Outsourcing-risico's mitigeren: Een CIO-gids voor veilige IT-partnerschappen

Bedrijven draaien steeds meer hun gehele of een deel van hun informatietechnologie-functies over aan externe dienstverleners. Hoewel dit bepaalde efficiënties kan creëren, is de organisatie nog steeds uiteindelijk verantwoordelijk voor risico's geassocieerd met de beschikbaarheid en functies van IT-diensten, evenals correcte toegang en gebruik van bedrijfsdata.

Dit betekent dat de chief information officer of equivalent IT-leider moet zorgen dat geselecteerde dienstverleners de juiste structuur, financiële stabiliteit en continuïteitsplannen hebben om consistent de gecontracteerde diensten te leveren.

Het betekent ook dat IT-leiders de effectiviteit van de beleidsregels en procedures van de dienstverlener moeten beoordelen, om de integriteit en beveiliging van de gevoelige data en proprietäre informatie van het bedrijf te waarborgen.

Een geschatte $1 biljoen per jaar industrie, IT-outsourcing neemt veel vormen aan. Een organisatie kan zijn hele IT-afdeling aan een vendor overdragen, of er een inhuren om data center-operaties, netwerkbeheer of andere specifieke functies uit te voeren.

Algemeen geoutsourste IT-functies omvatten:

• Software-applicatieontwikkeling,
• Software-applicatieondersteuning,
• Data-center operaties,
• Helpdesk-ondersteuning,
• Netwerkbeheer,
• Cyberbeveiliging,
• Platform of infrastructure as a service, en
• Software as a service.

In het verleden focusten CIO's primair op de fysieke product-supply chain. Vandaag de dag moeten ze zich echter zorgen maken over de supply chain voor zowel producten als diensten.

Het beoordelen en managen van risico's in derde-partij technologie-dienstverleners kan een uitdaging zijn, aangezien aanzienlijke delen van de service-omgevingen onder controle zijn van de aanbieder, en waarschijnlijk buiten het gezichtsveld vallen van de verwervende organisatie. Due diligence moet vooraf worden uitgevoerd om de risico's te beoordelen die geassocieerd zijn met het inhuren van een externe partij.

Voordat men engageert met een IT-dienstverlener, moet de CIO begrijpen:

• Wat er geoutsourced wordt,
• Welke zakelijke processen zullen worden ondersteund door de dienst,
• Welke data zal worden opgeslagen, verwerkt of toegankelijk via de geoutsourced dienst, en
• Wie toegang zal hebben tot systemen, applicaties en data gerelateerd aan de geoutsourced dienst.

Het proces kan beginnen met een basis IT-diensten risicobeoordelingsformulier, ontworpen om antwoorden op deze vragen van medewerkers binnen de organisatie vast te leggen. Daarnaast kan een leverancier pre-assessment formulier gebruikt worden om voorlopige informatie van een potentiële dienstverlener te verzamelen. Veelvoorkomende vragen in een leverancier pre-assessment formulier omvatten:

• Heeft uw bedrijf ooit faillisement aangevraagd?
• Omvat uw bedrijfsverzekeringspolis fouten- en weglatingsschade (of algemene aansprakelijkheid) claims? Zo ja, wat zijn de limieten van de polis?
• Is uw bedrijf betrokken bij lopende Rechtszaken?
• Is uw bedrijf ooit partij geweest bij een regulatorisch onderzoek?
• Heeft uw bedrijf een privacybeleid?
• Heeft uw bedrijf een gedocumenteerd beveiligingsprogramma?
• Gaakt uw bedrijf akkoord om een vragenlijst over uw informatiebeveiligings- en privacyprogramma's in te vullen?
• Heeft uw bedrijf een Service Organization Controls (SOC) rapport?
• Heeft uw bedrijf een uitgebreid bedrijfscontinuïteitsplan om de continuïteit van operaties te adresseren in het geval van incidenten die normale operaties storen?

Deze beoordelingsformulieren zouden voldoende informatie moeten bieden om te bepalen of additionele due diligence nodig is. Gebaseerd op het niveau van potentiële risico, kan deze additionele due diligence omvatten het vereisen van de dienstverlener om te reageren op een meer gedetailleerde vragenlijst; het in detail bekijken van de SOC-rapportage van de dienstverlener, of het inhuren van de interne auditfunctie van de organisatie of een gekwalificeerd extern auditbureau om een leveranciersbeoordeling uit te voeren.

Het uitvoeren van deze beoordelingen is cruciaal bij het vestigen van een relatie met een nieuwe aanbieder. Het is ook belangrijk om elke leverancier op een lopende basis te blijven beoordelen. De frequentie en omvang van die beoordelingen moeten gebaseerd zijn op de risico's geassocieerd met de geleverde diensten.

Deze beoordelingen zijn afgestemd op dienstverleners, maar de concepten kunnen aangepast worden voor cruciale technologieproductleveranciers ook. Het belangrijkste is dat de CIO de potentiële risico's begrijpt van het engageeren met een leverancier, en een begrip heeft van hoe elke leverancier haar zakelijke risico's managt. Op die manier zal de CIO beter in staat zijn om de impact van outsourcing-risico's op de organisatie te anticiperen.

Dienstverlenerbeoordelingen kunnen toegewezen worden aan verschillende functies binnen een organisatie, inclusief IT, risicomanagement of interne audit. Beoordelingen kunnen ook uitgevoerd worden door een gekwalificeerde derde partij.

Echter, het is de verantwoordelijkheid van de CIO of equivalent IT-leider om de informatie die verzameld is uit de beoordelingen te bekijken, en te bepalen of het engageeren met de voorgestelde technologie-dienstverlener afgestemd is op de doelen en risicotolerantieniveaus van de organisatie. Een grondige beoordeling vandaag helpt grotere problemen de weg te werken.

Robert Neill is director of CIO Advisory Services voor Weaver, een nationale CPA en adviesfirma.