Avaliações de hierarquização de risco de terceiros — Processo legado
As organizações usam o hierarquização de risco para classificar seus terceiros em categorias de risco potencial apresentados no momento da integração. Os níveis de risco predefinidos padrão são Nenhum, Baixo, Secundário, Moderado, Alto e Crítico. Cada nível de risco tem perguntas de avaliação e solicitações de documentos associadas.
O processo de IRQ mais completo substitui a hierarquização
Na aplicação TPRM, o IRQ é um questionário interno que melhora o processo de avaliação de hierarquização original. Os IRQs aprimoram as avaliações de risco internas com maior flexibilidade, controle e escalabilidade. Ao contrário de uma avaliação de hierarquização em que os questionários externos são determinados exclusivamente pelo nível de risco, um IRQ pode acionar dinamicamente questionários externos com base nas respostas dos entrevistados e no nível de risco.
Para habilitar uma transição perfeita para TPRM, você tem a opção de duplicar as avaliações de hierarquização existentes e designá-las como avaliações internas de IRQ. O nível de risco é compatível como um processo legado imutável.
Operação legada
- A maioria das organizações importa o portfólio de terceiros por meio de uma planilha ou de uma integração com outra solução de integração. Os gerentes de risco de terceiros (TPR) fazem atualizações contínuas nas informações de terceiros, incluindo pontuações de segurança de risco e níveis de risco.
- O gerente de TPR ou avaliador de TPR determina o nível de risco ou as categorias de exposição de risco para o terceiro.
- O gerente de TPR seleciona o terceiro, atribui o modelo de questionário de hierarquização e atribui o avaliador interno necessário para concluir a avaliação.
Figura 1. Relacionamento da tabela de avaliação de hierarquização de risco - As partes interessadas internas navegam até para concluir e enviar a avaliação.
- Depois que o avaliador interno respondeu ao questionário, o sistema calcula a pontuação de hierarquização como a média de todas as pontuações. O gerente de TPR pode iniciar a avaliação de risco ou uma regra de negócio configurada pode enviar uma automaticamente. Quando a avaliação é encerrada, o sistema atribui um nível de risco ao terceiro com base na pontuação de hierarquização.
Escala de hierarquização de risco e cálculos de pontuação
- A avaliação de hierarquização inicia uma instância de avaliação para o avaliador interno atribuído.
- As pontuações de resposta são calculadas para gerar a pontuação de hierarquização.
- A pontuação de hierarquização é mapeada para camadas de risco.
- O nível de risco é atribuído ao terceiro quando a avaliação de hierarquização é encerrada.