun complianceprocessen.

Er is ook een doorwerking naar andere bedrijven. Veel organisaties die zelf buiten de Cbw vallen, zullen beveiligingsvragenlijsten ontvangen van klanten die er wél onder vallen. Levert u aan een ziekenhuis, energiebedrijf of bank, dan kunt u meer van deze verzoeken verwachten.

ISO 27001 en leveranciersrisico

ISO 27001:2022 behandelt leveranciers via vijf beheersmaatregelen in Bijlage A: informatiebeveiliging in leveranciersrelaties (5.19), beveiligingseisen in leveranciersovereenkomsten (5.20), de ICT-toeleveringsketen (5.21), monitoring en beoordeling van leveranciersdiensten (5.22) en het gebruik van clouddiensten (5.23).

Bent u al gecertificeerd, dan hebt u een voorsprong. Uw risicomethodiek, beheersmaatregelen en bewijsstructuur kunnen opnieuw worden gebruikt voor leveranciers. Organisaties die ISO 27001 toepassen, kunnen een groot deel van hun bestaande risicobeheer, maatregelen en bewijsstukken gebruiken om ook aan NIS2- en leveranciersbeveiligingseisen te voldoen.

Het meest voorkomende probleem dat we bij ISO-audits zien, is geen ontbrekend beleid, maar leveranciersbeleid dat jaarlijkse beoordelingen voorschrijft zonder bewijs dat ze werkelijk hebben plaatsgevonden.

DORA en ICT-derdenrisico

Voor banken, verzekeraars, beleggingsondernemingen en andere financiële entiteiten gaat DORA verder dan NIS2. DORA vereist een informatieregister voor alle contractuele regelingen met externe ICT-dienstverleners, specifieke bepalingen in contracten die kritieke of belangrijke functies ondersteunen en gedocumenteerde exitstrategieën. Zo'n register handmatig actueel houden is vrijwel een voltijdtaak. Daarom heeft DORA veel financiële instellingen richting gespecialiseerde software gestuurd. Controleer bij het vergelijken van leveranciersbeheersoftware voor financiële instellingen of deze het DORA-informatieregister kan produceren en de verplichte contractvoorwaarden per dienstverlener kan vastleggen.

AVG en verwerkers

Elke leverancier die namens u persoonsgegevens verwerkt, is onder de AVG een verwerker. U hebt een verwerkersovereenkomst nodig en moet kunnen aantonen dat u een verwerker hebt gekozen die voldoende garanties biedt. Uw leveranciersbeoordeling vormt in de praktijk dat bewijs.

Contractrisicobeheer: waar leveranciersrisico en contracten samenkomen

Contractrisicobeheer is het onderdeel van leveranciersrisicobeheer dat veel teams aan juridische zaken of inkoop overlaten, terwijl juist daar veel leveranciersproblemen ontstaan. Een grondige beveiligingsbeoordeling heeft weinig waarde als het contract geen auditrecht, termijn voor incidentmeldingen of exitclausule bevat.

Contractueel risico is het risico dat een contract onvoldoende bescherming biedt of verplichtingen schept waaraan u niet kunt voldoen. Veelvoorkomende contractrisico's in leveranciersrelaties zijn:

• geen recht op een audit of op het opvragen van bewijsstukken

• geen termijn voor het melden van een beveiligingsincident

• onbeperkte uitbesteding aan onderaannemers zonder uw toestemming

• zwakke of ontbrekende bepalingen voor gegevensbescherming

• automatische verlenging met een korte, niet-bewaakte opzegtermijn

• geen exitplan of afspraak over teruggave van gegevens

• aansprakelijkheidslimieten die veel lager zijn dan de mogelijke schade door een datalek

Op papier lijken deze contractrisico's klein. Bij een incident bepalen ze echter of u überhaupt antwoorden van de leverancier kunt krijgen.

Het proces voor contractrisicobeheer

Een praktisch proces voor contractrisicobeheer bij leveranciers kent vijf stappen:

1. Beoordeling van contractrisico's. Controleer vóór ondertekening of verlenging het conceptcontract aan de hand van de risicoklasse van de leverancier. Een leverancier met een hoog risico heeft strengere clausules nodig dan een leverancier met een laag risico.

2. Analyse van contractrisico's. Vergelijk de clausules met uw eisen en signaleer hiaten, bijvoorbeeld ontbrekend auditrecht of een meldingstermijn van dertig dagen terwijl u 24 uur nodig hebt.

3. Beperking van contractrisico's. Onderhandel over ontbrekende bepalingen, voeg een beveiligingsbijlage toe of accepteer het risico formeel met een aangewezen eigenaar.

4. Contracten volgen. Leg einddatums, opzegtermijnen en verplichtingen vast, zodat verlengingen niet ongemerkt plaatsvinden.

5. Beoordelen bij verlenging. Gebruik elke verlenging om de hiaten uit de laatste leveranciersbeoordeling aan te pakken.

Contractrisico en compliance

Contractrisico en compliance hangen steeds sterker samen. NIS2 verlangt beveiligingseisen in leveranciersovereenkomsten, DORA schrijft minimale contractvoorwaarden voor ICT-dienstverleners voor en de AVG vereist een verwerkersovereenkomst met elke verwerker. Voor contractrisicobeheer binnen inkoop is het contract daardoor niet langer alleen een juridisch document, maar ook bewijs dat u aan wettelijke verplichtingen voldoet.

Daarom zijn risico's bij contractbeheer, zoals zoekgeraakte documenten, niet-ondertekende aanvullingen en gemiste verlengingen, ook complianceproblemen. Veelvoorkomende administratieve contractrisico's zijn:

• de ondertekende versie is niet terug te vinden

• niemand weet welke contracten betrekking hebben op persoonsgegevens

• verplichtingen zijn afgesproken maar niet aan een eigenaar toegewezen

• de contracteigenaar heeft het bedrijf verlaten

Een beveiligd contractregister lost de eerste twee problemen op. Door elk contract aan het risicodossier van de leverancier te koppelen, lost u de andere op.

Hoe software voor leveranciersrisicobeheer het proces automatiseert

De waarde van de software zit niet in één bepaald scherm, maar in het feit dat elke stap automatisch de volgende in gang zet. Een gebruikelijke geautomatiseerde workflow ziet er zo uit:

1. Leverancier toegevoegd. Inkoop of een proceseigenaar registreert een nieuwe leverancier, vaak via een intakeformulier.

2. Risicoclassificatie. Een korte vragenlijst over gegevens, toegang en afhankelijkheid bepaalt de risicoklasse.

3. Beoordeling toegewezen. De klasse bepaalt welke vragenlijst naar welke persoon wordt gestuurd.

4. Bewijs aangevraagd. De leverancier ontvangt een verzoek om documenten die bij de klasse horen, zoals een ISO-certificaat of SOC 2-rapport.

5. Risicoscore berekend. Antwoorden en bewijsstukken leveren met uw eigen methodiek een restrisicoscore op.

6. Problemen geïdentificeerd. Antwoorden onder de drempelwaarde worden automatisch bevindingen, klaar voor beoordeling door een analist.

7. Verbetermaatregel toegewezen. Elke bevinding krijgt een eigenaar, deadline en herinneringen.

8. Herbeoordeling ingepland. De datum van de volgende beoordeling wordt gebaseerd op de risicoklasse, waarna de cyclus opnieuw begint.

Deze workflows zijn een voorbeeld van complianceautomatisering, waarbij terugkerende beoordelingen, bewijsverzoeken, meldingen en verbeteracties systematisch worden afgehandeld in plaats van via spreadsheets en e-mail.

Een kanttekening: automatisering versterkt het proces dat eraan ten grondslag ligt. Als uw criteria voor risicoklassen vaag zijn, verstuurt de software alleen sneller de verkeerde vragenlijst. Spreek eerst de criteria af en automatiseer daarna.

Hoe kiest u software voor leveranciersrisicobeheer?

Veel mislukte softwareselecties gaan al vóór de eerste demo mis. Het team kiest software om een ongedefinieerd proces op te lossen en richt uiteindelijk het standaardproces van de leverancier in in plaats van het eigen proces. Deze zeven stappen helpen dat te voorkomen.

1. Definieer eerst uw proces voor leveranciersrisicobeheer

Schrijf voordat u een tool bekijkt op één pagina op:

• hoeveel leveranciers u hebt en hoeveel daarvan ongeveer een hoog risico hebben

• welke risicoklassen u gebruikt en hoe ze worden bepaald

• welke beoordeling elke klasse krijgt

• wie verantwoordelijk is voor elke leveranciersrelatie

• wie een nieuwe leverancier goedkeurt en bij welk risiconiveau

• hoe vaak elke klasse opnieuw wordt beoordeeld

Als u hierover intern geen overeenstemming bereikt, lost software het probleem niet op. Lukt dat wel, dan gaat u elke demo in met duidelijke testcriteria.

2. Bepaal welke soorten risico's u moet beheren

Leveranciersrisico betekent voor verschillende teams iets anders. Maak expliciet welke risicogebieden u wilt afdekken:

• cyberbeveiliging

• privacy en gegevensbescherming

• operationele risico's en bedrijfscontinuïteit

• financiële stabiliteit

• naleving van wet- en regelgeving

• contractuele risico's

• ESG en due diligence in de toeleveringsketen

Een tool die is ingericht rond beveiligingsvragenlijsten kan cyberrisico goed ondersteunen, maar financieel risico minder goed, en andersom.

3. Kies tussen zelfstandige VRM-software en geïntegreerde GRC

Dit is de belangrijkste beslissing in het proces en wordt vaak onbewust genomen.

Zelfstandige VRM-tools zijn volledig rond de leverancier opgebouwd. Ze bieden doorgaans uitgebreide vragenlijstbibliotheken, leveranciersportalen en externe risicoratings. Ze zijn geschikt wanneer risico's van derden door een groot gespecialiseerd team worden beheerd, bijvoorbeeld bij een bank met duizenden leveranciers.

Geïntegreerde GRC-platformen behandelen leveranciersrisico als onderdeel van een breder risicobeheer- en complianceprogramma. Ze zijn geschikt wanneer leveranciersrisico moet worden gekoppeld aan:

• uw ondernemingsbrede risicoregister

• uw beheersingsraamwerk

• naleving van ISO 27001, NIS2 of DORA

• interne en externe audits

• bevindingen uit andere bronnen

• contracten en bedrijfsprocessen

Een derde optie is software voor contract lifecycle management (CLM), soms aangeboden als enterprise contract management software of software voor contractsamenwerking. CLM ondersteunt opstellen, onderhandelen en ondertekenen goed, maar beoordeelt meestal geen leveranciersrisico. Geen van de opties is per definitie beter. Het gaat erom of u de meest uitgebreide leveranciersmodule wilt of leveranciersrisico's die met de rest zijn verbonden. Voor de meeste middelgrote organisaties die met NIS2 of ISO 27001 te maken hebben, is die samenhang belangrijker dan de diepgang.

4. Controleer hoe flexibel beoordelingen en workflows zijn

Vraag de aanbieder tijdens de demo live een vragenlijst en een workflowstap aan te passen. Als dat niet direct kan en later moet gebeuren, kunt u verwachten dat elke toekomstige wijziging zo verloopt.

5. Beoordeel rapportage en traceerbaarheid

Kies tijdens de demo één leverancier en vraag: laat alle beoordelingen, bevindingen, documenten en goedkeuringen voor deze leverancier uit de afgelopen twee jaar zien. Dat is precies wat uw auditor zal vragen.

6. Controleer integraties en opslag van bewijsstukken

Vraag waar bewijsstukken en contracten worden opgeslagen, of ze exporteerbaar zijn en wat er met uw gegevens gebeurt als u vertrekt. Veel oplossingen zijn tegenwoordig contractbeheer-SaaS of cloudgebaseerde contractbeheersystemen. Vraag daarom waar gegevens worden gehost, vooral als u in de EU zit. Controleer de integraties die u daadwerkelijk nodig hebt, niet alleen de logo's op de website.

7. Beoordeel AI-functies kritisch

Bijna elke tool claimt tegenwoordig AI te hebben. Een vinkje bij 'AI: ja' zegt weinig. Stel betere vragen:

• Wat automatiseert de AI daadwerkelijk? Een vragenlijst opstellen, een SOC-rapport lezen, een score voorstellen?

• Is de uitkomst terug te leiden tot een brondocument of antwoord?

• Kan een medewerker het resultaat controleren en aanpassen voordat het definitief wordt?

• Gebruikt de AI uw eigen GRC-context, zoals beheersmaatregelen, risico's en eerdere bevindingen?

• Kan de AI gestructureerde gegevens aanmaken of bijwerken, of produceert deze alleen tekst?

• Vat de AI alleen documenten samen die u zelf ook had kunnen lezen?

AI die een SOC 2-rapport van negentig pagina's leest en de drie uitzonderingen aanwijst die relevant zijn voor uw beheersmaatregelen, bespaart echt tijd. AI die alleen een mooiere alinea over een leverancier schrijft, doet dat nauwelijks.

Checklist voor de evaluatie van software voor leveranciersrisicobeheer

Gebruik deze lijst om elke tool op uw shortlist te beoordelen. We stellen een eenvoudige schaal per criterium voor: 0 = ontbreekt, 1 = mogelijk met omwegen, 2 = werkt goed tijdens de demo. Geef de criteria die het belangrijkst zijn voor uw proces uit stap 1 een hogere weging.

• Centraal leveranciersregister met aangepaste velden

• Risicoclassificatie en indeling in klassen volgens uw eigen criteria

• Vragenlijsten die u zelf kunt aanpassen

• Automatische verzending van beoordelingen en herinneringen

• Transparante risicoscores voor leveranciers

• Koppeling van leveranciersmaatregelen aan uw raamwerken

• Bewijsbeheer met controle van vervaldatums

• Workflow voor bevindingen met eigenaren en deadlines

• Opvolging van verbetermaatregelen, inclusief acties bij leveranciers

• Contractbeheer met verlengingsmeldingen

• Periodieke herbeoordelingen per risicoklasse

• Rollen en RACI passend bij uw organisatie

• Volledig exporteerbaar auditspoor

• Standaard- en maatwerkrapportages

• Open API en de integraties die u nodig hebt

• Traceerbare AI-ondersteuning met menselijke controle

• Ondersteuning van meerdere entiteiten, bedrijfsonderdelen en dochterondernemingen

Download de checklist voor het beoordelen van software voor leveranciersrisicobeheer (Excel) met scorekolommen en ingebouwde weging.

Voorbeeld van software voor leveranciersrisicobeheer in de praktijk

Neem een Nederlands productiebedrijf met 180 externe partijen. Daaronder zijn cloudproviders, een ERP-partner, onderhoudsaannemers met externe toegang tot productielijnen, logistieke bedrijven en tientallen kleine leveranciers. Het bedrijf valt als belangrijke entiteit onder de Cyberbeveiligingswet.

Zo doorloopt één leverancier het proces: een onderhoudsaannemer die machines op de fabrieksvloer op afstand ondersteunt.

1. Leverancier geregistreerd. De plantmanager registreert de aannemer via een intakeformulier wanneer het contract wordt verlengd.

2. In de klasse hoog ingedeeld. De aannemer heeft externe toegang tot het OT-netwerk en zonder deze partij zou de fabriek binnen enkele dagen stilvallen.

3. Cyberbeveiligingsvragenlijst gestart. De risicoklasse hoog activeert automatisch de uitgebreide beveiligingsvragenlijst, inclusief vragen over externe toegang.

4. Bewijsstukken geüpload. De aannemer uploadt het ISO 27001-certificaat. De analist merkt op dat de certificeringsscope het hoofdkantoor omvat, maar niet het serviceteam in het veld.

5. Risico geïdentificeerd. Externe toegang tot OT-systemen zonder aantoonbare beveiligingsmaatregelen wordt als risico geregistreerd.

6. Beheersmaatregel gekoppeld. Het risico wordt gekoppeld aan de bestaande maatregel voor externe toegang door derden: MFA, persoonlijke accounts en sessielogging.

7. Bevinding geregistreerd. De aannemer gebruikt momenteel een gedeeld account. Er wordt een bevinding met een deadline van zestig dagen vastgelegd.

8. Verbetermaatregel toegewezen. De servicemanager van de aannemer is verantwoordelijk voor de oplossing; de plantmanager wordt geïnformeerd.

9. Herbeoordeling ingepland. Na zes weken zijn persoonlijke accounts ingericht en bewijsstukken geüpload. De volgende beoordeling wordt twaalf maanden later gepland, vóór de daaropvolgende contractverlenging.

Niets hiervan is uitzonderlijk. Maar bij gebruik van een spreadsheet stopt het proces vaak bij stap 4: het certificaat wordt opgeslagen, niemand leest de scope en het gedeelde account blijft nog een jaar in gebruik.

Hoe RiskRhino leveranciers- en derdenrisicobeheer ondersteunt

RiskRhino is een geïntegreerd GRC-platform en valt daarmee in de hierboven beschreven geïntegreerde categorie. Leveranciersrisico vormt geen afzonderlijke module met eigen gegevens; leveranciers staan in dezelfde omgeving als uw risico's, beheersmaatregelen, contracten en auditbevindingen.

In de praktijk betekent dit:

• Eén leveranciersregister dat uw ISMS ondersteunt, naast processen en informatiesystemen

• Risicobeoordelingen met dezelfde scoremethodiek als de rest van uw risicoregister

• Beheersmaatregelen die op leveranciers van toepassing zijn en tegelijkertijd aan ISO 27001, NIS2 en DORA kunnen worden gekoppeld

• Contracten gekoppeld aan de leverancier, inclusief verlengings- en beoordelingsdatums

• Bewijsstukken opgeslagen bij de bijbehorende beoordeling en beheersmaatregel

• Bevindingen en verbetermaatregelen verwerkt in dezelfde workflow als interne auditbevindingen

• RACI zodat elke leverancier, elk risico en elke actie een duidelijke verantwoordelijke heeft

• Dashboards voor management en auditors

• AI-agenten die beoordelingen opstellen, leveranciersdocumenten analyseren en risico's en bevindingen voorstellen, waarbij elk resultaat kan worden gecontroleerd voordat het wordt opgeslagen

RiskRhino is zelf ISO 27001-gecertificeerd. Het leveranciersproces dat het platform ondersteunt, is dus ook het proces dat we zelf gebruiken.

Veelgestelde vragen over software voor leveranciersrisicobeheer

Wat is software voor leveranciersrisicobeheer?

Software voor leveranciersrisicobeheer helpt risico's van leveranciers te identificeren, beoordelen, monitoren en beperken. Ze biedt een centraal leveranciersregister, voert beoordelingen uit, bewaart bewijsstukken, volgt bevindingen op en rapporteert over de status van de leveranciersportefeuille.

Wat is het verschil tussen leveranciersrisicobeheer en third-party risk management?

Leveranciersrisicobeheer richt zich op bedrijven waarvan u goederen of diensten afneemt. Third-party risk management is breder en omvat elke externe partij waarvan u afhankelijk bent, zoals partners, distributeurs, agenten en uitbestedingspartners. De meeste softwareoplossingen en regels behandelen beide als dezelfde discipline.

Wat doet TPRM-software?

TPRM-software doet hetzelfde als VRM-software, maar voor alle externe partijen: ze registreert en classificeert ze op risico, voert beoordelingen uit, volgt verbetermaatregelen op en plant herbeoordelingen. Sommige TPRM-tools voegen externe risicosignalen toe, zoals beveiligingsratings of sanctiescreening.

Wie heeft software voor leveranciersrisicobeheer nodig?

Organisaties met meer dan enkele tientallen leveranciers die gevoelige gegevens verwerken of kritieke processen ondersteunen. De software wordt bijna onmisbaar voor entiteiten die onder NIS2 of DORA vallen, ISO 27001-gecertificeerde organisaties met veel leveranciers en bedrijven die tegenover auditors of klanten moeten aantonen dat ze toezicht houden op leveranciers.

Kan leveranciersrisico in Excel worden beheerd?

Ja, bij een klein aantal leveranciers met één duidelijke eigenaar. Excel wordt onpraktisch wanneer meerdere mensen bijdragen, herinneringen en bewijsbeheer nodig zijn of u een auditor de geschiedenis van een beslissing moet kunnen tonen.

Hoe berekent u een leveranciersrisicoscore?

De meeste methoden combineren het inherente risico (wat er mis kan gaan op basis van gegevens, toegang en afhankelijkheid) met de kwaliteit van de beheersmaatregelen van de leverancier (op basis van antwoorden en bewijsstukken). Het resultaat is een restrisicoscore, vaak weergegeven als waarschijnlijkheid maal impact. Welke methode u ook gebruikt, leg deze vast en pas haar consistent toe op elke leverancier.

Wat moet een leveranciersrisicobeoordeling bevatten?

Minimaal: de betrokken diensten en gegevens, beveiligings- en privacymaatregelen van de leverancier, regelingen voor bedrijfscontinuïteit, onderaannemers, relevante certificeringen en contractuele waarborgen. De diepgang moet afhangen van de risicoklasse.

Hoe vaak moeten leveranciers opnieuw worden beoordeeld?

Een gangbare aanpak is jaarlijks voor kritieke leveranciers, elke één tot twee jaar voor leveranciers met een hoog risico en elke twee tot drie jaar voor leveranciers met een laag risico. Herbeoordeel ook na een belangrijke verandering, zoals een beveiligingsincident, overname of nieuwe dienst.

Wat is het verschil tussen leveranciersrisicosoftware en GRC-software?

Leveranciersrisicosoftware richt zich alleen op leveranciers. GRC-software omvat governance, ondernemingsrisico's, beheersmaatregelen, compliance en audits, met leveranciersrisico als onderdeel daarvan. Een geïntegreerd GRC-platform verbindt leveranciersrisico's rechtstreeks met uw risicoregister en compliancerapportage, in plaats van ze in een afzonderlijk systeem te beheren.

Wat is contractrisicobeheer?

Contractrisicobeheer betekent risico's uit contracten identificeren, beoordelen en beperken: ontbrekende clausules, onduidelijke verplichtingen, gemiste verlengingen en voorwaarden die niet passen bij het risico van de relatie. Voor leveranciers is het een essentieel onderdeel van leveranciersrisicobeheer, omdat het contract bepaalt hoe u beveiligings- en compliance-eisen afdwingt.

Wat zijn veelvoorkomende contractrisico's?

De meest voorkomende contractrisico's bij leveranciers zijn ontbrekend auditrecht, geen termijn voor incidentmeldingen, ongecontroleerde onderaanneming, zwakke bepalingen voor gegevensbescherming, ongemerkte automatische verlengingen en het ontbreken van een exit- of gegevensretourclausule.

Is software voor contractrisicobeheer hetzelfde als CLM?

Niet helemaal. Software voor contractrisicobeheer richt zich op de vraag of contracten u beschermen en aan uw verplichtingen voldoen. Contract lifecycle management (CLM) richt zich op het opstellen, goedkeuren, ondertekenen en opslaan van contracten. Veel organisaties gebruiken CLM voor juridische workflows en een GRC- of VRM-platform om contracten aan leveranciersrisico en compliance te koppelen.