Vendor risk managment

De weg naar een betrouwbaar en schaalbaar third party risk management 

Het is maandagochtend en je mailbox zit vol met half ingevulde vragenlijsten. Een leverancier heeft nog niet gereageerd, een ander stuurt een certificaat van drie jaar oud. Ondertussen vraagt het bestuur hoe veilig de keten is. Rescana brengt leveranciersrisico in kaart, beoordeelt het en blijft het bewaken. De AI zoekt het uit, jij beslist.

Wat third party risk management met behulp van Rescana je organisatie oplevert
Een klant van Cert2Connect werkt met duizend leveranciers. Wie daar een Excel voor bouwt, duizend vragenlijsten verstuurt en alle antwoorden aan elkaar knoopt, is heel veel fte kwijt. En dat zijn geen goedkope krachten, want het werk vraagt om goede data-analisten en compliance-analisten. Rescana scheelt vaak 1 tot 2 fte aan handwerk, zodat die mensen kunnen doen waar ze voor zijn aangenomen. De doorlooptijd gaat terug naar circa een week. Bij een telecombedrijf werden assessments volgens Rescana zelf 40% sneller. Dit zijn schattingen en ze verschillen per organisatie.

Wie de lijst bijhoudt
Je stuurt een vragenlijst, wacht, stuurt een herinnering en krijgt een half ingevuld antwoord terug. Daarna volgt de volgende leverancier, en de volgende, en de volgende. Rescana vult de vragenlijst alvast in, net als de vooraf ingevulde aangifte van de Belastingdienst. Antwoorden, certificaten en publieke bronnen staan er al in. De leverancier controleert en vult aan. Ook contracten en afspraken over dienstverlening (SLA’s) worden doorgelezen op onduidelijkheden. Leveranciers vinden vragenlijsten zelf ook vervelend, en dat weten de oprichters, want zij waren zelf security officer.

Inkoop- en securityprocessen die elkaar versterken
Inkoop heeft een goede leverancier gevonden en wil maandag beginnen. Security zet daar de rem op, want niemand weet nog hoe veilig die partij is. Twee weken en een paar vragenlijsten later zitten beide afdelingen nog in dezelfde discussie, ieder met een eigen versie van het verhaal en allebei met een goed punt.

In Rescana kijken ze naar hetzelfde beeld. Een algemene score zegt weinig, want de leverancier van je kantoorplanten is iets anders dan de partij die bij je klantdata kan. Rescana deelt leveranciers daarom in op hun rol voor jouw organisatie en onderbouwt dat met vragenlijsten, documenten, publieke bronnen en continue monitoring. Inkoop ziet snel of een leverancier door kan en security ziet waarom. Dat helpt ook bij het budget, want zodra inkoop kan laten zien of een leverancier veilig genoeg is, heeft ook die afdeling baat bij de tool.

Hoe veilig is de keten volgens je bestuur?
Een bekend bedrijf wordt geraakt via een leverancier. Het haalt het nieuws en een uur later appt je bestuurder: hoe zit het bij ons? Je eigen beveiliging kan tot in de puntjes kloppen en toch is de makkelijkste ingang een partij met toegang tot jouw systemen of data. De AI loopt je leverancierslijst door en laat zien welke leveranciers op basis van bevindingen het meest kritiek zijn. Je kunt het bestuur laten zien welke leveranciers het meeste risico vormen, waarom, en wat er met de bevindingen is gedaan.

Waarom dit nu op tafel ligt
De Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) is sinds 15 augustus 2026 van kracht en legt de nadruk op ketenverantwoordelijkheid. Ook de Digital Operational Resilience Act (DORA) en de Algemene verordening gegevensbescherming (AVG) vragen om grip op leveranciers. Grote organisaties hebben daar vaak een eigen risicoafdeling voor. In het middensegment ontbreekt die. Zelfs een zeer grote Nederlandse organisatie doet dit nog volledig met de hand en wil inkoop en security nu aan elkaar koppelen.

Van leveranciersrisico naar aantoonbare grip, sneller, slimmer en met minder werk voor iedereen
De software koop je in een week, maar de invoering bepaalt het resultaat. Cert2Connect legt beleid, rollen, vragenlijsten en dashboards vast in een werkbaar proces en begeleidt klanten die Rescana al jaren gebruiken. Wil je eerst weten waar de controle ontbreekt? Start dan met een Security Healthcheck. Hangt veel af van je keten, dan past Supply Chain Security erbij, en ontbreekt de regie, dan helpt CISO-as-a-Service. Plan een vrijblijvende demo of intake via het contactformulier. Meer partners vind je op de pagina met alle oplossingen.

FAQ
Past Rescana bij mijn organisatie?
Het past bij organisaties met honderden tot duizend leveranciers die dit nu met spreadsheets en losse documenten doen. Ook grote organisaties met een eigen risicoafdeling doen dit nog regelmatig met de hand.

Wat is third-party risk management?
Het proces waarmee je risico’s bij leveranciers en partners in kaart brengt, beoordeelt en blijft bewaken.

Wie beslist er als de AI de beoordeling doet?
Mensen. De AI verzamelt, deelt in en analyseert. Uitzonderingen en risicoacceptatie blijven bij jouw team.

Krijgen mijn leveranciers nog meer vragenlijsten?
Minder. Bestaande antwoorden en certificaten worden hergebruikt en leveranciers krijgen hulp als een antwoord onvolledig is.