Best Practices

How to Identify Critical Suppliers

A structured methodology for identifying critical suppliers saves time, creates objectivity and is demonstrable to regulators.

Identifying critical suppliers is the first and most important step in TPRM — without this foundation, risk-based management is not possible.

Methodik zur Identifikation kritischer Lieferanten

Bewährte Vorgehensweise in 5 Schritten: (1) Vollständiges Lieferanteninventar erstellen — alle Lieferanten erfassen, auch 'vergessene' oder shadow-procurement Lieferanten. (2) Initialer Screening-Filter: Datenzugang? Systemzugang? Umsatzvolumen über Schwellenwert? Alle mit 'Ja' kommen in die engere Auswahl. (3) Detaillierte Kritikalitätsbewertung: für alle gefilterten Lieferanten Scoring anhand definierter Kriterien. (4) Abhängigkeitsanalyse: welche kritischen Geschäftsprozesse hängen von welchen Lieferanten ab? BIA-Ergebnisse einbeziehen. (5) Externe Validierung: 360TPRM Risiko-Score als objektiven Kalibrierungspunkt einsetzen.

Externe Daten objektivieren interne Einschätzungen

Interne Kritikalitätsbewertungen sind oft subjektiv und von persönlichen Beziehungen beeinflusst. 360TPRM liefert objektive externe Daten als Korrektiv.

Red Flags für kritische Lieferanten

Sofortiger Hinweis auf kritischen Lieferanten: Lieferant hat Zugang zu Produktionssystemen oder Kundendaten, Ausfall des Lieferanten würde Betrieb mehr als 4 Stunden unterbrechen, kein alternativer Lieferant innerhalb von 30 Tagen verfügbar, Lieferant verarbeitet personenbezogene Daten von mehr als 10.000 Kunden, Lieferant ist nach DORA als kritischer IKT-Anbieter einzustufen.

Unterschätzte Kritikalität ist gefährlicher als überschätzte

Ein Lieferant der fälschlicherweise als nicht-kritisch eingestuft wird erhält zu wenig Monitoring — das ist gefährlicher als ein Standard-Lieferant der zu intensiv überwacht wird.

FAQ

Was tun wenn zu viele Lieferanten kritisch sind?+

Kritikalitätsschwellen überprüfen und ggf. anpassen. Oft ist das ein Zeichen für zu niedrige Klassifizierungsschwellen — oder zu viele Single-Source-Abhängigkeiten die reduziert werden sollten.

Müssen kritische Lieferanten informiert werden?+

Empfehlenswert — kritische Lieferanten sollten wissen dass sie intensiver überwacht werden und höhere Sicherheitsanforderungen erfüllen müssen.

Identify and prioritise critical suppliers

See in a 45-minute demo how 360TPRM specifically meets your requirements.

Request free demo →