不管企業(yè)規(guī)模大小，其在開展生產(chǎn)經(jīng)營活動的過程中，總是存在著和第三方機(jī)構(gòu)（人員）發(fā)生業(yè)務(wù)往來的交互過程，這意味著每個企業(yè)都會面臨第三方的風(fēng)險(xiǎn)威脅，而與之對應(yīng)的第三方風(fēng)險(xiǎn)管理（Third Party Risk Management，簡稱TPRM），就是要了解并管理好第三方合作機(jī)構(gòu)可能給企業(yè)本身帶來的負(fù)面影響，并采取積極主動的措施，應(yīng)對可能由此產(chǎn)生的風(fēng)險(xiǎn)損失。

第三方風(fēng)險(xiǎn)管理是一個持續(xù)的過程，旨在全面評估、監(jiān)控和管理來自外部機(jī)構(gòu)合作中引入的安全風(fēng)險(xiǎn)。對于企業(yè)組織而言，積極部署TPRM工具對于降低運(yùn)營風(fēng)險(xiǎn)、防止?jié)撛诘呢?cái)務(wù)損失至關(guān)重要，不僅可以大大降低組織的安全合規(guī)成本，提高運(yùn)營效率，還能夠有效增強(qiáng)對未知安全風(fēng)險(xiǎn)的應(yīng)對能力。本文收集整理了目前應(yīng)用較廣泛的10款第三方風(fēng)險(xiǎn)管理工具，并對其應(yīng)用特點(diǎn)進(jìn)行了分析：

01、OneTrust Third-Party Risk Management

OneTrust公司成立于2016年，其推出的OneTrust Third-Party Risk Management工具被廣泛認(rèn)為是注重合規(guī)企業(yè)的最佳TPRM解決方案之一，可以幫助企業(yè)組織專業(yè)評估客戶、員工和供應(yīng)商的數(shù)據(jù)傳輸是否安全。

在OneTrust官方網(wǎng)站上，全面提供隱私影響評估、數(shù)據(jù)庫存映射、補(bǔ)救建議和日常審計(jì)服務(wù)，其可用性、可訪問性、技術(shù)支持質(zhì)量和自動化程度等均受到用戶的好評。OneTrust也是少數(shù)可以提供免費(fèi)試用版TPRM解決方案的服務(wù)商。

主要功能與特點(diǎn):

• 統(tǒng)一的第三方關(guān)系清單；
• 強(qiáng)大的風(fēng)險(xiǎn)洞察和分析引擎；
• 智能導(dǎo)入所有的業(yè)務(wù)工作流；
• 可以與其他OneTrust安全解決方案和第三方數(shù)據(jù)源集成；
• 提供AI自動完成技術(shù)，以便更快地完成風(fēng)險(xiǎn)識別與分析；
• 工作流可靈活配置，遵循直觀的假設(shè)分析邏輯。

不足：

• OneTrust的風(fēng)險(xiǎn)修補(bǔ)功能還不完善，存在較多限制；
• 在風(fēng)險(xiǎn)優(yōu)先級評價(jià)和高級分析功能方面表現(xiàn)一般；
• 原生集成方面有待改進(jìn)。

傳送門：https://www.onetrust.com/platform/third-party-risk/

02、Prevalent TPRM平臺

Prevalent公司成立于2004年，通過Prevalent TPRM平臺為客戶提供完整的第三方風(fēng)險(xiǎn)管理解決方案，功能包括固有風(fēng)險(xiǎn)評分、流程導(dǎo)入、供應(yīng)商風(fēng)險(xiǎn)評估和監(jiān)控等。借助Prevalent的檢測與分析能力，組織可以選擇出可信賴的第三方供應(yīng)商，從源頭降低第三方風(fēng)險(xiǎn)管理的成本、復(fù)雜性和危害。

用戶對Prevalent的易于集成和部署、風(fēng)險(xiǎn)概況管理和技術(shù)支持給予了好評。對于希望由TPRM軟件轉(zhuǎn)向全面管理服務(wù)和強(qiáng)大客戶支持的買家來說，它也是最佳選擇之一。

主要功能與特點(diǎn)：

• 自動化風(fēng)險(xiǎn)評估和持續(xù)風(fēng)險(xiǎn)監(jiān)控；
• 具有供應(yīng)商情報(bào)收集網(wǎng)絡(luò)，可實(shí)時訪問數(shù)千家公司的完整風(fēng)險(xiǎn)報(bào)告；
• 可用于集中分發(fā)和管理RFP和RFI的RFx Essentials；
• 可對風(fēng)險(xiǎn)進(jìn)行評分，并提供糾正措施和盡職調(diào)查方面的規(guī)范指導(dǎo)；
• 提供了強(qiáng)大的專業(yè)托管服務(wù)。

不足：

• 目前只提供基礎(chǔ)性的通用風(fēng)險(xiǎn)評分功能；
• 定制化支持不足，大多數(shù)定制只能通過供應(yīng)商進(jìn)行；
• 用戶交互界面不夠直觀，交互體驗(yàn)不足。

傳送門：https://www.prevalent.net/use-cases/third-party-risk-management/

03、Venminder

Venminder成立于2003年，是一家SaaS化第三方風(fēng)險(xiǎn)管理服務(wù)的專業(yè)供應(yīng)商，通過其推出的風(fēng)險(xiǎn)評估、盡職調(diào)查要求、問卷調(diào)查、SLA管理和供應(yīng)商導(dǎo)入等服務(wù)，用戶可以有效評估供應(yīng)商的安全狀態(tài)、SOC報(bào)告、合同、財(cái)務(wù)、業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)等風(fēng)險(xiǎn)情況。

Venminder會為每一位用戶分配一位關(guān)系經(jīng)理，以提供貼心的客戶導(dǎo)入。導(dǎo)入后，該公司繼續(xù)為客戶提供靈活的支持方式與時間，包括電子郵件、電話和聊天等。

主要功能與特點(diǎn)：

• 可定制的風(fēng)險(xiǎn)評估，擁有大量通用模板和進(jìn)度監(jiān)控；
• 帶有供應(yīng)商記分跟蹤卡，可提供完善的監(jiān)督管理功能；
• 提供基于時間點(diǎn)的風(fēng)險(xiǎn)概況創(chuàng)建；
• 集成龐大的風(fēng)險(xiǎn)知識庫，提供免費(fèi)的學(xué)習(xí)資源、在線研討服務(wù)；
• 所有方案都提供無限制的用戶訪問，并提供菜單式服務(wù)和功能，易于擴(kuò)展和調(diào)整，可滿足客戶的具體需求。

不足：

• 國際化程度有限，幾乎只面向北美客戶；
• 主要專注于金融客戶，其他領(lǐng)域的行業(yè)積累和經(jīng)驗(yàn)有限。

傳送門：https://www.venminder.com/

04、BitSight Third-Party Risk Management

BitSight是目前全球主流的TPRM解決方案提供商之一，以供應(yīng)商情報(bào)網(wǎng)絡(luò)而聞名。基于復(fù)雜的算法和長期性安全評級，其推出的BitSight Third-Party Risk Management和Security Ratings Platform可以幫助組織有效管理第三方風(fēng)險(xiǎn)。BitSight還集成ServiceNow和ProcessUnity等其他VRM工具，為用戶提供全面的TPRM完整解決方案。

主要功能和特點(diǎn)：

• 可以自動導(dǎo)入風(fēng)險(xiǎn)評估結(jié)果；
• 通過數(shù)據(jù)驅(qū)動的供應(yīng)商響應(yīng)驗(yàn)證策略；
• 用于供應(yīng)商評估優(yōu)先級確定的可定制工作流；
• BitSight可以與大多數(shù)其他TPRM解決方的集成并兼容；
• 客戶和非客戶都能獲得免費(fèi)的網(wǎng)絡(luò)安全報(bào)告，報(bào)告內(nèi)容很全面。

不足：

• 客戶支持代表數(shù)量優(yōu)先，與用戶的溝通和聯(lián)系有限；
• 當(dāng)網(wǎng)絡(luò)中的問題得到解決時，不容易過濾數(shù)據(jù)結(jié)果或更新報(bào)告結(jié)果。

傳送門：https://www.bitsight.com/third-party-risk-management

05、ProcessUnity Third-Party Risk Management

PocessUnity Third-Party Risk ManagementSaaS是一款專業(yè)的第三方風(fēng)險(xiǎn)管理解決方案，可以幫助企業(yè)識別、管理和補(bǔ)救第三方合作時的風(fēng)險(xiǎn)問題。該工具還包括定期的供應(yīng)商安全能力評審，以確保組織的安全態(tài)勢繼續(xù)良好。

ProcessUnity不斷豐富的自動化能力給用戶留下了特別深的印象，該工具可以為組織評估風(fēng)險(xiǎn)、證據(jù)收集及其他風(fēng)險(xiǎn)管理工作定制自動化的工作流程。

主要功能和特點(diǎn)：

• 可以自動評估風(fēng)險(xiǎn)范圍和證據(jù)收集；
• 自動化和無代碼功能使這款工具可靈活定制；
• 報(bào)告數(shù)據(jù)簡潔明了，能讓所有利益相關(guān)者都易于理解；
• 方案支持從采購到合同管理的整個TPRM生命周期。

不足：

• 被認(rèn)為是價(jià)昂貴的TPRM解決方案；
• 報(bào)告中的可視化功能有限。

傳送門：https://www.processunity.com/third-party-risk-management/

06、Archer Third-Party Governance

Archer Third-Party Governance是一款企業(yè)級風(fēng)險(xiǎn)量化軟件，主要用于幫助企業(yè)匯總第三方風(fēng)險(xiǎn)，并保護(hù)組織免受破壞。Archer的關(guān)鍵功能包括可定制的控制和風(fēng)險(xiǎn)指標(biāo)、風(fēng)險(xiǎn)概況指標(biāo)以及用于比較風(fēng)險(xiǎn)后果的高級可視化工具。

主要功能和特點(diǎn)：

• 可定制的風(fēng)險(xiǎn)報(bào)告和監(jiān)控；
• 定量和定性相結(jié)合的風(fēng)險(xiǎn)分析；
• 可定制的關(guān)鍵風(fēng)險(xiǎn)指標(biāo)；
• 適合被高度監(jiān)管的行業(yè)用戶使用；
• 基于AI的功能其更容易快速評估第三方資產(chǎn)風(fēng)險(xiǎn)。

不足：

• 該解決方案只能與其他Archer解決方案結(jié)合；
• Archer的定價(jià)和授權(quán)模式有些復(fù)雜；
• 頻繁收購和變動，會對方案的長期發(fā)展方向和穩(wěn)定性帶來一定影響。

傳送門：https://www.archerirm.com/third-party-governance

07、SecurityScorecard Platform

SecurityScorecard是最早進(jìn)入TPRM領(lǐng)域的服務(wù)商之一，擁有專利性的風(fēng)險(xiǎn)評分技術(shù)，客戶數(shù)量已超過1000家。方案可以幫助組織分析其數(shù)字化應(yīng)用的足跡，并通過對應(yīng)到供應(yīng)商網(wǎng)絡(luò)安全問卷的即時風(fēng)險(xiǎn)評分來進(jìn)行第三方風(fēng)險(xiǎn)管理。SecurityScorecard平臺易于部署，能夠處理面向公眾的基礎(chǔ)設(shè)施風(fēng)險(xiǎn)。該工具的布局及其中央儀表板易于導(dǎo)航，大量圖形化元素的使用讓其成為目前最受歡迎的TPRM可視化解決方案之一。

主要功能和特點(diǎn)：

• 可以開展持續(xù)監(jiān)控和全球IP掃描；
• 支持調(diào)查問卷的自動發(fā)送和回復(fù)；
• 提供基于規(guī)則的網(wǎng)絡(luò)安全響應(yīng)工具；
• 強(qiáng)大的用戶界面和可視化功能；
• 為潛在買家提供透明定價(jià)模式和免費(fèi)試用版。

不足：

• 該工具主要側(cè)重于檢測，風(fēng)險(xiǎn)補(bǔ)救和事件響應(yīng)功能有限；
• 對客戶的服務(wù)支持有時會滯后；
• 風(fēng)險(xiǎn)報(bào)告功能比較有限。

傳送門：https://securityscorecard.com/solutions/third-party-risk-management/

08、Aravo for Third Party Management

Aravo成立于2000年，提供基于SaaS的供應(yīng)商信息管理（SIM）和TPRM技術(shù)。Aravo for Third Party Management工具可以幫助用戶更好地管理新供應(yīng)商導(dǎo)入、風(fēng)險(xiǎn)評估自動化和盡職調(diào)查。該解決方案提供了許多預(yù)配置的工作流、評估、指示板和報(bào)告，同時也可以根據(jù)每家企業(yè)的不同要求來配置這些功能。

主要功能和特點(diǎn)：

• 自動化風(fēng)險(xiǎn)評估和供應(yīng)商導(dǎo)入；
• 基于動態(tài)調(diào)查的第三方風(fēng)險(xiǎn)評分；
• 完善的第三方情報(bào)網(wǎng)絡(luò)；
• 可以對風(fēng)險(xiǎn)問題的處置情況進(jìn)行跟蹤；
• 可以為反賄賂、反腐敗、數(shù)據(jù)隱私和信息安全要求提供了專門的功能；
• 通過創(chuàng)新的交換中心和客戶社區(qū)，提供互動式客戶體驗(yàn)；
• 預(yù)配置應(yīng)用程序和原生內(nèi)容集成很強(qiáng)大，且高度可用。

不足：

• 公司已基本上從開發(fā)TPRM轉(zhuǎn)向關(guān)注業(yè)務(wù)彈性；
• 許多功能只能通過第三方合作伙伴或需要額外付費(fèi)的附加組件才能獲得；
• 定價(jià)模式有些復(fù)雜。

傳送門：https://aravo.com/products/third-party-risk-management/

09、Panorays

Panorays是一款網(wǎng)絡(luò)安全解決方案，也可以為第三方風(fēng)險(xiǎn)管理和補(bǔ)救提供自動化功能。Panorays的策略讓客戶更清楚的了解風(fēng)險(xiǎn)，尤其能夠滿足GDPR和HIPAA等合規(guī)標(biāo)準(zhǔn)。Panorays工具易于部署和集中式管理，它還有一個新穎直觀的用戶界面，并注重為客戶提供服務(wù)支持。

主要功能和特點(diǎn)：

• 具有供應(yīng)商安全問卷的預(yù)構(gòu)建模板；
• 提供外部攻擊面監(jiān)控和評估；
• 開箱即用的報(bào)告；
• 產(chǎn)品不斷完善，不斷接受客戶反饋，有強(qiáng)大的發(fā)展路線圖；
• 用戶對規(guī)劃、評估和軟件實(shí)施方面的客戶支持的質(zhì)量和一致性給予了好評。

不足：

• 連接件和集成功能比較有限；
• 風(fēng)險(xiǎn)報(bào)告還需要改進(jìn)，尤其是應(yīng)添加更多的自助元素；
• 資產(chǎn)掃描功能有限。

傳送門：https://panorays.com/

10、Diligent ThirdPartyBond

Diligent ThirdPartyBond解決方案可以幫助組織進(jìn)行端到端的第三方風(fēng)險(xiǎn)管理，并提供供應(yīng)商導(dǎo)入、證據(jù)自動收集和評估調(diào)查等資源。ThirdPartyBond還可以跟蹤服務(wù)級別協(xié)議（SLA），并為高級管理層提供具體的風(fēng)險(xiǎn)報(bào)告。它還提供一些最佳的報(bào)告和可視化功能，包括細(xì)粒度拖放式儀表板、交互式故事板和各種預(yù)構(gòu)建報(bào)告。

主要功能和特點(diǎn)：

• 集中式清點(diǎn)和批量導(dǎo)入第三方；
• 基于風(fēng)險(xiǎn)的控制評估；
• KPI和KRI驅(qū)動的報(bào)告；
• SLA績效監(jiān)控和合同管理；
• 自適應(yīng)供應(yīng)商調(diào)查和風(fēng)險(xiǎn)評分；
• 強(qiáng)大的風(fēng)險(xiǎn)分析被內(nèi)置到平臺中；
• 采用先進(jìn)的機(jī)器學(xué)習(xí)算法來預(yù)測控制故障。

不足：

• 僅擁有有限的可定制性；
• 服務(wù)價(jià)格并不便宜；
• Diligent功能的改動需要通過腳本才能完成，這對非專業(yè)用戶來說是挑戰(zhàn)。

傳送門：https://www.wegalvanize.com/vendor-risk-management/

參考鏈接：https://www.esecurityplanet.com/products/third-party-risk-management/