Rủi ro khi thuê ngoài
- Sáu rủi ro: compliance (nhà cung cấp không tuân thủ luật), concentration (ít nhà cung cấp hoặc tập trung ở ít khu vực), reputational (làm kém, công chúng nhìn xấu), country (rủi ro kinh tế, chính trị của nước nhà cung cấp), operational (vi phạm kiểm soát, lỗi con người phía nhà cung cấp), legal (bị kiện do nhà cung cấp cẩu thả).
Chương trình quản lý rủi ro
- Tập trung vào hoạt động có tác động trọng yếu; chú ý thông tin khách hàng nhạy cảm và sản phẩm, dịch vụ mới.
- Độ sâu tỷ lệ với rủi ro: ít hoạt động, nhà cung cấp lâu năm thì đơn giản; nhiều nhà cung cấp thì phức tạp.
- Sáu thành phần: risk assessment; due diligence; contract provisions; incentive compensation review; oversight and monitoring; business continuity and contingency plans.
- Bước đầu: nên thuê ngoài hay làm nội bộ; phân tích chi phí – lợi ích và rủi ro; hai câu hỏi: có nhà cung cấp đủ năng lực không, tổ chức có đủ năng lực giám sát không.
- Cập nhật đánh giá rủi ro trước, kỹ thuật giảm thiểu cập nhật theo.
Due diligence: ba mảng
- Business background, reputation, and strategy: lịch sử, quản lý chủ chốt, kiểm tra lý lịch, chiến lược, mô hình kinh doanh bền lâu, tham chiếu, giấy phép, vấn đề pháp lý.
- Financial performance and condition: báo cáo tài chính (cả thầu phụ), tác động của hợp đồng, số năm hoạt động, thị phần, vốn và nhân sự cho suốt hợp đồng, bảo hiểm.
- Operations and internal controls: kiểm soát nội bộ, IT, an ninh IT, bảo mật thông tin, đào tạo, hỗ trợ dịch vụ, kiểm tra lý lịch, lưu trữ hồ sơ, khắc phục thảm họa.
Hợp đồng: 17 điều khoản
- Scope; cost and compensation; incentive compensation; right to audit (tùy chọn; báo cáo SOC 2, FFIEC); performance standards (đo được); oversight and monitoring (báo cáo tài chính năm, tăng giám sát khi có vấn đề); confidentiality and security of information (FFIEC, GLBA 501(b), NPPI, thông báo vi phạm dữ liệu); ownership and license (escrow mã nguồn); indemnification; default and termination (lý do chấm dứt, báo trước, trả lại dữ liệu); dispute resolution; limits on liability (hội đồng quản trị và ban điều hành phê duyệt); insurance; customer complaints; business resumption and contingency plans; foreign-based service providers (chọn luật nước của tổ chức); subcontracting (nhà cung cấp chính chịu trách nhiệm cuối cùng).
- Chỉ tiêu hiệu suất là căn cứ cho default and termination.