誰もが支持できるサードパーティ・リスク管理プログラム

質問を編集したり、採点の基準となる値を調整したり、独自の項目を追加したりすることができるため、評価は自社のプログラムにおけるリスクの判定基準を反映したものになります。質問バンクを保有しているチームは通常、それをそのまま引き継ぎ、導入プロセスはアナリストが慣れ親しんだワークフローに沿って進められます。

いいえ。「Archer Engage for Vendors」では、各連絡先に対して、貴社のインスタンス外からアンケートに回答したり、書類をアップロードしたりできる安全なリンクが送信されます。また、連絡先は自身の同僚を招待して協力を依頼することも可能です。回答内容はエンゲージメントに同期され、貴社で確認することができます。

リスクレベルを分類します。固有リスクに関する質問票では、データへのアクセス、規制上のリスク、ビジネスの重要度など、8つの分野ごとに各案件を評価します。リスクレベルが高い案件ほど、より綿密なデューデリジェンスと再評価が行われ、低リスクの案件は迅速に承認されます。

サードパーティの調査結果は、他のチームが作業を行っているのと同じキュー内で課題として扱われ、エンゲージメントリスクは企業のリスク登録簿に紐付けられ、サードパーティは各々が支援するプロセスに紐付けられます。単一のプラットフォームにより、ベンダーリスクはもはや独立したプログラムとして扱われることがなくなります。

ティアの決定、その根拠となる証拠、統制評価、未解決事項、および契約終了は、履歴とともに当該業務に記録されます。この枠組みは、OCC通達2023-17およびNIST SP 800-161 Rev. 1に準拠しており、検査官もこれを認識しています。

Archer Evolvは、一般的なモデルの平均値ではなく、ユーザー自身のレコード、役割、権限に基づいて回答を導き出し、その回答に至った経緯も表示します。レコードの内容が変更される前に、担当者が内容を確認し、承認を行います。

ほとんどのチームは、ソリューションに最初から組み込まれている規範的なフレームワークから作業を開始します。このフレームワークには、プロファイル、エンゲージメント、固有リスク、デューデリジェンス、モニタリングなどが標準で含まれています。スケジュールはスコープによって決まり、チームはスコープ設定の段階でそれを確認します。