RWI Consulting memandang Third Party Risk Management atau TPRM sebagai proses terstruktur untuk mengidentifikasi, menilai, mengendalikan, memonitor, dan menindaklanjuti risiko yang muncul dari vendor, supplier, outsourcing provider, partner, counterparty, dan pihak eksternal lain yang mendukung pencapaian tujuan perusahaan.

Ketergantungan terhadap pihak ketiga terus meningkat seiring perusahaan menggunakan penyedia teknologi, jasa profesional, logistik, infrastruktur, fasilitas, tenaga kerja, data, sistem, dan berbagai layanan pendukung lainnya. Ketika dependency tersebut menjadi kritikal, risiko pihak ketiga dapat berubah menjadi operational risk, compliance risk, cyber risk, financial risk, contractual risk, reputation risk, atau business continuity risk.

Third Party Risk Management

Photo by Yan Krukau on Pexels

Materi internal RWI mengenai Business Impact Analysis menempatkan vendor dan third-party service sebagai salah satu dependency penting yang perlu dipetakan bersama aplikasi, proses, unit kerja, fasilitas, teknologi, dan sumber daya. Kegagalan layanan vendor strategis dapat berdampak langsung pada proses bisnis dan layanan.

Materi internal RWI juga menunjukkan pengalaman advisory yang menggabungkan project risk, portfolio risk, counterparty risk, contractual risk, emerging risk, KYC, dan penguatan governance documentation.

Third Party Risk Management karena itu tidak seharusnya berhenti pada proses procurement atau verifikasi awal. TPRM perlu mencakup seluruh lifecycle hubungan dengan pihak ketiga.

Baca juga: Enterprise Risk Management Framework: Kenapa Banyak Perusahaan Punya ERM Tapi Tidak Jalan

Apa Itu Third Party Risk Management?

Photo by AlphaTradeZone on Pexels

Third Party Risk Management adalah pendekatan untuk memastikan risiko yang berasal dari pihak eksternal dipahami dan dikelola sejak sebelum hubungan dimulai sampai hubungan berakhir.

Lifecycle dapat mencakup:

• third-party identification;
• criticality classification;
• due diligence;
• risk assessment;
• approval;
• contractual control;
• onboarding;
• ongoing monitoring;
• incident management;
• performance review;
• renewal;
• termination;
• exit management.

Tujuan TPRM adalah memastikan perusahaan tidak hanya mengetahui siapa vendornya, tetapi juga memahami exposure yang timbul dari hubungan tersebut.

Baca juga: Jasa Konsultan Risiko untuk Universitas: Dari Risk Register sampai Dashboard dan Monitoring…

Mengapa Third Party Risk Management Penting?

Photo by Rebrand Cities on Pexels

Pihak ketiga dapat menjadi bagian dari proses yang sangat kritikal.

Contohnya:

• penyedia aplikasi;
• penyedia data;
• telecommunication provider;
• logistics provider;
• cloud or hosting service;
• maintenance provider;
• payment-related service;
• professional service;
• outsourcing provider;
• critical supplier.

Masalah yang muncul pada pihak ketiga dapat menyebabkan:

• gangguan operasi;
• keterlambatan layanan;
• financial loss;
• compliance issue;
• data issue;
• cyber incident;
• reputation damage;
• contract dispute;
• business continuity disruption.

Materi internal RWI mengenai BIA menempatkan third party sebagai critical enabler dan menghubungkan kegagalan vendor dengan gangguan proses bisnis, teknologi, layanan, dan kewajiban kontraktual.

Baca juga: Aplikasi BCM: Solusi Digital Terintegrasi untuk Business Continuity Management System

TPRM Bukan Sekadar Vendor Assessment

Photo by Daniel Lee on Pexels

Vendor assessment hanya satu tahap.

TPRM yang baik perlu menghubungkan:

• business requirement;
• vendor criticality;
• risk assessment;
• due diligence;
• contract;
• service level;
• internal control;
• KRI;
• incident;
• business continuity;
• exit strategy.

Tanpa lifecycle approach, perusahaan dapat melakukan due diligence saat onboarding tetapi tidak lagi memonitor perubahan kondisi setelah kontrak berjalan.

Jenis Pihak Ketiga yang Perlu Dikelola

Photo by Arif Syuhada on Pexels

Tidak semua pihak eksternal memiliki risk exposure yang sama.

Kategori dapat mencakup:

• vendor;
• supplier;
• outsourcing provider;
• technology provider;
• consultant;
• logistics partner;
• counterparty;
• distributor;
• agent;
• strategic partner;
• subcontractor;
• shared service provider.

Perusahaan perlu memiliki third-party inventory sebagai baseline.

Third Party Inventory

Photo by Daniel Andraski on Pexels

Inventory dapat memuat:

• third-party name atau ID;
• service;
• business owner;
• contract owner;
• criticality;
• location;
• data access;
• technology dependency;
• contract period;
• risk level;
• last assessment;
• next review;
• status.

Inventory memungkinkan management mengetahui concentration dan dependency.

Third Party Criticality Assessment

Photo by Jan van der Wolf on Pexels

Sebelum melakukan assessment mendalam, perusahaan perlu menentukan criticality.

Faktor dapat mencakup:

• dampak apabila layanan berhenti;
• jumlah proses yang bergantung;
• customer impact;
• financial exposure;
• data access;
• technology access;
• replacement difficulty;
• regulatory relevance;
• contract value;
• concentration.

Klasifikasi dapat berupa low, medium, high, dan critical.

Criticality menentukan kedalaman due diligence dan monitoring.

Risk Taxonomy Third Party

Photo by David Dwipayana on Pexels

Third-party risk dapat dikelompokkan menjadi beberapa kategori.

Operational Risk

Risiko kegagalan layanan, capacity, quality, delivery, atau process.

Financial Risk

Risiko kondisi keuangan pihak ketiga memengaruhi kemampuan memenuhi kewajiban.

Compliance Risk

Risiko pihak ketiga tidak memenuhi kewajiban yang relevan terhadap hubungan bisnis.

Cyber and Technology Risk

Risiko gangguan system, access, security, data, atau technology dependency.

Business Continuity Risk

Risiko provider tidak mampu mempertahankan atau memulihkan layanan saat disruption.

Contractual Risk

Risiko hak, kewajiban, liability, service level, atau termination tidak dirumuskan secara memadai.

Reputation Risk

Risiko perilaku atau kegagalan pihak ketiga berdampak pada kepercayaan stakeholder.

Concentration Risk

Risiko perusahaan terlalu bergantung pada satu provider atau kelompok provider yang sama.

Third Party Due Diligence

Due diligence digunakan untuk memahami pihak ketiga sebelum keputusan dibuat.

Area yang dapat dikaji:

• legal status;
• business profile;
• ownership;
• financial condition;
• experience;
• service capability;
• risk management;
• internal control;
• compliance;
• business continuity;
• technology;
• data management;
• subcontractor dependency;
• incident history.

Depth due diligence perlu mengikuti criticality.

Materi internal RWI mengenai counterparty dan contractual risk menunjukkan bahwa penilaian pihak eksternal perlu dikaitkan dengan risk review, KYC, governance document, dan monitoring exposure, bukan hanya proses administratif.

Third Party Risk Assessment

Assessment dapat menggunakan struktur:

• risk event;
• cause;
• impact;
• likelihood;
• existing control;
• control effectiveness;
• residual risk;
• treatment;
• owner;
• KRI.

Materi internal RWI mengenai enterprise risk management menempatkan identification, quantification, prioritization, treatment, risk appetite, KRI, control assessment, dan monitoring sebagai bagian dari proses risiko yang terintegrasi.

Third-party risk sebaiknya menggunakan risk criteria yang sama dengan ERM agar exposure dapat dibandingkan.

Third Party Risk Appetite

Risk appetite membantu menentukan jenis exposure yang dapat diterima. Perusahaan dapat menetapkan tolerance terhadap:

• single-source dependency;
• service downtime;
• data access;
• financial exposure;
• compliance breach;
• critical incident;
• recovery time;
• unresolved audit finding.

Risk appetite perlu diterjemahkan menjadi limit atau threshold yang dapat dimonitor.

Contractual Risk Management

Kontrak merupakan salah satu control utama. Area yang dapat diatur:

• scope of service;
• service level;
• roles;
• data responsibility;
• confidentiality;
• incident notification;
• audit right;
• business continuity requirement;
• subcontractor;
• performance monitoring;
• remediation;
• termination;
• exit support.

Contractual control perlu disesuaikan dengan risk level.

Onboarding dan Approval

Approval sebaiknya berbasis criticality. Low-risk vendor dapat menggunakan proses sederhana. High-risk atau critical third party dapat memerlukan:

• enhanced due diligence;
• risk review;
• legal review;
• technology review;
• continuity review;
• senior approval;
• specific contractual control.

Workflow perlu memiliki evidence dan owner.

Ongoing Monitoring

Risiko pihak ketiga dapat berubah setelah onboarding. Monitoring dapat mencakup:

• SLA;
• delivery performance;
• financial indicator;
• incident;
• complaint;
• control issue;
• audit finding;
• regulatory issue;
• business continuity readiness;
• contract expiry;
• concentration exposure.

Monitoring perlu lebih intensif untuk critical third party.

Key Risk Indicator untuk Third Party

Contoh KRI:

• SLA breach frequency;
• number of critical incidents;
• service downtime;
• overdue corrective action;
• financial deterioration indicator;
• unresolved control findings;
• vendor concentration ratio;
• business continuity test failure;
• contract renewal overdue;
• subcontractor dependency change.

KRI perlu memiliki threshold dan escalation rule.

Third Party Incident Management

Perusahaan perlu menentukan apa yang terjadi ketika third party mengalami masalah. Workflow dapat mencakup:

1. incident notification;
2. impact assessment;
3. classification;
4. containment;
5. business owner escalation;
6. vendor remediation;
7. continuity activation;
8. root cause analysis;
9. closure;
10. lesson learned.

Critical incident dapat memerlukan crisis management.

Third Party Business Continuity dan Resilience

Vendor criticality perlu dihubungkan dengan Business Impact Analysis. Pertanyaan yang perlu dijawab:

• berapa lama perusahaan dapat bertahan tanpa vendor;
• apakah terdapat alternate provider;
• berapa lama switching membutuhkan waktu;
• apakah terdapat manual workaround;
• apakah vendor memiliki recovery capability;
• apakah dependency vendor pernah diuji;
• apakah data dapat dipindahkan;
• apakah exit plan realistis.

Materi internal RWI mengenai BIA menempatkan third party bersama technology, facility, people, application, dan resource sebagai dependency yang perlu dipetakan dan dihubungkan dengan recovery strategy.

Third Party Resilience Testing

Testing dapat mencakup:

• document review;
• tabletop exercise;
• notification test;
• failover coordination;
• alternate supplier simulation;
• data recovery test;
• integrated business continuity exercise.

Hasil testing perlu dibandingkan dengan expected capability.

Third Party Risk dan Compliance

TPRM perlu terhubung dengan compliance management. Perusahaan dapat memetakan:

• obligation;
• responsible unit;
• third-party role;
• control;
• evidence;
• monitoring;
• gap;
• corrective action.

Materi internal compliance RWI menempatkan regulatory mapping, compliance obligation, responsible unit, gap analysis, recommendation, internal control, monitoring, dan reporting sebagai satu mekanisme.

Prinsip tersebut relevan ketika pemenuhan kewajiban bergantung pada pihak eksternal.

Third Party Risk dan Cyber Resilience

Technology provider dapat menciptakan cyber concentration risk. Assessment perlu melihat:

• data access;
• system access;
• critical service dependency;
• incident notification;
• recovery capability;
• logging;
• subcontractor;
• exit feasibility.

Third-party cyber risk sebaiknya tidak dikelola terpisah dari TPRM.

Third Party Risk untuk Holding

Holding dapat memiliki vendor yang sama di banyak entitas.

Group-level TPRM dapat membantu mengidentifikasi:

• common vendor;
• group concentration;
• shared service dependency;
• common incident;
• contract fragmentation;
• duplicate due diligence;
• group escalation need.

Group framework dapat menetapkan minimum assessment dan memungkinkan entity-specific review.

Third Party Risk Dashboard

Dashboard dapat menampilkan:

• total third parties;
• critical vendors;
• risk distribution;
• high-risk vendor;
• SLA breaches;
• open incidents;
• overdue assessment;
• contract expiry;
• open corrective action;
• concentration risk;
• continuity testing status.

Dashboard perlu menyediakan drill-down ke owner, contract, risk, control, dan evidence.

Third Party Risk Operating Model

Operating model perlu membagi role secara jelas.

Business Owner

Bertanggung jawab atas kebutuhan, performance, dan business risk.

Procurement

Mengelola sourcing, commercial process, dan procurement governance.

Risk Management

Menetapkan risk methodology, challenge, aggregation, dan reporting.

Compliance dan Legal

Menilai obligation, contract, dan compliance exposure.

Technology atau Security

Menilai technology dan cyber dependency.

Business Continuity

Menilai criticality, recovery capability, dan contingency.

Internal Audit

Memberikan assurance independen.

Tahapan Implementasi Third Party Risk Management

Fase 1. Current State Assessment

Mengkaji inventory, procurement, risk, contract, monitoring, dan incident existing.

Fase 2. Third Party Inventory

Membangun database pihak ketiga dan business owner.

Fase 3. Criticality Classification

Menentukan tier berdasarkan business impact.

Fase 4. Risk Taxonomy and Method

Menetapkan risk category, criteria, scoring, dan appetite.

Fase 5. Due Diligence Design

Menyusun questionnaire dan evidence requirement.

Fase 6. Contract Control

Menyelaraskan risk dengan contractual requirement.

Fase 7. Workflow and Approval

Menetapkan review, approval, exception, dan escalation.

Fase 8. Ongoing Monitoring

Menentukan KRI, SLA, incident, review frequency, dan dashboard.

Fase 9. Resilience and Exit

Menetapkan continuity requirement dan exit strategy.

Fase 10. Assurance and Improvement

Menguji process dan memperbaiki gap.

Deliverables Third Party Risk Management

Deliverable dapat mencakup:

• TPRM current state assessment;
• third-party inventory;
• criticality methodology;
• third-party risk taxonomy;
• risk assessment methodology;
• due diligence questionnaire;
• evidence checklist;
• risk register;
• approval matrix;
• contract control checklist;
• KRI library;
• monitoring framework;
• incident workflow;
• continuity assessment;
• exit strategy template;
• dashboard design;
• implementation roadmap.

Kesalahan Umum dalam TPRM

1. Hanya Mengandalkan Procurement
   Third-party risk membutuhkan input lintas fungsi.
2. Semua Vendor Dinilai Sama
   Criticality-based approach lebih proporsional.
3. Due Diligence Hanya Sekali
   Risk dapat berubah selama kontrak berjalan.
4. Contract Tidak Terhubung dengan Risk
   Control menjadi tidak memadai.
5. Tidak Menilai Concentration Risk
   Single point of failure tidak terlihat.
6. Business Continuity Tidak Dinilai
   Critical vendor dapat gagal saat disruption.
7. KRI Tidak Digunakan
   Monitoring menjadi reaktif.
8. Incident Vendor Tidak Masuk Risk Reporting
   Management kehilangan visibility.
9. Tidak Memiliki Exit Strategy
   Perusahaan sulit berpindah saat provider bermasalah.
10. Business Owner Tidak Accountable
    TPRM berubah menjadi proses administratif fungsi pendukung.

Fitur dan Manfaat Third Party Risk Management

Fitur: Third-party inventory
Manfaat: Memberikan visibility atas dependency.

Fitur: Criticality assessment
Manfaat: Membuat due diligence proporsional.

Fitur: Risk assessment
Manfaat: Mengidentifikasi exposure sebelum dan selama hubungan.

Fitur: Contract control
Manfaat: Menerjemahkan risk requirement ke hubungan formal.

Fitur: KRI dan monitoring
Manfaat: Memberikan early warning.

Fitur: Incident workflow
Manfaat: Mempercepat escalation dan remediation.

Fitur: Continuity assessment
Manfaat: Mengurangi risiko kegagalan critical vendor.

Fitur: Exit strategy
Manfaat: Mengurangi lock-in dan transition risk.

Pembeda RWI Consulting

RWI Consulting memposisikan Third Party Risk Management sebagai bagian dari enterprise risk management, GRC, compliance, operational resilience, business continuity, counterparty risk, dan contractual risk.

Pendekatan RWI menghubungkan third-party inventory, criticality, due diligence, risk assessment, contract, KRI, monitoring, incident, continuity, dan exit strategy.

Materi internal RWI menunjukkan pengalaman pada risk assessment, counterparty dan contractual risk, KYC, emerging risk, vendor dependency, Business Impact Analysis, recovery strategy, dan integrated risk governance.

Internal Link Wheel Third Party Risk Management

Konten Induk

• Enterprise Risk Management System
• GRC Consulting

Konten Setingkat

• Operational Resilience
• Cyber Resilience
• Compliance Framework
• Business Continuity Management

Konten Turunan

• Vendor Risk Assessment
• Third Party Due Diligence
• Third Party Cyber Risk
• Vendor Resilience

FAQ Third Party Risk Management

Apa itu Third Party Risk Management?

TPRM adalah proses untuk mengidentifikasi, menilai, mengendalikan, memonitor, dan menindaklanjuti risiko dari vendor, supplier, outsourcing provider, partner, dan counterparty.

Apa perbedaan TPRM dan vendor assessment?

Vendor assessment adalah salah satu tahap. TPRM mencakup lifecycle dari identification sampai exit.

Siapa yang perlu terlibat?

Business owner, procurement, risk, compliance, legal, technology, security, BCM, dan internal audit dapat terlibat sesuai criticality.

Apa itu third-party criticality?

Criticality menunjukkan seberapa besar dampak jika third party gagal atau tidak tersedia.

Apa yang dinilai saat due diligence?

Legal status, capability, financial condition, risk management, compliance, technology, continuity, data, subcontractor, dan incident history dapat dinilai sesuai scope.

Apakah semua vendor harus melalui assessment yang sama?

Tidak. Assessment sebaiknya berbasis criticality dan risk.

Apa contoh KRI vendor?

SLA breach, downtime, incident, overdue action, financial deterioration, unresolved finding, dan continuity test failure.

Bagaimana TPRM diintegrasikan dengan ERM?

Third-party risk menggunakan enterprise risk criteria, risk appetite, owner, treatment, KRI, dan reporting yang konsisten.

Mengapa business continuity penting?

Critical third party dapat menjadi single point of failure sehingga recovery capability perlu diuji.

Apa itu exit strategy?

Exit strategy menjelaskan cara memindahkan atau menghentikan layanan tanpa menciptakan disruption yang tidak dapat diterima.

Bagaimana TPRM diterapkan pada holding?

Holding dapat menggunakan common framework, minimum due diligence, group concentration analysis, dan consolidated reporting.

Apa output proyek TPRM?

Output dapat berupa inventory, criticality model, risk method, due diligence, risk register, KRI, monitoring, incident process, continuity assessment, dashboard, dan roadmap.

Segmentation dan Tiering Pihak Ketiga

Third-party inventory akan lebih berguna apabila setiap pihak dikelompokkan ke dalam tier yang konsisten. Tiering membantu perusahaan menentukan level due diligence, approval, monitoring, contract requirement, dan testing.

Contoh segmentasi:

Tier 1
Karakteristik: Critical dependency, sulit diganti, dampak tinggi
Pendekatan: Enhanced due diligence, senior approval, frequent monitoring, resilience testing

Tier 2
Karakteristik: Material tetapi memiliki alternatif
Pendekatan: Formal assessment dan periodic monitoring

Tier 3
Karakteristik: Dampak moderat
Pendekatan: Standard due diligence dan scheduled review

Tier 4
Karakteristik: Dampak rendah
Pendekatan: Basic onboarding control

Tiering sebaiknya tidak ditentukan hanya dari nilai kontrak. Vendor dengan nilai kontrak kecil dapat tetap kritikal apabila memegang akses sistem, data penting, atau menjadi single-source provider.

Management Reporting Third Party Risk

Management tidak membutuhkan seluruh detail questionnaire. Management membutuhkan informasi yang menunjukkan exposure, trend, concentration, issue, dan decision required.

Laporan dapat memuat:

• jumlah critical third parties;
• top third-party risks;
• vendor yang berada di atas risk appetite;
• critical SLA breach;
• high-risk incidents;
• overdue corrective action;
• upcoming contract expiry;
• concentration exposure;
• continuity testing gap;
• exception yang membutuhkan approval.

Reporting perlu membedakan operational follow-up dengan management escalation. Dengan demikian, dashboard tidak menjadi daftar administrasi, tetapi alat decision support.

Capability Building untuk TPRM

TPRM membutuhkan kemampuan lintas fungsi. Business owner perlu memahami criticality dan accountability. Procurement perlu memahami risk-based onboarding. Risk function perlu mampu menilai exposure dan challenge. Legal perlu menghubungkan risk dengan contractual control. BCM perlu menilai continuity dependency. Internal audit perlu memahami evidence dan assurance.

Program capability building dapat mencakup workshop criticality assessment, due diligence clinic, contract-risk mapping, KRI design, incident simulation, dan vendor continuity exercise.

Penguatan capability membantu memastikan TPRM tidak hanya dimiliki oleh satu fungsi, tetapi menjadi bagian dari decision-making perusahaan.

Review dan Continual Improvement TPRM

Framework perlu diperbarui berdasarkan perubahan vendor, incident, audit finding, contract renewal, business transformation, new technology, dan perubahan risk profile.

Periodic review dapat mengevaluasi apakah tiering masih relevan, questionnaire masih memadai, KRI masih memberikan early warning, control berjalan, serta exit strategy masih dapat dilaksanakan. Hasil review perlu diterjemahkan menjadi action plan dengan owner dan target date.

Konsultasi Third Party Risk Management

RWI Consulting membantu perusahaan membangun Third Party Risk Management mulai dari inventory, criticality assessment, due diligence, risk assessment, contractual control, KRI, monitoring, incident management, third-party resilience, exit strategy, dashboard, sampai implementation roadmap.

Jadwalkan konsultasi Third Party Risk Management bersama RWI Consulting untuk memperkuat pengelolaan vendor, supplier, partner, outsourcing, dan counterparty secara berbasis risiko dan terintegrasi dengan GRC perusahaan.