AI en het beheersen van risico’s bij externe partijen in een snel veranderende wereld

TPRM-functies hebben nieuwe werkwijzen nodig om om te gaan met de toenemende druk van het veranderende risicolandschap, het groeiende aantal en de complexiteit van externe relaties, en de noodzaak om meer te doen met minder middelen. De transformatie van TPRM is een traject: van het nastreven van marginale efficiëntiewinsten aan de ene kant, tot fundamentele vernieuwing aan de andere. Bedrijven zijn al enige tijd bezig met deze transformatie, met name door de beweging richting meer centralisatie. De opkomst van AI biedt de kans om zowel de centralisatie te versnellen als TPRM ingrijpend te vernieuwen.

De centralisatie van TPRM heeft bedrijven op weg geholpen naar meer efficiëntie.

In lijn met een ontwikkeling die al meerdere jaren gaande is, laat de enquête van 2025 een verdere trend zien richting centralisatie van TPRM. Een groeiend aantal organisaties gebruikt gecentraliseerde, bedrijfsbrede TPRM-programma's (57% in 2025, tegenover 54% in 2023).

Het centraliseren van TPRM biedt tal van voordelen. Hierdoor worden knelpunten verminderd: in plaats van herhaaldelijk dezelfde externe partij te benaderen met vaak overlappende of dubbele verzoeken, kan dit nu op een gecoördineerde en gestroomlijnde manier plaatsvinden. De onderzoeksgegevens wijzen erop dat veel organisaties zouden kunnen profiteren van een dergelijke stroomlijning. Bij het uitvoeren van controle-assessments gebruikt zo’n vier op de tien bedrijven (43%) nog steeds meerdere vragenlijsten voor verschillende risicodomeinen. Ze sturen externe partijen gemiddeld 55 vragenlijsten. "Tel daarbij de compliance-last op van elke extra vragenlijst — 45% van de respondenten geeft aan dat controle-assessments uit 101 tot 200 vragen bestaan, terwijl 36% zelfs 201 tot 350 vragen telt — en het is duidelijk dat er veel ruimte is voor een gecentraliseerde aanpak om de compliance-druk en frictie met externe partijen te verminderen.

Cruciaal is dat gecentraliseerd TPRM zorgt voor betere coördinatie en een meer holistische risicobeoordeling. "Een gecentraliseerde aanpak van TPRM stelt een organisatie in staat om verbanden te leggen tussen verschillende afdelingen en het geheel te overzien," zegt Rohit Mathur, EY Global Risk Consulting Strategy Leader en EMEIA Risk Consulting Leader. "Zo kan bijvoorbeeld het cybersecurityteam van een organisatie een externe partij monitoren op cyberrisico's. Die externe partij kan over sterke cyberbeveiligingsmaatregelen beschikken en hoog scoren op het gebied van cyberrisico. Maar de partij kan tegelijkertijd geld verliezen, met een grote kans op een faillissement in de komende zes maanden - wat natuurlijk haar vermogen om te investeren in cybercontroles in gevaar zou brengen. Als de organisatie de punten van cyber- en financieel risico niet met elkaar verbindt, zou ze het totaalplaatje missen."

De voordelen van centralisatie zijn zichtbaar in de enquêtegegevens. Tweeënnegentig procent van de organisaties met een gecentraliseerde TPRM-structuur heeft direct geïnvesteerd in het verbeteren en optimaliseren van de mogelijkheden en effectiviteit van het programma. De belangrijkste voordelen die uit deze rijping naar voren komen, zijn een betere gebruikerservaring (56%), een beter begrip van risico's tijdens het besluitvormingsproces (52%), volledigheid en nauwkeurigheid van gegevens (51%) en standaardisatie (51%). 

Gecentraliseerde TPRM-structuren tonen ook meer volwassenheid in meerdere kerngebieden vergeleken met hybride structuren. Gecentraliseerde structuren tonen meer volwassenheid dan hybride modellen op diverse terreinen, waaronder het overzicht van externe partijen (58% tegenover 39%), risicomodellen (51% tegenover 36%), beoordelingsmethodologie (49% tegenover 33%), beleidskaders en standaarden (46% tegenover 31%) en governance en toezicht (43% tegenover 29%).

AI is een waardekatalysator en een kans om TPRM opnieuw uit te vinden

AI heeft de potentie om third-party risk management (TPRM) ingrijpend te veranderen. Het zorgt niet alleen voor meer efficiëntie, maar maakt ook een compleet nieuwe manier mogelijk om risico’s bij externe partijen te herkennen, volgen en beheersen.

De eerste use cases van AI binnen bedrijven richten zich vaak op het automatiseren van handmatige processen en het verbeteren van operationele efficiëntie. Dit omvat het stroomlijnen van repetitieve taken, zoals gegevensverzameling, initiële risicobeoordelingen en onboarding van leveranciers, en het versnellen van risicobeoordelingen. Maar de echte kracht van AI ligt niet zozeer in het automatiseren van bestaande processen, als wel in het creëren van waarde door third-party risk management op een fundamenteel andere manier aan te pakken.

Denk aan hoe AI aanzienlijke efficiëntievoordelen kan opleveren en traditionele werkwijzen kan heruitvinden, en dat over alle fasen van de TPRM-levenscyclus heen.

• Identificatie van leveranciers: In plaats van handmatig lijsten met leveranciers samen te stellen, gebruikt AI algoritmen om databases te scannen en leveranciers te identificeren op basis van vooraf gedefinieerde criteria, waardoor het proces sneller en uitgebreider wordt.
• Risicobeoordeling: AI-modellen beoordelen risico's op basis van historische gegevens en voorspellende analyses, en leveren objectieve risicoscores.
• Due diligence: AI vervangt trage en arbeidsintensieve handmatige documentcontroles door geautomatiseerde verzameling en analyse van leveranciersdocumentatie, zoals financiële gegevens en compliance-rapporten.
• Contractonderhandelingen: AI analyseert contractvoorwaarden met behulp van natuurlijke taalverwerking (NLP) om risico's te identificeren en verbeteringen voor te stellen op basis van best practices.
• Onboarding: AI versnelt het onboardingproces met behulp van geautomatiseerde workflows en checklists, en zorgt tegelijkertijd voor naleving van alle vereisten.
• Monitoring: AI bewaakt continu de prestaties van leveranciers met behulp van realtime data-analyse en geeft direct meldingen bij afwijkingen of compliance-issues.
• Incidentbeheer: AI maakt gebruik van voorspellende analyses om potentiële incidenten te identificeren voordat ze zich voordoen en voert scenarioanalyses uit om "domino-effect"-risico's te voorzien die verborgen kunnen blijven in meer lineaire en silobenaderingen.
• Training en bewustwording: AI biedt gepersonaliseerde trainingsmodules op basis van de individuele behoeften en leerstijlen van werknemers.

Ondanks het potentieel is de toepassing van AI in TPRM nog steeds relatief laag. Slechts 13% van de bedrijven heeft technologie en automatisering binnen hun TPRM-programma's geoptimaliseerd (of "niveau 5" volwassenheid bereikt).

"Het gebruik van AI staat nog in de kinderschoenen," zegt Gennarini. "Tot nu toe zetten de meeste TPRM-teams AI nog maar op beperkte schaal in, en maken ze vooral gebruik van technologieën die al langer bestaan, zoals optische tekenherkenning (OCR) voor het doorzoeken van documenten."

De nieuwe generatie AI-modellen, waaronder agentische AI, zal niet langer streven naar incrementele operationele efficiëntie, maar zal TPRM op fundamenteel andere manieren uitvoeren. In plaats van alleen OCR en NLP te gebruiken om contractvoorwaarden te beoordelen, kan een wereld van AI-agents het mogelijk maken dat agents direct samenwerken met agents bij externe partijen om contracten te onderhandelen op basis van marktgegevens, bedrijfsdoelstellingen en governance- of regelgevingseisen. Na menselijke controle kunnen definitieve overeenkomsten worden vastgelegd als smart contracts op de blockchain, wat zorgt voor transparantie en veiligheid, evenals geautomatiseerde monitoring van naleving en uitvoering van mijlpaalbetalingen.

Het goede nieuws is dat TPRM-functies willen investeren in AI en gegevensanalyse. De belangrijkste drijfveer voor toekomstige investeringen in TPRM-programma’s is ‘AI/ML-mogelijkheden voor verbeterde due diligence en contractuitvoering/-monitoring’ (31% van de respondenten), gevolgd door ‘Data-gedreven aanpak voor het monitoren van externe partijen’ (28%) en ‘Automatisering van due diligence voor efficiëntie en versterkt risicobeheer’ (27%).

AI en centralisatie kunnen elkaar versterken

Verschillende factoren belemmeren een bredere toepassing van AI en centralisatie binnen TPRM.

Versnipperde organisatiestructuren en niet op elkaar afgestemde prikkels resulteren in een gefragmenteerde aanpak en hinderen het realiseren van het volledige waardepotentieel van centralisatie." TPRM wordt meestal niet geleid door een leidinggevende op C-niveau, maar een paar niveaus lager op de C-suite. Het is vaak verdeeld over leiders van afzonderlijke business units, die slechts de bevoegdheid, prikkels en het budget hebben om het binnen hun eigen verticale organisatie aan te pakken, in plaats van afstemming te zoeken met andere units en het probleem integraal op enterprise-niveau te benaderen.

Hoewel de factoren die verantwoordelijk zijn voor de lage adoptie van AI per organisatie verschillen, zijn de meest voorkomende uitdagingen kosten, gebrek aan deskundigheid en onvoldoende voorbereiding van data. Bovendien maakt de breedte en complexiteit van TPRM de integratie van AI-oplossingen in bestaande TPRM-processen en -workflows tot een moeilijke onderneming.

De symbiotische relatie tussen centralisatie en AI kan helpen om enkele van deze barrières te overwinnen en de adoptie te versnellen. Een belangrijke pijler van gecentraliseerd TPRM is bijvoorbeeld het harmoniseren en centraliseren van gegevens in alle verticale segmenten van de organisatie - maar dit is ook een belangrijke voorwaarde voor AI, dus het kan helpen om de barrière van gegevensgereedheid te overwinnen en de invoering van AI te versnellen. Op dezelfde manier kan AI centralisatie versterken door TPRM-managers de mogelijkheden te bieden om realtime gegevens in de hele onderneming en het ecosysteem van derden te controleren. 

Bedrijfsleiders en risicomanagers kunnen deze drie acties ondernemen om de transformatie van TPRM te versnellen en het volledige waardepotentieel van centralisatie en AI-implementatie te bereiken:

1. Focus op de onderneming

TPRM wordt uitgevoerd in verschillende afdelingen van de organisatie, die gestructureerd en beloond zijn om zich te richten op verschillende metrics. Inkoop kan de naleving van contracten en de prestaties van verkopers bijhouden. Cybersecurity kan zich richten op de reactietijd bij incidenten en de kosten van datalekken. Supply chains richten zich vaak op de compliance en veerkracht van hun leveranciers.

Het volledig benutten van de mogelijkheden van AI en centralisatie vereist echter inzicht in je verplichtingen op ondernemingsniveau — zoals regelgeving, bestuursprioriteiten en eisen van investeerders — én hoe deze zich vertalen naar risico’s bij externe partijen en samenhangen met de prestatie-indicatoren van individuele bedrijfseenheden. Als je alleen naar specifieke risico’s kijkt, in plaats van naar hoe het geheel van externe partijen je organisatie als geheel kan beïnvloeden, beperk je je blikveld en loop je het risico suboptimale beslissingen te nemen.

We hebben al eerder geschreven over het concept van een "risk steward" - iemand die belast is met het prioriteren van risicomanagementvereisten binnen uw organisatorische silo's en die een samenhangende, proactieve benadering van risicomanagement aanstuurt. TPRM is een echte dwarsdoorsnijdende functie binnen de organisatie, waarbij elke interne functie een weerspiegeling kent in de impact van externe partijen. Het zou enorm veel baat hebben bij een risicobeheerdersbenadering.

2. Investeren in AI-klaarheid

Uit de antwoorden op de enquête blijkt dat de adoptie van AI in TPRM laag is, maar dat organisaties de ambitie hebben om de adoptie de komende jaren op te schalen. Om die kloof te overbruggen en die ambitie te verwezenlijken, moet er worden geïnvesteerd in de gereedheid voor AI.

Dit omvat een grondige beoordeling van bestaande TPRM-processen, -hulpmiddelen en -gegevensbeheerpraktijken om hiaten en verbeterpunten te identificeren ter voorbereiding op AI-integratie. Dit omvat het investeren in data readiness om de datakwaliteit te verbeteren, het standaardiseren van dataformaten en het implementeren van data governance. Het omvat het voorbereiden van de beroepsbevolking, door vaardigheidskloven te dichten en te investeren in opleiding en bijscholing.

Essentieel is het monitoren van trends, om enerzijds bij te blijven met de nieuwste best practices in TPRM en anderzijds voorbereid te zijn op toekomstige ontwikkelingen op het gebied van AI.

3. Aannames in twijfel trekken en omslagpunten versnellen

"Tien jaar geleden hadden de meeste bedrijven een beleid dat verbood dat hun gegevens ooit in de publieke cloud terechtkwamen, vanwege de angstfactor van de technologie," zegt Kawther Haciane, EY MENA Digital Risk Leader. "Tegenwoordig zijn de rollen omgedraaid. Overal zijn bedrijven 'cloud first' - alles is naar de cloud gemigreerd, en uitzonderingen moeten rechtvaardigen waarom ze niet in de cloud zouden moeten zijn. Wat is er gebeurd? We bereikten een kantelpunt: de aannames en economische factoren sloegen om, en dat leidde tot grootschalige adoptie.

De technologie staat bol van voorbeelden van dergelijke omslagpunten - terwijl de nieuwe risico-omgeving het tempo van niet-lineaire verandering versnelt, waardoor omslagpunten steeds waarschijnlijker worden. Bedenk hoe de lancering van ChatGPT de aannames over de mogelijkheden van GenAI en de tijdspanne waarin die bereikt zouden kunnen worden, op zijn kop zette. Of kijk eens naar iets dat dichter bij huis ligt voor TPRM-functies: hoe de COVID-pandemie sommige onderdelen van TPRM bijna van de ene op de andere dag veranderde, omdat de verschuiving naar werken op afstand de mogelijkheid om ter plekke audits uit te voeren wegnam, waardoor organisaties gedwongen werden om technologie op schaal te omarmen.

Mogelijk naderen we nu een soortgelijk omslagpunt voor de toepassing van AI in TPRM. Naarmate het aantal en de complexiteit van externe relaties in de afgelopen jaren is toegenomen, zijn ook de frictie, moeite en kosten van het handmatig uitvoeren van risico-assessments meegegroeid. Maar dit verandert ook de economische aspecten van de invoering van AI. Zodra je beoordelingen op grotere schaal uitvoert - duizenden in plaats van honderden - heb je een grotere financiële stimulans om in AI te investeren, en ook een grotere schaal waarmee je die investeringen kunt terugverdienen.

Er kan een nog groter omslagpunt komen in de vooruitgang van de technologie. De nieuwe generatie AI-modellen - waaronder agentische AI, multimodale AI, redenerende AI en zelfverbeterende AI - brengt baanbrekende mogelijkheden met zich mee, en het combineren ervan zou een gamechanger kunnen zijn voor TPRM. Dit kan de kosten-batenberekeningen op de proef stellen en het waardevoorstel van AI onweerstaanbaar maken.

De hierboven besproken kantelpunten hadden één ding gemeen: ze kwamen voor de meeste bedrijven onverwacht, waardoor ze zich halsoverkop moesten herpakken en vaak met een haastige reactie moesten komen. Er is echter ook een alternatieve route mogelijk. Door vooruit te kijken en kantelpunten te anticiperen, kan een organisatie zich er effectief op voorbereiden. Beter nog: je kunt de verandering versnellen door de hierboven genoemde stappen te zetten — investeren in de toekomst, verkeerde prikkels corrigeren en de organisatiestructuur opnieuw op één lijn brengen.

TPRM bestaat om ervoor te zorgen dat de rest van de organisatie niet wordt verrast door externe verstoringen. Nu is het meer dan ooit nodig om die focus op zichzelf te leggen.