廠商風(fēng)險(xiǎn)管理是今年的熱門話題，并且提供風(fēng)險(xiǎn)管理方案的企業(yè)也在不斷增多。正如安全領(lǐng)域中的其他市場一樣，多數(shù)廠商都在使用同樣的營銷手段。每個(gè)廠商似乎都宣稱可以提供其他廠商能提供的一切功能和特性。企業(yè)似乎很難評(píng)估不同的廠商。

廠商的風(fēng)險(xiǎn)管理是一種重要功能。第三方給企業(yè)帶來的風(fēng)險(xiǎn)需要作為戰(zhàn)略性整體風(fēng)險(xiǎn)管理方法的一個(gè)完整組成部分來理解和管理。多數(shù)企業(yè)都理解這一點(diǎn)，并且期望在不遠(yuǎn)的將來解決這種需要。那么在廠商風(fēng)險(xiǎn)管理陣地存在諸多迷惑情況下，企業(yè)如何理清思路，評(píng)估和區(qū)分不同的產(chǎn)品呢？筆者以為需考慮如下七個(gè)問題：

不存在適用于多企業(yè)的方案

在不同的規(guī)范、標(biāo)準(zhǔn)、行業(yè)之間存在很多相同的控制，但這種相同之處并不全面。企業(yè)要關(guān)注不同的問題，這依賴于行業(yè)、企業(yè)規(guī)模、地理位置、處理的數(shù)據(jù)類型、電子訪問企業(yè)的類型，以及在企業(yè)評(píng)估第三方風(fēng)險(xiǎn)時(shí)的很多其他問題。

半導(dǎo)體行業(yè)的企業(yè)所關(guān)注的問題往往不同于金融。同樣，能源、健康保健等行業(yè)的問題也各不相同。如果你正在考慮一種可以提供“以一當(dāng)十”的廠商風(fēng)險(xiǎn)管理方案，但卻不能導(dǎo)入企業(yè)的客戶評(píng)估，不能真正解決企業(yè)期望和關(guān)注的問題，那么就應(yīng)慎重考慮了。

掃描并不夠

從外部掃描廠商的外圍可以揭示企業(yè)總體安全狀況的部分特征嗎？當(dāng)然可以，但是僅僅掃描是遠(yuǎn)遠(yuǎn)不夠的。掃描不能告訴我們關(guān)于人員、過程及廠商的策略等信息，也不能提供廠商如何能夠或不能保護(hù)敏感信息。而這些方面都是真正確定廠商的安全項(xiàng)目在管理和減輕風(fēng)險(xiǎn)時(shí)非常重要的問題。

衡量標(biāo)準(zhǔn)不容易

對于廠商的風(fēng)險(xiǎn)管理，要找到一套衡量標(biāo)準(zhǔn)并不容易。也許我們可以收集幾個(gè)廠商的數(shù)據(jù)，并且對其安全狀況做出個(gè)別的評(píng)估。

但要比較這些廠商也不容易。適時(shí)地跟蹤已經(jīng)確認(rèn)的問題，并評(píng)估其解決方案？恐怕也沒有太好的辦法。從一個(gè)集中化的管理平臺(tái)管理與廠商的通信？也不太容易。理解每家不同廠商的不同進(jìn)展？建立總體的風(fēng)險(xiǎn)快照，以期望對一系列參數(shù)的不同報(bào)告進(jìn)行分片或劃分？

評(píng)測

理解廠商給企業(yè)帶來的風(fēng)險(xiǎn)是有益的。但了解企業(yè)風(fēng)險(xiǎn)或廠商風(fēng)險(xiǎn)如何與企業(yè)的地理位置、行業(yè)、公司規(guī)模或其他參數(shù)進(jìn)行比較有什么意義呢？對于任何廠商風(fēng)險(xiǎn)管理方案來說，這極端重要。如果廠商風(fēng)險(xiǎn)管理供應(yīng)商并不能提供評(píng)測，這就等于告訴你應(yīng)另請高明。

過程為王

自動(dòng)化的廠商風(fēng)險(xiǎn)管理方案尋求取代打電話、采訪、電子表等陳舊的廠商風(fēng)險(xiǎn)評(píng)估方法。任何可行的廠商風(fēng)險(xiǎn)管理方案都需要能提高一種端到端的自動(dòng)過程，能通過一個(gè)集中化的界面快速而輕松地實(shí)施管理。在這個(gè)時(shí)代，其他的一切都是陳舊的。

僅指出錯(cuò)在哪里是不夠的

指出哪里出錯(cuò)是個(gè)起點(diǎn)。但是，建議如何解決問題，并且提供一種從頭到尾管理此過程的好方法，才是自動(dòng)化的廠商風(fēng)險(xiǎn)管理方案的真正價(jià)值所在。

關(guān)于解決問題的建議正是區(qū)分不同廠商風(fēng)險(xiǎn)管理方案的真正重要特性。

支持決策

最終，企業(yè)需要理解其風(fēng)險(xiǎn)，并使用這種信息做出可行的修復(fù)決策。任何真正的廠商風(fēng)險(xiǎn)管理都需要能夠促進(jìn)而不是應(yīng)對這種過程。

在廠商風(fēng)險(xiǎn)管理領(lǐng)域，確實(shí)存在相當(dāng)數(shù)量的“選手”，而且這個(gè)領(lǐng)域在短時(shí)間內(nèi)存在諸多混亂和噪音。雖如此，企業(yè)仍可以用很多方法去正確地評(píng)估和區(qū)分各種廠商風(fēng)險(xiǎn)管理方案。