# Third Party Risk Management (TPRM) > Swiss GRC bietet mit der SwissGRC® Plattform ein TPRM-Modul an. Es inventarisiert Lieferanten und Dienstleister, stuft sie nach Kritikalität ein, überwacht sie laufend und erstellt revisionssichere Berichte, vom Onboarding bis zum Exit. - URL: https://swissgrc.com/tprm-software/ - Herausgeber: SwissGRC® - Veröffentlicht: 2025-07-08 - Zuletzt aktualisiert: 2026-10-07 ## Kernaussagen - Das TPRM-Modul von Swiss GRC deckt den gesamten Lebenszyklus einer Drittpartei ab, von der Aufnahme bis zum Exit. - Der Prozess umfasst fünf Schritte: Onboarding und Erfassung, Bewertung und Klassifikation, kontinuierliches Monitoring, automatisiertes Reporting sowie Massnahmen und Exit. - Die fünf Schritte gliedern sich in neun Phasen, jeweils mit Verantwortlichem, Frist und einem im Audit vorlegbaren Ergebnis. - Externe Datenquellen sind angebunden, darunter Prospero, SecurityScorecard, BitSight und Synesgy von CRIF. - Das Modul bezieht sich auf regulatorische Erwartungen an Auslagerungen, genannt werden DORA Art. 28 bis 30, FINMA-RS 2018/3, EBA-Leitlinien und ISO/IEC 27036. - Das Third-Party Intelligence Center screent alle Drittparteien auf Sanktionen, PEP und negative Medien und eskaliert nur bei einem Signal zur vertieften Prüfung. Third-Party Risk Management # Sie kennen Ihre Dienstleister. Kennen Sie auch Ihre Abhängigkeiten? Lieferanten und Dienstleister inventarisieren, nach Kritikalität einstufen, laufend überwachen und revisionssicher berichten: Swiss GRC macht Ihr Drittparteienrisiko steuerbar. **Über den gesamten Lebenszyklus**, von der Aufnahme bis zum Exit. Demo anfordern So funktioniert es Vertraut von führenden Organisationen Worauf es ankommt ## Von der Lieferantenliste zum steuerbaren Portfolio Ein Verzeichnis der Verträge hat jede Organisation. Den Unterschied macht, ob daraus ein Risikobild wird, das heute noch stimmt. Die häufige Ausgangslage ### Verträge bekannt, Risiken geschätzt Dienstleister stehen in Tabellen, Fragebögen kommen per Mail zurück, geprüft wird zur Vertragsverlängerung. Wer von wem abhängt, zeigt sich erst im Ausfall. - Lieferantenliste in Tabellen, Services nicht zugeordnet - Fragebögen per Mail, Antworten ohne Nachweis - Bewertung bei der Aufnahme, danach kein Reassessment - Konzentrationen und Subdienstleister unsichtbar Mit der SwissGRC® Plattform ### Ein Verzeichnis, das mitdenkt Dienstleister, Services, Verträge, Risiken und Kontrollen hängen zusammen. Bewertungen haben Fristen, Signale von aussen laufen ein, Befunde werden zu Massnahmen. - Dienstleister und Services in einem Verzeichnis verknüpft - Assessments mit Workflow, Frist und Beleg - Laufendes Monitoring statt Momentaufnahme - Kritische Auslagerungen jederzeit ausweisbar So funktioniert es ## Fünf Schritte, ein geschlossener Kreis Vom ersten Antrag bis zur Massnahme, und von dort zurück in die nächste Bewertung. Wählen Sie einen Schritt. Laufend, nicht einmalig 01*/05* Onboarding und Erfassung *Phasen*Scoping*·*Identifikation*·*Outsourcing-Klassifizierung ### Jede Drittpartei erfasst, jeder Service zugeordnet Lieferanten, Dienstleister und ihre Services kommen über einen geführten Antragsweg ins Verzeichnis. Die Einstufung nach Servicekategorie, Region und Kritikalität entsteht dabei, nicht Monate danach. Alle Phasen ansehen 1. Zentrale Inventarisierung von Dienstleistern und Services 2. Geführter Antrags- und Freigabeweg 3. Scoping und Identifikation 4. Outsourcing-Klassifizierung 5. Zuordnung zu Verträgen und Verantwortlichen 6. Import bestehender Lieferantenlisten 02*/05* Bewertung und Klassifikation *Phasen*Risikoanalyse*·*Due Diligence ### Vom inhärenten Risiko zur belegten Kritikalität Sicherheit, Compliance, Business Continuity und Finanzstabilität in einem abgestimmten Fragenkatalog. Aus den Antworten entsteht ein Risikoprofil je Dienstleister und je Service, nicht nur je Vertrag. Alle Phasen ansehen 1. Risikoanalyse und Bewertung 2. Umfassende Due Diligence 3. Fragebögen mit Selbstauskunft des Dienstleisters 4. Bewertung je Service und je Dienstleister 5. Kritische Auslagerungen identifiziert 6. Verknüpfung mit Risiken und Kontrollen 03*/05* Kontinuierliches Monitoring *Phasen*Monitoring*·*Vertragsmanagement ### Der Risikostatus altert nicht Externe Signale und interne Fristen laufen zusammen. Verändert sich die Cyberbewertung, das Sanktionsbild oder die Finanzlage eines Dienstleisters, meldet sich das Verzeichnis selbst. Screening ansehen 1. Laufende Überprüfung des Risikostatus 2. Externe Datenquellen angebunden 3. Warnungen bei kritischen Änderungen 4. Wiederkehrende Reassessments nach Risikostufe 5. Vertragslaufzeiten und Fristen im Blick 6. Reassessments terminiert und dokumentiert 04*/05* Automatisiertes Reporting *Phasen*Reporting*·*Analyse ### Auditbereit, ohne Vorbereitungswoche Portfolio, Konzentrationen und kritische Auslagerungen in einer Auswertung. Was die Aufsicht sehen will, ist bereits erhoben und nicht erst zusammenzustellen. Einblick ins Produkt 1. Dashboards zu Leistung und Risiko 2. Auswertungen für Aufsicht und Audit 3. Sicht auf Konzentrationen und Abhängigkeiten 4. Informationsregister kritischer Auslagerungen 5. Reporting je Bereich und je Dienstleister 6. Nachweise mit Datum und Person 05*/05* Massnahmen und Exit *Phasen*Massnahmen*·*Exit- und Übergangsplanung ### Aus Erkenntnis wird Handlung Jeder Befund führt zu einer Massnahme mit Verantwortung und Frist. Und wenn eine Beziehung endet, liegt der Ausstieg geplant vor, bevor er gebraucht wird. Demo anfordern 1. Massnahmen mit Verantwortung und Frist 2. Automatische Aufgabenzuweisung 3. Eskalation bei Überschreitung 4. Exit- und Übergangsplanung 5. Alternativen und Abhängigkeiten dokumentiert 6. Wirksamkeit der Massnahmen belegt Einblick ins Produkt ## Was Sie am Morgen als Erstes sehen Kein Klickpfad durch Menüs, sondern drei Sichten, die den Zustand Ihres Drittparteienportfolios in Sekunden beantworten. ![Ansichten aus dem TPRM-Modul der SwissGRC Plattform: Risiko-Dashboard, Service-Katalog und Kritikalitätsbewertung](https://swissgrc.com/wp-content/uploads/2025/04/Isometric-screenshots-net-background.png) 01 #### Portfolio auf einen Blick Anzahl kritischer Dienstleister, Verteilung der Risikoklassen und offene Prüfungen, aggregiert über das ganze Verzeichnis. 02 #### Services statt nur Dienstleister Das Verzeichnis zeigt, welcher Service an welchem Dienstleister hängt und welcher Geschäftsprozess davon abhängt. 03 #### Kritikalität und Compliance Je Service Status, Kritikalität und Compliance-Bewertung nebeneinander, filterbar nach Bereich und Region. Angebunden an **externe Datenquellen**, damit Bewertungen nicht nur auf Selbstauskunft beruhen. Signale aus diesen Quellen laufen in das Monitoring Ihrer Drittparteien ein. ![Prospero](https://swissgrc.com/wp-content/uploads/2025/07/Prospero-Logo-pos-rgb.png) Prädiktive Analysen und Entscheidungsunterstützung auf KI-Basis. ![SecurityScorecard](https://swissgrc.com/wp-content/uploads/2025/04/SecurityScorecard.png) Systematische Bewertung der Cybersicherheitslage von Dienstleistern. ![BitSight](https://swissgrc.com/wp-content/uploads/2025/07/Bitsight-Logo.png) Analyse und Bewertung von Cyberrisiken über externe Signale. ![Synesgy von CRIF](https://swissgrc.com/wp-content/uploads/2023/12/criflogo.png) Synesgy von CRIF, spezialisiert auf die ESG-Bewertung von Unternehmen. Der Lebenszyklus im Detail ## Neun Phasen, neun belegbare Ergebnisse Die fünf Schritte zerfallen in neun Phasen. Jede hat einen Verantwortlichen, eine Frist und ein Ergebnis, das im Audit vorgelegt werden kann. Etappe 1 . Phasen 01 bis 03 Aufnahme und Scoping Wer ist überhaupt im Bild? 1. #### Inventar der Drittparteien und Services Lieferanten, Dienstleister und ihre Services zentral erfasst, mit Verantwortlichen, Verträgen und den zugehörigen Risiken verknüpft. *Ergebnis***Verzeichnis der Dienstleister und Services**, jederzeit auswertbar 2. #### Scoping und Identifikation Geltungsbereich des Drittparteienrisikomanagements festlegen und die relevanten Dienstleister und Services identifizieren. *Ergebnis***Dokumentierter Geltungsbereich** mit Begründung 3. #### Outsourcing-Klassifizierung Auslagerungen kategorisieren und wesentliche von unwesentlichen unterscheiden, nach nachvollziehbaren Kriterien. *Ergebnis***Wesentlichkeitsbeurteilung** je Auslagerung Etappe 2 . Phasen 04 bis 06 Prüfung und Vertrag Wie gross ist das Risiko wirklich? 1. #### Risikoanalyse und Bewertung Risikoprofil je Dienstleister und je Service ermitteln, inhärent und nach Wirkung der vereinbarten Kontrollen. *Ergebnis***Risikoprofil brutto und netto** je Service 2. #### Umfassende Due Diligence Geschäftspraxis, Compliance und Sicherheitsstandards der Dienstleister prüfen, mit Fragebogen, Beleg und Freigabe. *Ergebnis***Due-Diligence-Dossier** mit Nachweisen 3. #### Vertragsmanagement Vertragsbedingungen, Kündigungsfristen und vereinbarte Pflichten überwachen und Lücken früh erkennen. *Ergebnis***Vertragsübersicht** mit Fristen und Pflichten Etappe 3 . Phasen 07 bis 09 Betrieb und Beendigung Bleibt es unter Kontrolle? 1. #### Kontinuierliches Monitoring Risikostatus laufend aktualisieren, Signale von aussen aufnehmen und bei Abweichungen reagieren statt zur Verlängerung. *Ergebnis***Aktueller Risikostatus** und ausgelöste Warnungen 2. #### Reporting und Analyse Leistung und Risiko der Dienstleister in Dashboards, adressatengerecht für Fachbereich, interne Revision und Board. *Ergebnis***Board- und Aufsichtsbericht** auf Knopfdruck 3. #### Exit- und Übergangsplanung Ausstieg strukturiert planen, Alternativen dokumentieren und Übergänge ohne Unterbrechung der Prozesse führen. *Ergebnis***Exit-Plan** mit Übergangsschritten und Alternativen Aufgebaut auf den **regulatorischen Erwartungen an Auslagerungen**, von der Wesentlichkeitsprüfung bis zum Nachweis. DORA Art. 28 bis 30 FINMA-RS 2018/3 EBA-Leitlinien ISO/IEC 27036 Third-Party Intelligence Center KI-gestütztes Screening für Ihr gesamtes Register Breite Abdeckung, gezielte Tiefe: Das Intelligence Center screent alle Drittparteien auf Sanktionen, PEP und negative Medien und eskaliert nur dort zur vertieften Prüfung, wo ein Signal es rechtfertigt. **Tier 1**Quick Scan **Tier 2**Zwölf Risikokategorien **Tier 3**Netzwerk und Viertparteien [Intelligence Center ansehen](https://swissgrc.com/third-party-intelligence-center/) Wer profitiert ## Für wen unser TPRM-Modul den Unterschied macht Drittparteienrisiken betreffen mehrere Funktionen gleichzeitig. Jede Rolle sieht ihre Sicht, alle arbeiten auf derselben Datenbasis und stellen dieselbe Frage nur einmal. #### Compliance Einhaltung von Sanktions- und Antikorruptionsvorgaben je Dienstleister überwachen und riskante Geschäftsbeziehungen vermeiden, bevor sie entstehen. #### ESG Umwelt-, Sozial- und Governance-Kriterien in die Bewertung der Lieferanten aufnehmen und Veränderungen über externe Quellen verfolgen. #### Beschaffung und Lieferantenmanagement Aufnahme neuer Lieferanten mit Risikobewertung beschleunigen und bestehende auf Veränderungen überwachen, die die Lieferkette treffen. #### Cybersicherheit und Datenschutz Sicherheitslage der IKT-Dienstleister gegen Ihre Vorgaben prüfen, Schwachstellen erkennen und Datenflüsse an Dritte beherrschen. #### Operative Resilienz Drittparteienrisiken für kritische Funktionen bewerten und belegen, dass kritische Dienstleister über tragfähige Kontinuitätspläne verfügen. #### Interne Revision und Vorstand Kritische Auslagerungen, Konzentrationen und offene Befunde ohne Sonderauswertung einsehen, jederzeit auf demselben Stand. Vorteile und Nutzen ## Weniger Aufwand je Dienstleister, mehr Übersicht über alle Das Modul nimmt die wiederkehrende Arbeit aus dem Prozess und lässt die Beurteilung bei Ihnen. - **Kritische Drittparteien früh erkannt**Wesentlichkeit und Kritikalität entstehen aus der Klassifizierung, nicht aus dem Bauchgefühl einzelner Fachbereiche. - **Assessments ohne Mailverkehr**Fragebögen laufen als Workflow, mit Erinnerung, Eskalation und dokumentierter Antwort statt Anhängen im Postfach. - **Überwachung statt Momentaufnahme**Wiederkehrende Reassessments nach Risikostufe und Signale aus externen Quellen halten den Status aktuell. - **Abhängigkeiten werden sichtbar**Konzentrationen auf einzelne Dienstleister, Regionen oder Subdienstleister fallen im Portfolio auf, nicht im Vorfall. - **Nachweise auf Knopfdruck**Bewertung, Freigabe und Prüfung sind mit Datum, Person und Beleg hinterlegt und in Minuten ausgewiesen. - **Ein Prozess für alle Bereiche**Compliance, Beschaffung, Security und Resilienz arbeiten auf derselben Datenbasis, ohne dieselbe Frage doppelt zu stellen. Kontakt und Demo ## Wir zeigen Ihnen das TPRM Modul live In einer persönlichen Demo führen wir Sie durch den gesamten Lebenszyklus: Onboarding, Klassifizierung, Due Diligence, Monitoring, Reporting und Exit. An einem durchgängigen Beispiel aus der Praxis, ohne Vorbereitung auf Ihrer Seite. [Demo anfordern](https://swissgrc.com/demo) [Sales kontaktieren](https://swissgrc.com/sales) ## Häufige Fragen ### Was ist die TPRM-Software von Swiss GRC? Es ist ein Modul der SwissGRC® Plattform für das Management von Drittparteienrisiken. Es inventarisiert Lieferanten und Dienstleister, stuft sie nach Kritikalität ein, überwacht sie laufend und berichtet revisionssicher. ### Welche Phasen umfasst das Third Party Risk Management bei Swiss GRC? Das Modul führt in fünf Schritten durch den Lebenszyklus: Onboarding und Erfassung, Bewertung und Klassifikation, Monitoring, Reporting sowie Massnahmen und Exit. Diese Schritte sind in neun Phasen unterteilt, etwa Scoping, Outsourcing-Klassifizierung, Due Diligence und Exit-Planung. ### Wie werden Dienstleister im TPRM-Modul laufend überwacht? Externe Signale und interne Fristen laufen im Verzeichnis zusammen. Ändern sich Cyberbewertung, Sanktionsbild oder Finanzlage eines Dienstleisters, löst das Modul eine Warnung aus. Reassessments erfolgen wiederkehrend nach Risikostufe. ### Welche externen Datenquellen nutzt das TPRM-Modul von Swiss GRC? Angebunden sind Prospero für prädiktive Analysen auf KI-Basis, SecurityScorecard und BitSight für die Bewertung der Cybersicherheitslage sowie Synesgy von CRIF für ESG-Bewertungen. ### Wie kann man das TPRM-Modul von Swiss GRC kennenlernen? Swiss GRC bietet eine persönliche Live-Demo an, die den gesamten Lebenszyklus an einem durchgängigen Praxisbeispiel zeigt. Sie kann über die Seite angefordert werden, alternativ ist der Kontakt zum Sales möglich.