評估廠商風(fēng)險管理方案應(yīng)考慮哪些問題

廠商風(fēng)險管理是今年的熱門話題，并且提供風(fēng)險管理方案的企業(yè)也在不斷增多。正如安全領(lǐng)域中的其他市場一樣，多數(shù)廠商都在使用同樣的營銷手段。每個廠商似乎都宣稱可以提供其他廠商能提供的一切功能和特性。企業(yè)似乎很難評估不同的廠商。

廠商的風(fēng)險管理是一種重要功能。第三方給企業(yè)帶來的風(fēng)險需要作為戰(zhàn)略性整體風(fēng)險管理方法的一個完整組成部分來理解和管理。多數(shù)企業(yè)都理解這一點，并且期望在不遠(yuǎn)的將來解決這種需要。那么在廠商風(fēng)險管理陣地存在諸多迷惑情況下，企業(yè)如何理清思路，評估和區(qū)分不同的產(chǎn)品呢？筆者以為需考慮如下七個問題：

不存在適用于多企業(yè)的方案

在不同的規(guī)范、標(biāo)準(zhǔn)、行業(yè)之間存在很多相同的控制，但這種相同之處并不全面。企業(yè)要關(guān)注不同的問題，這依賴于行業(yè)、企業(yè)規(guī)模、地理位置、處理的數(shù)據(jù)類型、電子訪問企業(yè)的類型，以及在企業(yè)評估第三方風(fēng)險時的很多其他問題。

半導(dǎo)體行業(yè)的企業(yè)所關(guān)注的問題往往不同于金融。同樣，能源、健康保健等行業(yè)的問題也各不相同。如果你正在考慮一種可以提供“以一當(dāng)十”的廠商風(fēng)險管理方案，但卻不能導(dǎo)入企業(yè)的客戶評估，不能真正解決企業(yè)期望和關(guān)注的問題，那么就應(yīng)慎重考慮了。

掃描并不夠

從外部掃描廠商的外圍可以揭示企業(yè)總體安全狀況的部分特征嗎？當(dāng)然可以，但是僅僅掃描是遠(yuǎn)遠(yuǎn)不夠的。掃描不能告訴我們關(guān)于人員、過程及廠商的策略等信息，也不能提供廠商如何能夠或不能保護(hù)敏感信息。而這些方面都是真正確定廠商的安全項目在管理和減輕風(fēng)險時非常重要的問題。

衡量標(biāo)準(zhǔn)不容易

對于廠商的風(fēng)險管理，要找到一套衡量標(biāo)準(zhǔn)并不容易。也許我們可以收集幾個廠商的數(shù)據(jù)，并且對其安全狀況做出個別的評估。

但要比較這些廠商也不容易。適時地跟蹤已經(jīng)確認(rèn)的問題，并評估其解決方案？恐怕也沒有太好的辦法。從一個集中化的管理平臺管理與廠商的通信？也不太容易。理解每家不同廠商的不同進(jìn)展？建立總體的風(fēng)險快照，以期望對一系列參數(shù)的不同報告進(jìn)行分片或劃分？

評測

理解廠商給企業(yè)帶來的風(fēng)險是有益的。但了解企業(yè)風(fēng)險或廠商風(fēng)險如何與企業(yè)的地理位置、行業(yè)、公司規(guī)模或其他參數(shù)進(jìn)行比較有什么意義呢？對于任何廠商風(fēng)險管理方案來說，這極端重要。如果廠商風(fēng)險管理供應(yīng)商并不能提供評測，這就等于告訴你應(yīng)另請高明。

過程為王

自動化的廠商風(fēng)險管理方案尋求取代打電話、采訪、電子表等陳舊的廠商風(fēng)險評估方法。任何可行的廠商風(fēng)險管理方案都需要能提高一種端到端的自動過程，能通過一個集中化的界面快速而輕松地實施管理。在這個時代，其他的一切都是陳舊的。

僅指出錯在哪里是不夠的

指出哪里出錯是個起點。但是，建議如何解決問題，并且提供一種從頭到尾管理此過程的好方法，才是自動化的廠商風(fēng)險管理方案的真正價值所在。

關(guān)于解決問題的建議正是區(qū)分不同廠商風(fēng)險管理方案的真正重要特性。

支持決策

最終，企業(yè)需要理解其風(fēng)險，并使用這種信息做出可行的修復(fù)決策。任何真正的廠商風(fēng)險管理都需要能夠促進(jìn)而不是應(yīng)對這種過程。

在廠商風(fēng)險管理領(lǐng)域，確實存在相當(dāng)數(shù)量的“選手”，而且這個領(lǐng)域在短時間內(nèi)存在諸多混亂和噪音。雖如此，企業(yè)仍可以用很多方法去正確地評估和區(qū)分各種廠商風(fēng)險管理方案。