La gestion des risques par des tiers et la règle des garanties de la loi Gramm-Leach-Bliley

(1) prendre des mesures raisonnables pour sélectionner et conserver des prestataires de services capables de maintenir des garanties appropriées pour les informations sur les clients en question ;

Centraliser et automatiser la distribution, la comparaison et la gestion des appels d'offres et des demandes de renseignements.

Examiner les risques d'un fournisseur de services tiers potentiel - y compris les risques commerciaux, opérationnels, de réputation, financiers et les violations de données antérieures - afin d'éclairer et de contextualiser les décisions de sélection d'un tiers et de s'assurer que le fournisseur de services sélectionné répond non seulement aux exigences techniques mais aussi aux seuils de risque acceptables.

Une plateforme complète de gestion des risques liés aux tiers (TPRM) fera alors automatiquement passer un tiers sélectionné dans la phase de contractualisation et déclenchera un contrôle préalable plus approfondi.

(2) exiger par contrat de vos prestataires de services qu'ils mettent en œuvre et maintiennent de telles garanties ;

Centraliser la distribution, la discussion, la conservation et l'examen des contrats des fournisseurs de services tiers afin de s'assurer que les principales dispositions contractuelles sont incluses et appliquées tout au long du cycle de vie des tiers.

Une solution de gestion du cycle de vie des contrats doit comporter les éléments suivants

• Suivi centralisé de tous les contrats et de leurs attributs, tels que le type, les dates clés, la valeur, les rappels et le statut, avec des vues personnalisées et basées sur les rôles.
• Profilage de documents basé sur l'IA qui permet d'extraire des dispositions clés pour un suivi automatisé.
• Des fonctionnalités de flux de travail (basées sur l'utilisateur ou le type de contrat) pour automatiser le cycle de vie de la gestion des contrats.
• Des rappels automatisés et des avis de retard pour rationaliser l'examen des contrats.
• Discussion centralisée des contrats et suivi des commentaires.
• Stockage des contrats et des documents avec des autorisations basées sur les rôles et des pistes d'audit de tous les accès.
• Suivi du contrôle des versions qui permet de modifier les contrats et les documents hors ligne.
• Permissions basées sur les rôles qui permettent la répartition des tâches, l'accès aux contrats et l'accès à la lecture, à l'écriture et à la modification.

Comme pour le point (1) ci-dessus, le site Prevalent comprend des flux de travail automatisés qui font passer les fournisseurs sous contrat à d'autres étapes de diligence raisonnable, le cas échéant.

(3) évaluer périodiquement vos fournisseurs de services en fonction du risque qu'ils présentent et du maintien de l'adéquation de leurs garanties.

Recherchez une solution qui propose une vaste bibliothèque de modèles préétablis pour l'évaluation des risques liés aux tiers. Les évaluations doivent être réalisées au moment de l'intégration du fournisseur, du renouvellement du contrat ou à toute autre fréquence requise (par exemple, trimestriellement ou annuellement) en fonction des changements importants survenus dans la relation.
Les principales capacités d'évaluation de la sécurité des données et de la protection de la vie privée doivent inclure :

• Des évaluations régulières et une cartographie des relations pour révéler où se trouvent les données personnelles, où elles sont partagées et qui y a accès - le tout résumé dans un registre des risques qui met en évidence les expositions critiques.
• Évaluations de l'impact sur la vie privée pour découvrir les données commerciales à risque et les informations personnelles identifiables (PII).
• Cartographie des risques et des réponses en fonction des contrôles. Comprend des évaluations de conformité en pourcentage et des rapports spécifiques aux parties prenantes.

Les évaluations doivent être gérées de manière centralisée et s'appuyer sur un flux de travail, une gestion des tâches et des capacités d'examen automatisé des preuves afin de garantir que votre équipe a une visibilité sur les risques liés aux tiers tout au long du cycle de vie de la relation.

Il est important qu'une solution TPRM comprenne des recommandations intégrées de remédiation basées sur les résultats de l'évaluation des risques afin de garantir que vos tiers traitent les risques de manière opportune et satisfaisante et qu'ils puissent fournir les preuves appropriées aux auditeurs.

Dans le cadre de ce processus, suivre et analyser en permanence les menaces externes qui pèsent sur les tiers. Surveillez l'Internet et le dark web pour détecter les menaces et les vulnérabilités sur cyber , ainsi que les sources publiques et privées d'informations sur la réputation, les sanctions et les finances.

Toutes les données de contrôle devraient être mises en corrélation avec les résultats de l'évaluation et centralisées dans un registre des risques unifié pour chaque fournisseur, afin de rationaliser l'examen des risques, l'établissement de rapports et les initiatives de réponse.