导语 ·
经历了动荡的一年，各行各业逐渐在后疫情时代中建立起稳定的环境。然而随着新的经营方法的实施，网络攻击、洗钱以及内部欺诈等风险在新环境中将以新的方式继续存在。
各公司应当尽早识别这些风险，并采取相应措施。本文对2021年最受关注的十大风险进行了盘点和分析，供您参考。
法律在不断变化和更新中，具体问题需要具体分析。如果您有任何问题，请联系吕晓飞 (Peter Lu) 律师。
2021 年 7 月 30 日
第 7 部分 第三方服务商风险
第三方风险
大流行病和向云计算的迁移引发了银行和监管机构的担忧
中间件供应商已是风雨飘摇；无法对数据中心进行渗透测试；关键支持地点在没有任何警告的情况下被关闭：2020年，压力测试机构对外包的依赖成为了所有运营风险经理最可怕的噩梦。
跨国公司又将面临不确定的一年，部分员工和供应商仍将无法进入办公室，大多数公司还需依赖少数供应商提供视频会议服务、服务器远程访问、或者云存储——2021年，第三方风险仍将是许多管理者最关心的问题。
金融机构关注的问题之一是评估其关键服务提供商的安全弱点；而针对较小的外包公司，它们的基本财务生存能力也将成为评估对象。
北美一家银行的运营风险高管表示：“对运营风险管理人员来说，对公司关键和核心第三方服务提供商进行考察的重要性达到了前所未有的高度。”“他们给一家公司带来的风险及对日常业务运营的潜在影响从未如此之大。”
疫情一爆发，金融机构就对关键程序进行评估，以确定这些程序是内部还是由第三方实施。由于许多第三方供应商位于菲律宾、印度、墨西哥和东欧等偏远地区，用户已经扩大了对关键供应商的监督。新冠疫情对第三方业务可能造成的干扰让额外审查变得更有必要。
“我们知道在疫情期间会对第三方有较大依赖，所以检查了关键程序，看它们是由公司内部还是供应商支持。如果是由供应商支持，我们就必须去寻找服务提供商并进行管理，”另一位运营风险高管表示。
企业也一直在回应监管机构的问询，监管机构对企业的韧性表现出了浓厚的兴趣。考虑到疫情期间黑客或流氓员工可能会利用网络漏洞，银行决定对其供应商管理敏感数据的控制措施展开调查。
2020年几起广受关注的和解案件涉及的一大要素就是第三方风险管理失误。德意志银行(Deutsche Bank)在一宗涉及《反海外腐败法》(Foreign Corrupt Practices Act)的案件中，被指对第三方合作伙伴(包括合作伙伴的声誉和与外国官员的关系)引发的风险没有进行全面的尽职调查。
和解协议要求德银必须采取措施，确保第三方履行合同中所述的工作，并提供与工作相称的报酬。银行还必须通过更新尽职调查、培训、审计和第三方的合规认证来监控第三方关系。
2021年1月，ORX News报道称，澳大利亚证券和投资委员会以及新西兰储备银行用于文件传输的服务器被黑，遭遇了数据泄露。对该服务器的访问与这两个监管机构使用的第三方文件共享软件有关。
规模小一些的银行可能更依赖外包，因此也面临风险。2020年，ORX News报道了两起第三方IT供应商在疫情期间遇到的与需求问题相关的案例：柏林投资银行(Investitionsbank Berlin)由于处理拨款申请的第三方网站出现过载，因此遭遇了数据泄露；德国信贷银行(Deutsche Kreditbank)的外部托管手机银行应用程序和经纪网站由于访问需求过高而出现宕机。金融机构正密切关注其关键服务提供商的财务稳定性，包括仔细审查经审计的报表，以确定其信用状况、流动性来源和可用资本。
监管机构正在加强对第三方关系的监督，特别是在云计算领域。在2020年4月的一份联合声明中，美国监管机构警告称，企业需要能够识别和控制与云计算相关的风险，需要仔细审查云服务提供商和金融机构之间的合同，并实施适当的控制，以防止操作失败或违规。
一般来说，监管机构对使用的技术，或者银行是选择内部运营、外包给更传统的网络服务提供商、还是外包给云服务提供商，都持中立态度。他们的关注点是该机构选择的第三方服务是否安全和稳健。第三方操作的责任由银行承担。
一位业内专业人士指出，云服务供应目前由三方垄断，即亚马逊网络服务(Amazon Web Services)，微软Azure和谷歌云共享占据了大部分市场。这名人士表示，这三家公司中的一家出现停电或故障，就会造成“可怕的混乱”。
随着疫情加速了向云端的迁移，评估被迁移的应用程序的重要性变得更为关键。
“我们已经看到了与应用程序相关的流程错误的案例。我们是否了解正在迁移到云端、并需确保精确性的内容？”另一位运营风险主管表示。
控制管理对于混合云环境尤其棘手，比如银行，在混合云环境中，公共云和私有云被结合起来，这样它们之间就可以共享数据。IT风险专家指出，混合云比私有云更难以保证安全，因为要描述混合云的数据流、哪个应用程序在与哪个应用程序对话、谁有权限访问的难度更大，特别是对于有大型遗留系统的组织来说更是如此。
英国审慎监管局在2019年关于第三方风险管理的指南中指出，在测试云服务提供商的退出策略时，具有混合云环境的公司需要考虑其私有云中的备份功能。
*该文章只是信息提供，不是法律意见。
文章链接
2021年十大风险 第 1 部分 新风险概览 (1)
2021年十大风险 第 2 部分 新风险概览 (2)
2021年十大风险 第 3 部分 信息技术干扰
2021年十大风险 第 4 部分 数据泄露
2021年十大风险 第 5 部分 韧性风险
2021年十大风险 第 6 部分 盗窃及欺诈
吕晓飞律师多次代表世界500强企业成功进行跨境并购、上市、重组等业务。吕律师从业至今在其参与的国际重大诉讼中保持着全胜纪录。此外，吕律师还帮助多个行业的客户成功应对外国政府监管调查，并就公司治理和危机管理提供法律建议。
吕晓飞律师同时担任北京大学经济学院专业硕士校外导师，并在清华大学法学院开设国际并购学分课程。吕律师经常接受中西方主流媒体采访，多次被英国议会邀请就重要议题和法案进行专家作证。