Упродовж багатьох років управління ризиками третіх сторін залишалося відносно вузькою функцією. Під час вибору нового постачальника компанії переважно оцінювали його фінансовий стан, ділову репутацію, юридичні ризики, досвід роботи та відповідність вимогам інформаційної безпеки. Після укладення договору контроль здебільшого зводився до моніторингу виконання договірних зобов’язань або періодичного перегляду результатів співпраці.

Такий підхід працював доти, доки зовнішні постачальники виконували допоміжні функції. Ситуація кардинально змінилася після масштабної цифрової трансформації фінансового сектору, коли хмарні платформи, дата-центри, провайдери програмного забезпечення, платіжна інфраструктура, сервіси кібербезпеки, штучний інтелект та численні SaaS-рішення поступово стали невід’ємною частиною основних бізнес-процесів фінансових установ. У багатьох випадках  від їхньої роботи залежить можливість страховика укладати договори, здійснювати врегулювання збитків або обслуговувати клієнтів.

У результаті змінився і характер ризику. Якщо раніше проблема окремого постачальника найчастіше впливала лише на конкретний договір, то сьогодні відмова одного великого хмарного провайдера або критичного програмного сервісу може одночасно порушити діяльність сотень фінансових установ у різних країнах, що змушує міжнародних регуляторів переглянути традиційний підхід до управління ризиками третіх сторін.

Сьогодні міжнародна практика дедалі чіткіше демонструє нову тенденцію: Third-Party Risk Management перестає бути виключно процедурою вибору постачальника, а поступово інтегрується в систему операційної стійкості, безперервності діяльності, кібербезпеки та корпоративного управління. Іншими словами, оцінюється вже не лише надійність контрагента, а й ступінь залежності самої компанії від його безперервної роботи.

Від оцінки постачальника — до оцінки власної залежності

Ця зміна є, мабуть, найважливішою особливістю сучасного розвитку Third-Party Risk Management. Традиційний підхід був доволі простим. Перед укладенням договору компанія намагалася відповісти на питання: «Чи можна довіряти цьому постачальнику?» Аналізувалися фінансові показники, судові спори, структура власності, результати аудиту, політики інформаційної безпеки, сертифікати та інші характеристики самого контрагента. Сьогодні дедалі частіше звучить інше питання: «Наскільки наша компанія залежить від цього постачальника?». Ця різниця може здатися незначною, але вона визначає сучасну логіку управління ризиками третіх сторін.

Припустимо, страховик користується хмарною платформою для розміщення корпоративної пошти. Заміна такого сервісу хоча й вимагатиме певних організаційних зусиль, навряд чи призведе до припинення основної діяльності компанії. Інша ситуація виникає тоді, коли зовнішній постачальник забезпечує роботу основної страхової інформаційної системи, платформи врегулювання збитків, електронного документообігу або сервісів перевірки клієнтів. У цьому випадку навіть короткочасна відмова постачальника може фактично паралізувати критично важливі бізнес-процеси. Міжнародні регулятори (а за ними і наш регулятор)  дедалі більше уваги приділяють поняттю критичної або важливої функції, виконання якої передано третій стороні.

Фактично відбувається зміна об’єкта управління. Якщо раніше основною метою було оцінити ризик контрагента, то тепер у центрі уваги опиняється ризик концентрації залежностей. Компанія повинна розуміти, які бізнес-процеси повністю або частково залежать від зовнішніх організацій, наскільки швидко можна замінити такого постачальника, чи існують альтернативні рішення та як його відмова вплине на операційну стійкість.

Сучасний Third-Party Risk Management дедалі тісніше пов’язується з управлінням операційною стійкістю. Постачальник більше не розглядається як ізольований контрагент, а стає одним із елементів екосистеми, від функціонування якої залежить здатність фінансової установи безперервно надавати свої послуги.

Управління ризиками не завершується після підписання договору

Однією з найбільш помітних змін у міжнародній практиці стало переосмислення самого життєвого циклу управління ризиками третіх сторін. Якщо раніше основна увага приділялася етапу вибору контрагента, то сьогодні дедалі більше значення має постійний моніторинг ризиків протягом усього періоду співпраці.

Причини такої зміни очевидні, бо навіть найретельніша перевірка постачальника відображає лише його стан на момент укладення договору. Через кілька місяців можуть змінитися власники компанії, її фінансовий стан, ключові технології, політики кібербезпеки, структура субпідрядників або навіть країна, в якій розміщуються дані. Для фінансової установи всі ці зміни можуть мати не менше значення, ніж результати первинної перевірки.

Сучасний Third-Party Risk Management дедалі частіше ґрунтується на принципі безперервного моніторингу. Компанія повинна не лише оцінити постачальника перед укладенням договору, а й регулярно переглядати його ризиковий профіль, відстежувати істотні зміни, аналізувати інциденти, контролювати виконання договірних вимог і своєчасно реагувати на появу нових ризиків.

Особливої актуальності це набуває у сфері інформаційних технологій, оскільки постачальники програмного забезпечення регулярно випускають нові версії продуктів, змінюють архітектуру сервісів, інтегрують рішення на основі штучного інтелекту або передають окремі функції субпідрядникам. Кожна така зміна потенційно впливає на профіль ризику страховика, навіть якщо сам договір формально не змінювався.

Це означає, що функція управління ризиками повинна працювати не лише з юридичним фактом укладення договору, а із  процесом взаємодії з постачальником. У центрі уваги опиняється питання: чи не змінився рівень ризику настільки, що компанія має переглянути свої контрольні заходи, резервні процедури або навіть доцільність подальшої співпраці.

Ще один виклик — концентрація ризиків

Міжнародні регулятори дедалі частіше звертають увагу на проблему, яка ще кілька років тому майже не обговорювалася, — концентрацію ризиків у невеликої кількості глобальних постачальників.

Цифрова трансформація призвела до того, що значна частина фінансового сектору використовує однакові хмарні платформи, однакові рішення з кібербезпеки, однакових провайдерів платіжної інфраструктури або однакові сервіси штучного інтелекту. Для окремої компанії це може виглядати цілком логічним рішенням: великі міжнародні постачальники пропонують високий рівень надійності, масштабованість і сучасні технології.

Однак якщо одна й та сама платформа одночасно обслуговує сотні банків і страхових компаній, виникає системний ризик, оскільки масштабний збій, кібератака або технічна помилка можуть одночасно вплинути на велику кількість фінансових установ, навіть якщо кожна з них окремо належним чином управляла власними ризиками.

Сучасні міжнародні документи дедалі частіше використовують поняття концентраційного ризику третіх сторін. Йдеться не лише про залежність окремої компанії від конкретного постачальника, а й про залежність усього фінансового сектору від обмеженого кола критично важливих сервісів.

Для функції управління ризиками це означає появу нового питання, яке ще недавно майже не ставилося: чи не використовує компанія ті самі критично важливі сервіси, що й більшість інших учасників ринку? Якщо відповідь позитивна, то навіть бездоганний контроль за окремим договором не усуває ризик одночасного масштабного інциденту.

Ця логіка пояснює, чому сучасне управління ризиками третіх сторін дедалі більше інтегрується з управлінням операційною стійкістю, оскільки метою стає вже не лише перевірка постачальника, а забезпечення здатності компанії продовжувати свою діяльність навіть у разі відмови критично важливих зовнішніх сервісів.

Що це означає для українського страховика?

Український страховий ринок лише поступово входить у той етап цифрової трансформації, який європейські фінансові установи проходять уже кілька років. Хмарні сервіси, зовнішні центри обробки даних, SaaS-рішення, сервіси електронного документообігу, системи електронної ідентифікації, рішення з інформаційної безпеки, а останнім часом і сервіси на основі штучного інтелекту дедалі активніше використовуються страховиками незалежно від їхнього розміру. Це означає, що ризики третіх сторін перестають бути питанням лише ІТ-підрозділу або юридичної служби, а поступово стають одним із ключових компонентів операційного ризику.

У таких умовах функції управління ризиками доцільно змінити саму логіку оцінки постачальників. Питання вже не повинно звучати лише як «Чи є цей контрагент надійним?». Набагато важливішим стає інше питання: «Що станеться з компанією, якщо цей постачальник перестане виконувати свої функції?», оскільки відповідь на нього дозволяє визначити, які зовнішні сервіси є критично важливими для діяльності страховика і які заходи необхідно передбачити для забезпечення безперервності роботи.

Не менш важливо переглянути підхід до інвентаризації зовнішніх залежностей. У багатьох компаніях існує реєстр договорів із контрагентами, однак далеко не завжди він дозволяє зрозуміти, які саме бізнес-процеси залежать від кожного постачальника. Практика міжнародних фінансових установ свідчить, що значно ефективніше формувати не перелік договорів, а карту критичних сервісів, тому що вона показує, які процеси підтримує кожен постачальник, які ризики виникнуть у разі його відмови, чи існують альтернативні рішення та скільки часу компанії знадобиться для відновлення нормальної діяльності.

Ще одним напрямом, який набув особливого значення, є оцінка концентрації залежностей. Навіть якщо кожен окремий постачальник успішно пройшов процедуру Due Diligence, це ще не означає, що компанія захищена від операційних ризиків. Якщо декілька критично важливих бізнес-процесів залежать від одного хмарного провайдера, одного дата-центру або одного постачальника програмного забезпечення, страховик може зіткнутися з ризиком, масштаби якого значно перевищують ризик окремого договору. Ось чому сучасна міжнародна практика рекомендує аналізувати не лише кожного контрагента окремо, а й загальну структуру зовнішніх залежностей компанії.

Для українських страховиків важливим є ще один аспект. Значна частина програмного забезпечення, хмарних сервісів та цифрової інфраструктури постачається міжнародними компаніями. Це означає, що разом із технологіями український ринок поступово імпортує й нові стандарти управління ризиками і вже сьогодні багато глобальних постачальників включають до договорів вимоги щодо інформаційної безпеки, управління інцидентами, захисту даних, права на аудит або повідомлення про зміни в субпідрядниках. Як на мене, із високою ймовірністю ця тенденція лише посилюватиметься.

П’ять запитань, які вже сьогодні варто поставити керівнику функції управління ризиками

• Які зовнішні постачальники підтримують критично важливі бізнес-процеси компанії?
• Чи існує карта залежностей між бізнес-процесами та зовнішніми сервісами?
• Чи оцінюється концентрація залежностей від окремих постачальників або технологічних платформ?
• Чи має компанія реалістичний план дій у разі тривалої недоступності критичного сервісу?
• Чи переглядаються ризики третіх сторін протягом усього строку дії договору, а не лише на етапі його укладення?

Висновки

Останні міжнародні публікації свідчать про те, що управління ризиками третіх сторін переживає одну з найглибших трансформацій за останні десятиліття. Його предметом більше не є лише перевірка контрагента перед укладенням договору. У центрі уваги опиняються операційна стійкість компанії, безперервний моніторинг ризиків, концентрація зовнішніх залежностей та здатність організації працювати навіть у разі відмови критично важливих постачальників.

Для функції управління ризиками це означає зміну самої філософії роботи, оскільки замість оцінки окремого контрагента дедалі більшого значення набуває аналіз екосистеми, у якій працює компанія. Ризик-менеджер має розуміти не лише те, хто є постачальником послуг, а й які бізнес-процеси від нього залежать, наскільки ця залежність є критичною та які наслідки матиме її порушення.

Third-Party Risk Management дедалі тісніше інтегрується з управлінням операційною стійкістю, безперервністю діяльності, кібербезпекою та управлінням змінами. Фактично мова вже йде не про окремий напрям ризик-менеджменту, а про один із ключових елементів загальної системи корпоративного управління.

Для українських страховиків це є важливим сигналом. Чим активніше компанії впроваджують цифрові технології та користуються зовнішніми сервісами, тим більшої уваги потребують ризики третіх сторін. І хоча національне регулювання, на щастя,  ще не містить такого рівня деталізації, який сьогодні формується у міжнародній практиці, загальний напрям розвитку вже є очевидним. Виграють ті компанії, які почнуть будувати системне управління цими ризиками до того, як відповідні вимоги стануть обов’язковими.

Сергій БАБИЧ