- Third Party Risk Management (TPRM) adalah proses untuk mengidentifikasi, menilai, memitigasi, dan memantau risiko yang berasal dari vendor, supplier, partner, serta pihak eksternal lainnya.
- Risiko pihak ketiga dapat mencakup cybersecurity, privasi data, operasional, finansial, kepatuhan, kontraktual, reputasi, dan ketergantungan pada vendor.
- Lifecycle TPRM mencakup inventarisasi vendor, risk assessment, due diligence, mitigasi, kontrak dan onboarding, monitoring, serta offboarding.
- Checklist due diligence dan penilaian berbasis risiko membantu perusahaan menentukan pemeriksaan, persyaratan kontrak, dan persetujuan yang diperlukan.
- Mekari Sign mendukung pengelolaan dokumen kontrak melalui template, approval, tanda tangan elektronik, penyimpanan terpusat, dan pemantauan status kontrak.
Apa Itu Third Party Risk Management?
Third Party Risk Management (TPRM) adalah pendekatan terstruktur untuk mengidentifikasi, menilai, memitigasi, dan memantau risiko dari hubungan bisnis dengan pihak ketiga. Pihak tersebut dapat berupa penyedia teknologi, supplier, konsultan, perusahaan outsourcing, distributor, hingga penyedia layanan profesional.
Penilaian TPRM mencakup layanan yang diberikan vendor, akses terhadap data atau sistem, serta dampak jika vendor gagal memenuhi kewajibannya. Misalnya, perusahaan yang menggunakan penyedia cloud untuk menyimpan data pelanggan perlu memeriksa kontrol akses, keamanan informasi, keberlangsungan layanan, dan ketergantungan pada subkontraktor sebelum menentukan persyaratan kerja sama.
TPRM dapat menjadi bagian dari Enterprise Risk Management (ERM). ERM mengelola berbagai risiko yang memengaruhi perusahaan secara menyeluruh, sedangkan TPRM berfokus pada risiko dari pihak eksternal. Hasil penilaian vendor dapat digunakan dalam risk register, pelaporan risiko, dan mekanisme eskalasi perusahaan. Kerangka ini juga perlu mempertimbangkan risk appetite dalam bisnis untuk menentukan tingkat risiko yang dapat diterima.
Mengapa Third Party Risk Management Penting?
Gangguan pada vendor dapat memengaruhi operasional, keamanan data, kepatuhan, dan reputasi perusahaan. Karena itu, perusahaan perlu mengevaluasi risiko sebelum memilih vendor dan memantaunya selama kerja sama berlangsung. Panduan IBM tentang Third Party Risk Management membahas pengelolaan risiko melalui identifikasi, evaluasi, mitigasi, monitoring, hingga penghentian hubungan dengan vendor.
Dalam proses pengadaan, penilaian risiko dapat diintegrasikan ke dalam kriteria seleksi dan persetujuan vendor. Perusahaan yang menggunakan e-procurement dapat menghubungkan evaluasi vendor dengan pemeriksaan risiko agar keputusan pengadaan turut mempertimbangkan keamanan, kepatuhan, dan keberlangsungan layanan.
Apa Saja Jenis Risiko Pihak Ketiga?
Jenis risiko pihak ketiga bergantung pada layanan vendor, data yang mereka akses, industri, serta tingkat ketergantungan perusahaan. Satu insiden dapat memicu beberapa risiko sekaligus, seperti gangguan operasional yang berawal dari serangan siber.
| Jenis risiko | Contoh situasi | Potensi dampak bisnis |
|---|---|---|
| Cybersecurity | Akun vendor diretas atau sistem memiliki celah keamanan. | Akses tidak sah, kebocoran data, atau gangguan sistem. |
| Privasi data | Vendor menggunakan atau menyimpan data pribadi dengan kontrol yang tidak memadai. | Risiko pelanggaran privasi dan kewajiban hukum. |
| Operasional | Vendor gagal memenuhi SLA atau terlambat mengirim barang. | Gangguan proses bisnis dan biaya tambahan. |
| Finansial | Kondisi keuangan vendor memburuk atau vendor gagal memenuhi kewajiban. | Layanan terhenti dan kerugian finansial. |
| Kepatuhan dan hukum | Vendor tidak memenuhi persyaratan regulasi atau perizinan. | Sanksi, sengketa, dan biaya penanganan. |
| Kontraktual | Vendor tidak memenuhi kewajiban atau standar layanan yang disepakati. | Perselisihan dan kesulitan menegakkan hak para pihak. |
| Reputasi dan etika | Praktik vendor merusak kepercayaan pelanggan atau pemangku kepentingan. | Penurunan kepercayaan dan reputasi bisnis. |
| Strategis dan ketergantungan vendor | Perusahaan bergantung pada satu penyedia untuk layanan kritis. | Hambatan operasional ketika vendor gagal beroperasi. |
Bagaimana Risiko Pihak Ketiga Saling Berkaitan?
Risiko cybersecurity dan privasi data sering muncul bersamaan ketika vendor memiliki akses ke informasi pelanggan atau sistem perusahaan. Perusahaan perlu menilai data apa yang diproses, siapa yang dapat mengaksesnya, bagaimana vendor mengamankan informasi, serta bagaimana data ditangani ketika kontrak berakhir.
Untuk aktivitas yang melibatkan data pribadi, perusahaan perlu memperhatikan ketentuan yang relevan dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Tim juga dapat merujuk pada artikel UU Pelindungan Data Pribadi di Indonesia untuk memahami konteks regulasinya.
Risiko rantai pasok teknologi dapat meluas melalui pihak keempat (fourth party), yaitu penyedia yang digunakan oleh vendor utama. Contohnya, penyedia aplikasi memanfaatkan layanan cloud dari perusahaan lain. Perusahaan perlu mengetahui ketergantungan ini ketika pihak tersebut memengaruhi keamanan atau keberlangsungan layanan.
Panduan NIST tentang cybersecurity supply chain risk management menyediakan rujukan untuk mengidentifikasi, menilai, dan memitigasi risiko dalam rantai pasok teknologi. Panduan tersebut relevan saat perusahaan mengevaluasi penyedia perangkat lunak, infrastruktur, atau layanan teknologi.
Bagaimana Tahapan Third Party Risk Management Dilakukan?
TPRM berjalan sepanjang hubungan dengan vendor. Perusahaan dapat menyusun lifecycle berikut dan menetapkan pemilik proses pada setiap tahap.
| Tahap | Aktivitas utama | Hasil yang dibutuhkan |
|---|---|---|
| 1. Identifikasi vendor | Catat vendor, layanan, unit pengguna, pemilik hubungan, dan akses yang diperlukan. | Inventaris vendor. |
| 2. Klasifikasi dan penilaian awal | Nilai kritikalitas layanan, akses data, ketergantungan, serta dampak jika layanan terganggu. | Profil risiko awal dan prioritas pemeriksaan. |
| 3. Due diligence | Periksa bukti keamanan, kepatuhan, kemampuan operasional, dan faktor lain sesuai profil risiko. | Temuan pemeriksaan dan risiko yang belum tertangani. |
| 4. Mitigasi dan persetujuan | Tentukan kontrol tambahan, tindakan perbaikan, dan pihak yang berwenang menerima risiko. | Keputusan penggunaan vendor dan rencana mitigasi. |
| 5. Kontrak dan onboarding | Tetapkan kewajiban, SLA, persyaratan keamanan, jalur eskalasi, serta pengaturan akses. | Kontrak yang disepakati dan dokumentasi onboarding. |
| 6. Monitoring dan reassessment | Pantau kinerja, insiden, perubahan layanan, kewajiban kontrak, serta temuan baru. | Profil risiko yang diperbarui dan tindak lanjut. |
| 7. Offboarding | Cabut akses, selesaikan kewajiban, tangani data dan aset, serta simpan catatan akhir. | Dokumentasi penutupan hubungan. |
Struktur ini sejalan dengan lifecycle pada panduan OneTrust tentang Third Party Risk Management. Perusahaan tetap perlu menyesuaikan alurnya dengan proses pengadaan, kebijakan internal, dan persyaratan regulasi yang berlaku.
Apa Saja yang Perlu Diperiksa Saat Due Diligence Vendor?
Due diligence mengumpulkan bukti yang membantu perusahaan memvalidasi informasi vendor dan memahami risiko yang mungkin muncul. Checklist berikut dapat digunakan sebagai titik awal, dengan kedalaman pemeriksaan mengikuti layanan dan akses vendor.
| Area pemeriksaan | Pertanyaan yang perlu dijawab | Contoh bukti atau dokumen |
|---|---|---|
| Identitas dan legalitas | Apakah identitas perusahaan, kewenangan, dan izin yang relevan sudah diverifikasi? | Dokumen legal perusahaan dan izin usaha sesuai kebutuhan. |
| Keamanan informasi | Bagaimana vendor mengelola akses, melindungi sistem, dan menangani insiden keamanan? | Kebijakan keamanan, hasil assessment atau audit yang relevan, dan prosedur respons insiden. |
| Privasi data | Data apa yang diproses, untuk tujuan apa, dan siapa yang dapat mengaksesnya? | Dokumentasi pemrosesan data, kontrol akses, serta kebijakan retensi dan penghapusan. |
| Operasional dan kontinuitas | Bagaimana vendor mempertahankan layanan dan memulihkan operasional saat terjadi gangguan? | SLA, business continuity plan, dan disaster recovery plan. |
| Kepatuhan | Persyaratan hukum atau standar apa yang berlaku untuk layanan vendor? | Perizinan, sertifikasi yang relevan, dan hasil pemeriksaan kepatuhan. |
| Finansial | Apakah vendor memiliki kemampuan untuk mempertahankan layanan sesuai perjanjian? | Informasi keuangan atau indikator kelayakan yang relevan dengan tingkat risiko. |
| Subkontraktor | Apakah vendor melibatkan pihak lain yang dapat memengaruhi layanan, data, atau keamanan? | Daftar subkontraktor yang relevan dan penjelasan tanggung jawabnya. |
Daftar ini merupakan titik awal, bukan persyaratan universal untuk setiap vendor. Perusahaan dapat menambah pertanyaan sesuai industri, sensitivitas data, ketergantungan operasional, dan kebijakan risikonya.
Bagaimana Menentukan Tingkat Risiko Vendor?
Perusahaan dapat memulai dengan menilai dua faktor: kemungkinan terjadinya masalah (likelihood) dan dampaknya (impact). Salah satu cara sederhana adalah memberikan skor 1 sampai 3 pada setiap faktor, lalu mengalikan keduanya.
Contoh ilustratif, bukan standar penilaian universal:
| Skor | Likelihood | Impact |
|---|---|---|
| 1 | Kecil | Dampak terbatas pada proses pendukung. |
| 2 | Sedang | Dapat mengganggu proses bisnis tertentu. |
| 3 | Tinggi | Dapat mengganggu layanan kritis atau mengekspos data sensitif. |
Rumus contoh: Skor risiko = Likelihood × Impact
Perusahaan dapat menggunakan kategori awal berikut sebagai contoh, lalu menetapkan ambang batasnya sendiri.
| Skor hasil | Kategori ilustratif | Tindakan awal |
|---|---|---|
| 1–2 | Rendah | Pemeriksaan dasar dan kontrol standar. |
| 3–4 | Sedang | Pemeriksaan tambahan pada area berisiko dan monitoring terjadwal. |
| 6–9 | Tinggi | Due diligence lebih mendalam, kontrol tambahan, serta persetujuan dari pihak berwenang. |
Misalnya, sebuah vendor cloud menyimpan data pelanggan dan menjadi bagian penting dari layanan perusahaan. Tim memberi nilai likelihood 2 dan impact 3 berdasarkan hasil pemeriksaan awal. Skor 6 menempatkan vendor ke kategori tinggi dalam contoh metode ini, sehingga tim perlu memeriksa kontrol keamanan, pengelolaan data, dan kesiapan pemulihan layanan sebelum menentukan keputusan penggunaan.
Skor awal belum otomatis menjadi keputusan akhir. Perusahaan perlu menilai kontrol yang sudah diterapkan vendor, menentukan risiko yang masih tersisa (residual risk), lalu memutuskan apakah risiko tersebut dapat diterima atau membutuhkan mitigasi tambahan.
Apa yang Dilakukan Jika Vendor Memiliki Risiko Tinggi?
Hasil assessment perlu menghasilkan keputusan yang jelas. Tim dapat menggunakan alur berikut.
| Temuan | Respons yang dapat dipertimbangkan |
|---|---|
| Bukti pemeriksaan belum lengkap. | Minta dokumen tambahan atau lakukan verifikasi sebelum approval. |
| Ada kelemahan yang masih dapat diperbaiki. | Tetapkan rencana mitigasi, pemilik tindakan, dan tenggat penyelesaian. |
| Risiko masih tinggi setelah mitigasi. | Eskalasi untuk keputusan penerimaan risiko, perubahan lingkup layanan, atau alternatif vendor. |
| Vendor tidak memenuhi persyaratan penting. | Tunda penggunaan atau pilih vendor lain sesuai kebijakan dan kewenangan. |
Penentuan respons perlu mengikuti risk appetite dan kewenangan perusahaan. Temuan keamanan yang belum terselesaikan, misalnya, dapat memerlukan persetujuan berbeda dari keterlambatan pengiriman pada vendor pendukung.
Penanganan insiden berjalan lintas lifecycle. Jika vendor mengalami kebocoran data atau gangguan layanan, tim perlu menilai dampaknya, menghubungi pihak yang bertanggung jawab, mengaktifkan prosedur respons, dan memeriksa kewajiban kontraktual yang relevan.
Monitoring juga perlu menilai perubahan profil risiko. Perubahan kepemilikan vendor, penggunaan subkontraktor baru, penambahan akses, insiden besar, dan perpanjangan kontrak dapat menjadi pemicu reassessment. Panduan Panorays tentang TPRM membahas due diligence, mitigasi, monitoring berkelanjutan, dan offboarding.
Catatan assessment, approval, insiden, dan tindak lanjut perlu disimpan agar tim dapat menelusuri keputusan serta status perbaikannya. Sistem manajemen dokumen dapat mendukung penataan arsip dan akses terhadap dokumen yang relevan, sesuai kapabilitas sistem yang digunakan.
Klausul Apa yang Perlu Ada dalam Kontrak dengan Pihak Ketiga?
Hasil assessment perlu diterjemahkan menjadi persyaratan yang dapat dijalankan dan diperiksa. Kontrak dapat menjelaskan tanggung jawab para pihak, standar layanan, kontrol, jalur eskalasi, dan prosedur pengakhiran hubungan.
| Ketentuan kontrak | Tujuan dan hal yang perlu diperjelas |
|---|---|
| Ruang lingkup dan SLA | Menetapkan layanan, standar kinerja, target layanan, serta mekanisme evaluasi. |
| Kerahasiaan dan perlindungan data | Menjelaskan penggunaan informasi, pembatasan akses, keamanan, dan penghapusan data. |
| Persyaratan keamanan | Menetapkan kontrol yang harus dipenuhi vendor sesuai sifat layanan. |
| Pemberitahuan insiden | Menentukan pihak yang dihubungi, mekanisme pelaporan, dan tindak lanjut. |
| Hak audit atau assessment | Mengatur bukti atau pemeriksaan yang dapat diminta sesuai kesepakatan. |
| Tanggung jawab dan indemnifikasi | Mengatur pembagian tanggung jawab dan kondisi ganti rugi sesuai kesepakatan. |
| Keberlangsungan bisnis | Menentukan kesiapan pemulihan layanan saat terjadi gangguan. |
| Penggunaan subkontraktor | Mengatur persetujuan atau pemberitahuan penggunaan pihak lain dan tanggung jawab vendor utama. |
| Pengakhiran dan exit obligations | Menjelaskan penghentian layanan, pengembalian atau penghapusan data, pencabutan akses, dan penyelesaian kewajiban. |
Tim Legal perlu menyesuaikan klausul dengan layanan vendor, hasil assessment, serta kewajiban hukum yang relevan. Untuk pengaturan tanggung jawab atas kerugian, tim juga dapat meninjau indemnification clause dalam kontrak bisnis.
Kontrak yang sudah ditandatangani tetap perlu dipantau selama kerja sama berlangsung. Jika ruang lingkup layanan, SLA, atau pembagian kewajiban berubah, perusahaan perlu memperbarui perjanjian melalui mekanisme yang disepakati, misalnya dengan menyusun amandemen kontrak.
Dokumentasi kontrak, hasil assessment, approval, serta tindak lanjut perlu dijaga agar mudah ditelusuri. Audit trail dapat membantu tim melihat rekam jejak aktivitas dokumen sesuai kapabilitas sistem yang digunakan. Pengelolaan kontrak secara terpusat juga dapat mendukung pemantauan masa berlaku, kewajiban, dan pembaruan kontrak melalui proses contract lifecycle management.
Kelola Dokumen Kontrak dengan Mekari Sign
TPRM menghasilkan berbagai dokumen, mulai dari kontrak, approval, hingga catatan perubahan dan kewajiban vendor. Jika dokumen tersebar di email dan folder yang berbeda, tim dapat kesulitan menemukan versi yang berlaku, memeriksa status persetujuan, atau menindaklanjuti masa berlaku kontrak.
Mekari Sign menyediakan software manajemen siklus hidup kontrak untuk mendukung pembuatan atau pengunggahan dokumen, alur approval, tanda tangan elektronik, penyimpanan terpusat, dan pemantauan status kontrak. Fitur ini membantu tim Legal, Procurement, dan pemilik bisnis mengelola proses serta dokumentasi kontrak dalam satu alur.
Mekari Sign mendukung pengelolaan dokumen kontrak dalam proses TPRM. Penilaian keamanan vendor, due diligence, penetapan tingkat risiko, dan keputusan mitigasi tetap perlu dilakukan oleh fungsi yang berwenang sesuai kerangka risiko perusahaan.
