TPRM Intelligence · Πιλοτικό πρόγραμμα
Δείτε καθαρά τον κίνδυνο των τρίτων σας, με τα στοιχεία που τον τεκμηριώνουν
Μια δομημένη υπηρεσία αξιολόγησης και παρακολούθησης προμηθευτών για τράπεζες και χρηματοπιστωτικά ιδρύματα στην Ελλάδα. Η υπηρεσία βρίσκεται υπό διαμόρφωση και ανοίγουμε περιορισμένο πιλοτικό πρόγραμμα, για να τη σχεδιάσουμε μαζί με τις ομάδες που θα τη χρησιμοποιούν.
Γιατί τώρα
Τα ιδρύματα βασίζονται σε ένα ευρύ δίκτυο τεχνολογικών παρόχων, cloud, fintech, call centres και συμβούλων. Κάθε σχέση φέρνει κινδύνους ICT, λειτουργικούς, οικονομικούς, απορρήτου, συγκέντρωσης και φήμης.
DORA
Ο Κανονισμός (ΕΕ) 2022/2554 εφαρμόζεται από τις 17 Ιανουαρίου 2025 και περιλαμβάνει απαιτήσεις για τον κίνδυνο ICT από τρίτους παρόχους.
Κατευθύνσεις EBA
Κατευθυντήριες γραμμές και εποπτικές προσδοκίες για τη διαχείριση κινδύνου τρίτων, που αφορούν και υπηρεσίες εκτός ICT.
GDPR και Τράπεζα της Ελλάδος
Υποχρεώσεις προστασίας δεδομένων, μαζί με τις σχετικές απαιτήσεις και εποπτικές προσδοκίες της Τράπεζας της Ελλάδος.
Η εφαρμογή κάθε πλαισίου εξετάζεται ανά ίδρυμα, υπηρεσία και σύμβαση.
Τι περιλαμβάνει
Πέντε δυνατότητες που καλύπτουν την αξιολόγηση, τη διόρθωση και τη συνέχεια.
Αξιολόγηση κινδύνου
Εγγενής και υπολειπόμενος κίνδυνος, με τεκμηριωμένη μεθοδολογία.
Έλεγχος συμμόρφωσης
Αντιστοίχιση απαιτήσεων με δικλίδες, τεκμήρια και κενά.
Χαρτογράφηση υπεργολάβων
Εξαρτήσεις υπηρεσιών και σχετικές αλυσίδες υπεργολαβίας.
Συνεχής παρακολούθηση
Συμφωνημένες αλλαγές, περιστατικά, ανανέωση τεκμηρίων και πορεία διορθώσεων.
Αναφορές διοίκησης
Σύντομες συνόψεις για προμήθειες, κίνδυνο, συμμόρφωση και τεχνολογία.
Η έκθεση αξιολόγησης
Εννέα ενότητες, με κάθε εύρημα να παραπέμπει στο τεκμήριό του.
- 01
Σύνοψη κινδύνου
Συνολική εικόνα, ουσιώδη ευρήματα, βασικές εξαρτήσεις και προτεινόμενες ενέργειες.
- 02
Προφίλ προμηθευτή
Νομική οντότητα, ιδιοκτησία, υπηρεσία, οικονομικά στοιχεία και δημόσιοι έλεγχοι.
- 03
Κυβερνοασφάλεια και ICT
Διακυβέρνηση, δικλίδες, ευπάθειες, απόκριση σε περιστατικά και τεκμήρια διασφάλισης.
- 04
DORA και τρίτοι πάροχοι ICT
Κατάταξη υπηρεσίας, κρισιμότητα, συμβατικοί όροι, υπεργολαβία, μητρώο και σχέδια εξόδου.
- 05
Επιχειρησιακή συνέχεια
Συνέχεια, ανάκαμψη από καταστροφή, δοκιμές, RTO και RPO.
- 06
Προστασία δεδομένων
Ρόλοι επεξεργασίας, συμφωνίες, πρόσβαση, τοποθεσία, διατήρηση και ασφάλεια.
- 07
Οικονομικός και λειτουργικός κίνδυνος
Οικονομική αντοχή, εξαρτήσεις, συγκέντρωση και δυνατότητα υποκατάστασης.
- 08
ESG και φήμη
Πολιτικές, έλεγχος κυρώσεων και δυσμενή δημοσιεύματα, με νόμιμους και αναλογικούς ελέγχους.
- 09
Βαθμολόγηση και αποκατάσταση
Ευρήματα, τεκμήρια, σοβαρότητα, υπεύθυνοι, προθεσμίες και παρακολούθηση.
Πώς βαθμολογούμε
- Ένας υψηλός συνολικός βαθμός δεν κρύβει ποτέ μια κρίσιμη αστοχία δικλίδας.
- Υποχρεωτικά κριτήρια κλιμάκωσης, κανόνες ποιότητας τεκμηρίων και όρια διάθεσης ανάληψης κινδύνου.
- Χωριστή εικόνα εγγενούς και υπολειπόμενου κινδύνου.
- Κάθε βαθμός συνδέεται με τεκμήρια και με το σκεπτικό του αξιολογητή.
Τι δεν είναι
- Δεν είναι πιστοποίηση, ούτε βεβαιώνει αυτόματα συμμόρφωση με τον DORA ή άλλο πλαίσιο.
- Δεν μεταφέρει την ευθύνη του ιδρύματος για την επιλογή και την εποπτεία των προμηθευτών.
- Οι δημόσιες πηγές μόνες τους δεν υποκαθιστούν τα τεκμήρια του προμηθευτή ή τον τεχνικό έλεγχο.
- Penetration testing, επιτόπιοι έλεγχοι και νομικές γνωμοδοτήσεις οριοθετούνται και τιμολογούνται χωριστά.
- Πριν από κάθε αξιολόγηση γίνεται έλεγχος σύγκρουσης συμφερόντων και δίνεται δήλωση ανεξαρτησίας.
Το πιλοτικό πρόγραμμα
Λίγες αξιολογήσεις, με σαφές αντικείμενο και εξουσιοδοτημένη πρόσβαση.
- 01
Συζήτηση
Οι ομάδες σας μας λένε τι λείπει σήμερα και ποιοι προμηθευτές προέχουν.
- 02
Συμφωνία αντικειμένου
Ορίζουμε προμηθευτή, υπηρεσία, όρια αξιολόγησης και πρόσβαση.
- 03
Αξιολόγηση και έκθεση
Εξετάζουμε τα τεκμήρια και παραδίδουμε έκθεση με προτεραιότητες αποκατάστασης.
- 04
Βαθμονόμηση
Μαζί προσαρμόζουμε μεθοδολογία, βάρη, προσπάθεια και εμπορικό μοντέλο.
Ορατότητα κινδύνου. Κανονιστική ετοιμότητα. Καλύτερες αποφάσεις για τους προμηθευτές.