德勤中国-Top-5-considerations-for-third-party-governance_12页_312kb

详细总结：TPA治理的五大考虑因素

核心内容

随着企业外包服务的普及，第三方保证（TPA）报告和合规问卷的需求迅速增长，给外包服务提供商（OSPs）带来了显著的资源和成本压力。为应对这一挑战，OSPs需要采取更有效的TPA治理策略，以提高效率、降低成本并确保满足客户的合规需求。

主要观点

1. TPA治理的重要性
   TPA报告和合规要求日益增多，涉及财务、运营、网络安全、隐私、业务连续性等多个领域。这不仅增加了外部成本，也对内部资源造成巨大负担。因此，建立有效的TPA治理机制成为OSPs的必要举措。

2. 市场与监管环境的变化
   市场正在适应TPA需求的上升，AICPA等组织不断更新框架以提供更高的保证水平并简化报告流程。SOC 2+ 和 SOC for Cybersecurity 等框架为OSPs提供了灵活的解决方案，以满足多样化的合规要求。

3. TPA治理的五大原则
   为了优化TPA治理，OSPs应遵循以下五大原则：

关键信息

1. 建立TPA指导委员会

• 组成：应包括TPA项目管理办公室（PMO）负责人、风险与合规部门、法律、内部审计、销售与业务发展、IT领导（如CIO、CISO）以及财务（如CFO或会计主管）。
• 职责：
  • 指导组织内TPA资源的高效使用；
  • 制定并传达整体TPA路线图；
  • 帮助员工做出更明智的合同决策；
  • 分享最佳实践；
  • 识别并消除重复性工作；
  • 协助与客户沟通TPA报告相关决策。
• 重要性：缺乏协调机制会导致资源浪费、信息不一致和重复工作。建立指导委员会有助于统一TPA治理，显著降低合规成本。

2. 在合同签订前进行TPA要求审核

• 目的：确保合同中规定的TPA报告义务符合客户类型和业务需求。
• 实施：由TPA PMO或其他授权人员在合同最终确定前进行审核，避免过度承诺和资源浪费。
• 建议：对销售人员进行培训，防止他们在合同签订前做出不当承诺。

3. 将TPA治理与组织其他风险与合规努力对齐

• 步骤：创建企业级合规需求库，涵盖内部（如SOX、FDICIA）和外部（如HITRUST、NIST、CSA、PCI DSS）要求。
• 优势：
  • 明确控制与合规要求的对应关系；
  • 通过共享测试结果提高效率；
  • 识别关键控制点，集中管理风险；
  • 优化报告周期，减少重复测试。

4. 尽可能使用SOC 2+报告

• 定义：由AICPA创建的可扩展框架，允许将多个行业标准整合到SOC 2报告中。
• 优点：
  • 标准化格式，满足多种合规要求；
  • 减少重复活动和单独响应；
  • 提供对客户和利益相关者的统一保证；
  • 可用于满足各种安全问卷（如SIG问卷）。

5. 主动管理TPA责任的全部成本

• 成本范围：包括审计费用、内部员工时间成本和控制负责人应对请求的时间成本。
• 建议：
  • 优化资源分配，通常1-2名全职员工即可；
  • 在合同中明确TPA报告费用，以建立透明度和公平性；
  • 鼓励客户与OSPs共同承担合规成本，以应对不断增长的TPA请求。

结论

面对日益增长的TPA需求和成本，OSPs应采取主动、系统的治理策略，包括建立指导委员会、审核合同要求、整合合规需求、使用SOC 2+框架以及合理管理成本。这些措施不仅能提高效率，还能增强客户信任，为组织创造更大价值。

风险与控制优化要点

• 识别合规需求：明确合规关注的风险领域及相关监管机构和时间要求。
• 连接合规要点：识别现有框架和控制，将其映射到内部风险领域，评估合规能力。
• 优化报告机制：利用整合的风险与控制框架和测试机制，满足多种合规需求。

联系方式

• Tom Haberman
  Principal | Deloitte Risk and Financial Advisory
  Deloitte & Touche LLP
  +1 513 784 7170
  thaberman@deloitte.com

• Alan West
  Senior Manager | Deloitte Risk and Financial Advisory
  Deloitte & Touche LLP
  +1 402 444 1807
  alwest@deloitte.com

• Dan Zychinski
  Senior Manager | Deloitte Risk and Financial Advisory
  Deloitte & Touche LLP
  +1 404 220 1169
  dzychinski@deloitte.com