Software per la gestione del rischio delle terze parti e della supply chain
C*RA TPRM è il modulo della suite GRC dedicato al Third Party Risk Management, per la qualificazione, la valutazione e il monitoraggio dei rischi associati a fornitori, partner e soggetti terzi.
Ti aiuta a governare l’intero processo di valutazione delle terze parti attraverso questionari personalizzabili, workflow collaborativi, analisi multidimensionali del rischio e monitoraggio periodico, centralizzando informazioni, evidenze e decisioni in un unico ambiente.
Dalla qualificazione iniziale alla rivalutazione continua, C*RA TPRM consente di adottare un approccio strutturato e basato sul rischio, supportando la conformità ai requisiti di GDPR, NIS2, DORA e ISO 27001.
Anagrafica, classificazione e qualificazione delle terze parti
C*RA CRA consente di censire e organizzare i prodotti con elementi digitali, creando una mappatura strutturata delle componenti software e tecnologiche che li costituiscono.
Per ogni prodotto è possibile identificare i componenti utilizzati, le relative versioni e le dipendenze tecnologiche, mantenendo una visione completa della composizione del prodotto.
Il modulo permette inoltre di raccogliere e organizzare la documentazione associata a ciascun prodotto, supportando la predisposizione e la gestione del fascicolo tecnico previsto dal Cyber Resilience Act.
Censimento e gestione dei prodotti con elementi digitali.
Associazione dei componenti ai singoli prodotti.
Identificazione delle versioni dei componenti utilizzati.
Mappatura delle relazioni tra prodotti e componenti.
Archiviazione e gestione della documentazione del fascicolo tecnico.
Valutazione multidimensionale del rischio
C*RA CRA supporta la gestione della Software Bill of Materials (SBOM), consentendo di censire e monitorare i componenti software utilizzati nei prodotti con elementi digitali.
Il modulo permette di registrare le informazioni relative ai componenti, ai fornitori e alle versioni impiegate, rendendo disponibili le informazioni necessarie per analizzare le dipendenze tecnologiche e le possibili criticità della catena di fornitura.
La gestione centralizzata dei componenti consente inoltre di individuare rapidamente i prodotti nei quali uno specifico componente viene utilizzato, facilitando le attività di valutazione degli impatti in caso di vulnerabilità o aggiornamenti.
Censimento e gestione dei componenti software.
Associazione dei componenti ai rispettivi fornitori.
Tracciamento delle versioni utilizzate.
Collegamento tra componenti e prodotti.
Gestione delle dipendenze da componenti di terze parti e open source.
Supporto alla gestione delle informazioni necessarie alla SBOM.
Questionari digitali e survey personalizzabili
C*RA CRA consente di monitorare gli eventi che possono compromettere la sicurezza dei componenti e dei prodotti, offrendo una visione strutturata delle vulnerabilità e delle criticità associate alla supply chain.
Il modulo permette di gestire segnalazioni di sicurezza, vulnerabilità note, eventi relativi ai fornitori e criticità connesse all’utilizzo di componenti open source.
Grazie alla mappatura delle dipendenze, è possibile identificare i componenti interessati da un determinato evento e risalire ai prodotti potenzialmente coinvolti, supportando una valutazione puntuale degli impatti.
Registrazione e monitoraggio delle vulnerabilità.
Gestione delle segnalazioni e degli eventi di sicurezza.
Monitoraggio delle criticità relative ai fornitori.
Gestione degli eventi associati ai componenti open source.
Analisi delle dipendenze tra componenti e prodotti.
Identificazione dei prodotti potenzialmente impattati.
Workflow di verifica, follow-up e remediation
C*RA CRA permette di gestire in modo strutturato le azioni correttive necessarie per affrontare le vulnerabilità e le criticità individuate.
Per ciascun evento è possibile definire le azioni di rimedio, distinguendo gli interventi gestiti internamente da quelli che richiedono il coinvolgimento dei fornitori.
Il collegamento tra eventi, componenti, prodotti e azioni correttive garantisce la tracciabilità delle attività svolte e permette di monitorare l’avanzamento degli interventi.
Definizione e gestione delle azioni correttive.
Distinzione tra interventi interni e interventi richiesti ai fornitori.
Collegamento delle azioni ai componenti e ai prodotti interessati.
Monitoraggio dello stato di avanzamento degli interventi.
Tracciabilità delle attività e delle azioni di rimedio intraprese.
Documentazione degli interventi a supporto delle verifiche di conformità.
Monitoraggio continuo e rivalutazione periodica
C*RA CRA aiuta a dimostrare nel tempo l’accountability verso autorità di vigilanza e stakeholder:
- scadenzario centralizzato per attività, controlli, verifiche, audit, revisioni e aggiornamenti documentali, con notifiche e promemoria;
- storicizzazione automatica delle informazioni per consultare lo stato del modello e dei dati a una certa data, in sola lettura;
- produzione di report personalizzabili, estrazioni dati e KPI specifici per CRA;
- biblioteca documentale per conservare policy, procedure, evidenze e documenti collegati.
Valutazioni interne e integrazione con banche dati esterne
Dashboard, KPI e reporting
Integrazione con gli altri moduli C*RA
C*RA TPRM si integra con gli altri moduli della suite, contribuendo a costruire una visione unitaria dei rischi aziendali e delle dipendenze da soggetti esterni.
C*RA NIS2: supporto alla valutazione dei rischi di cybersecurity della catena di approvvigionamento e al monitoraggio delle relazioni con i fornitori.
C*RA DORA: gestione e valutazione dei fornitori terzi di servizi ICT, a supporto del presidio dei rischi connessi alla resilienza operativa digitale.
C*RA GDPR: valutazione delle garanzie offerte dai fornitori che trattano dati personali e supporto alle attività di verifica dei responsabili del trattamento.
C*RA ISO Management: integrazione con i processi di valutazione, monitoraggio e controllo dei fornitori previsti dai sistemi di gestione ISO.
C*RA ERM: integrazione dei rischi delle terze parti nel modello complessivo di Enterprise Risk Management dell’organizzazione.
Grazie all’utilizzo di un framework condiviso, le informazioni raccolte possono essere valorizzate nei diversi ambiti di compliance e risk management, riducendo duplicazioni e favorendo una gestione coerente dei rischi.