Advocatenkantoren Moeten Hun Eigen Leveranciersrisico Verantwoorden

DORA’s kritische toezichtregime op derden is specifiek van toepassing op financiële entiteiten en de ICT-leveranciers die als kritisch voor die sector zijn aangemerkt. Advocatenkantoren vallen niet direct onder de reikwijdte. Het patroon dat DORA blootlegt, geldt echter net zo goed voor de eigen afhankelijkheid van een kantoor van cloud- en IT-leveranciers: toezicht op een leverancier, waar dat ook bestaat, neemt nooit de eigen verantwoordelijkheid van het kantoor voor die relatie over.

Sommige kantoren die deze ontwikkeling volgen, gaan ervan uit dat omdat zij niet op dezelfde manier gereguleerd worden, de onderliggende les ook niet op hen van toepassing is. Die aanname is de fout die dit artikel adresseert: concentratierisico bij een klein aantal kritische leveranciers is een structurele eigenschap van afhankelijkheid van die leveranciers, niet het gevolg van een specifieke regelgeving. Een kantoor kan volledig buiten de reikwijdte van DORA vallen en toch gevaarlijk blootstaan aan hetzelfde faalrisico waarvoor DORA is ontworpen.

Samenvatting voor het management

Kantoren die ontwikkelingen zoals DORA volgen in de financiële sector kunnen hier een directe les uit trekken voor hun eigen risicobeheer voor leveranciers, ook als ze zelf niet onder de reikwijdte vallen: concentratie bij een klein aantal kritische leveranciers, en de verantwoordelijkheid die die concentratie met zich meebrengt, verdwijnt niet omdat geen externe toezichthouder toevallig die specifieke leverancier controleert. Voor risicomanagers is de praktische reactie het behandelen van leveranciersconcentratie als een risico dat continu beheerd moet worden, niet als een compliancecategorie die alleen voor andere sectoren geldt.

Belangrijkste inzichten

1. Het feit dat een leverancier onder extern toezicht staat, regulerend of anderszins, neemt de eigen verantwoordelijkheid van een kantoor voor die relatie niet over. De verplichting om het risico te begrijpen en te beheren ligt altijd bij het kantoor zelf.
2. Kantoren die sterk afhankelijk zijn van een klein aantal cloud- of praktijkmanagementleveranciers lopen concentratierisico, ongeacht of een externe partij toezicht houdt op die leveranciers.
3. Toezichthouders en klanten verwachten steeds vaker continu bewijs van leverancierscontrole, niet slechts een eenmalige zorgvuldigheidstoets bij het tekenen van het contract.
4. Een register van leveranciersrelaties en hun kritischheid is een actueel document dat een kantoor moet bijhouden, ongeacht sectorspecifieke verplichtingen, omdat het onderliggende risico onafhankelijk van regelgeving bestaat.
5. De eigen verplichting van het kantoor om controle over zijn leveranciersrelaties aan te tonen, verschuift nooit, ongeacht wie er meekijkt.

Wat kritische derdepartij-aanduiding daadwerkelijk doet in de financiële sector

Begrijpen waarom het mechanisme van DORA bestaat, helpt verduidelijken waarom de onderliggende les ook geldt waar de regelgeving niet van toepassing is. Het aanduidingsmechanisme geeft toezichthouders inzicht in leveranciers waarvan het falen gevolgen kan hebben voor veel financiële entiteiten tegelijk, op basis van systemische impact en concentratie van afhankelijkheid.

Aanduiding draait om systemische concentratie, niet om individueel leveranciersrisico

Een leverancier wordt als kritisch aangemerkt omdat een groot aantal gereguleerde entiteiten ervan afhankelijk is op manieren die sectorbrede verstoring kunnen veroorzaken. De eigen blootstelling van een kantoor aan een leverancier, gebaseerd op de mate van afhankelijkheid en welke alternatieven er zijn, is een aparte vraag die geen enkel aanduidingsmechanisme, in welke sector dan ook, namens het kantoor beantwoordt.

Waarom uw eigen verantwoordelijkheid nooit verschuift

Of een toezichthouder nu direct toezicht houdt op een leverancier of niet, het kantoor dat van die leverancier afhankelijk is, blijft volledig verantwoordelijk voor het begrijpen van de gevolgen als het misgaat. Dit geldt ongeacht de sector waarin het kantoor actief is.

Extern toezicht op een leverancier is geen toezicht op uw contract

Zelfs als een leverancier onder streng toezicht staat in een heel andere sector, kijkt dat toezicht naar het algemene risicobeheer van de leverancier, niet naar het specifieke contract, exitplan of de afhankelijkheid van een individuele klant. Een kantoor kan zijn eigen zorgvuldigheid niet uitbesteden aan een toezichthouder die nooit de feitelijke relatie met die leverancier heeft beoordeeld.

Concentratierisico bestaat onafhankelijk van de reikwijdte van regelgeving

Een kantoor dat afhankelijk is van een klein aantal leveranciers voor praktijkmanagement, documentopslag en communicatie, loopt hetzelfde structurele concentratierisico als een financiële instelling richting haar kritische ICT-leveranciers, of regelgeving dat risico nu expliciet benoemt of niet.

Hoe goed risicobeheer voor leveranciers eruitziet, gereguleerd of niet

De praktijken die het derdepartijrisicoregime van DORA effectief maken voor financiële entiteiten, zijn dezelfde praktijken die elke organisatie beschermen die afhankelijk is van een klein aantal kritische leveranciers.

Een register van leveranciersrelaties is een actueel document

Het bijhouden van een nauwkeurig overzicht van welke leveranciers welke functies ondersteunen en hoe kritisch ze zijn voor het functioneren van het kantoor, is altijd zinvol, ongeacht sectorspecifieke verplichtingen, omdat juist deze oefening concentratierisico aan het licht brengt voordat het een crisis wordt.

Monitoring moet continu zijn, niet eenmalig

Een eenmalige zorgvuldigheidstoets bij het tekenen van een contract zegt jaren later niets over het actuele risicoprofiel van een leverancier. Continue monitoring, zelfs informeel, verandert een leveranciersrelatie van een aanname in iets dat daadwerkelijk beheerd wordt.

Vendor risk management opbouwen voordat een toezichthouder het eist

De praktische reactie voor een kantoor is het opbouwen van dezelfde interne capaciteit die een gereguleerde financiële entiteit moet opbouwen: een continu bijgewerkt beeld van welke leveranciers echt kritisch zijn, hoe geconcentreerd die afhankelijkheid is, en welk bewijs er is van doorlopend toezicht, uitgevoerd omdat het het kantoor beschermt, niet omdat regelgeving het vereist.

Hoe een Data Control Plane continu bewijs van leveranciersrisico ondersteunt

Beheersing van leveranciersrisico aantonen hangt af van het continu kunnen laten zien welke data via welke leveranciers en kanalen loopt, wie er toegang toe had en onder welke voorwaarden, in plaats van te vertrouwen op de eigen verklaringen van een leverancier of een eenmalige zorgvuldigheidstoets.

Het Kiteworks Data Control Plane past data-bewuste zero-trust controls toe op elke actie over elk kanaal, en legt een continue, manipulatiebestendige, onbeperkte audit log vast die direct in SIEM-tools wordt gevoed, zodat kantoren bewijs hebben van hun eigen leverancierscontrole, onafhankelijk van elk extern aanduidingsregime. Single-tenant architectuur en klantbeheerde encryptiesleutels betekenen bovendien dat de controle van een kantoor over zijn meest gevoelige uitwisselingen niet afhankelijk is van de toezichtstatus van derden.

Kantoren die willen zien hoe continu bewijs hun eigen risicobeheer voor leveranciers ondersteunt, kunnen een aangepaste demo plannen.