Alihankkijariski on myös pääyrityksen turvallisuusriski – tunnetko toimitusketjusi?

Yritysten turvallisuusajattelu on muuttunut viime vuosina merkittävästi. Siinä missä aiemmin fokus oli oman organisaation järjestelmissä, tiloissa ja henkilöstössä, kohdistuu huomio nyt yhä vahvemmin toimitusketjuihin, alihankkijoihin ja yhteistyöverkostoihin. 

Syystäkin. 

Monessa organisaatiossa merkittävimmät riskit eivät välttämättä synny omasta toiminnasta vaan kumppaneista, joiden taustoja, sidonnaisuuksia tai turvallisuuskäytäntöjä ei tunneta riittävän hyvin. 

Erityisesti puolustus-, turvallisuus-, teknologia- ja kriittisen infrastruktuurin aloilla toimitusketjun luotettavuudesta on tullut keskeinen kilpailutekijä. Yrityksiä arvioidaan nykyisin kokonaisuuksina: ei pelkästään yksittäisten tuotteiden tai palveluiden, vaan koko verkoston toimintakyvyn perusteella.

 

Alihankkija voi olla yrityksille välttämätönkin vahvistava tekijä, mutta joissain tilanteissa myös merkittävin riski 

Nykyaikaiset toimitusketjut ovat laajoja, monimutkaisia ja usein kansainvälisiä. Yhdellä yrityksellä voi olla kymmeniä tai jopa satoja kumppaneita, joiden kautta syntyy pääsy esimerkiksi: 

• kriittisiin tietoihin 
• tiloihin ja järjestelmiin 
• asiakasverkostoihin 
• toimitusvarmuuteen 
• liiketoiminnan jatkuvuuteen 

Samaan aikaan geopoliittiset jännitteet, kyberuhkien kasvu ja kiristyvä kansainvälinen sääntely lisäävät painetta ymmärtää tarkasti, kenen kanssa yhteistyötä tehdään. 

Riskit eivät kuitenkaan aina näy päällepäin. Haasteita voivat aiheuttaa esimerkiksi: 

• epäselvät omistussuhteet 
• kansainväliset sidonnaisuudet 
• heikko tietoturvataso 
• taloudelliset vaikeudet 
• henkilöriskit 
• puutteellinen jatkuvuudenhallinta 
• epäeettiset toimintatavat 
• pääyrityksen maineeseen vaikuttavat tekijät 

Liian usein nämä riskit havaitaan vasta silloin, kun vahinko on jo tapahtunut. 

 

Pelkkä sopimus ei riitä 

Turvallisuutta ei voi ulkoistaa sopimuslausekkeisiin. 

Yhä useampi organisaatio tunnistaa, että toimittajaverkoston hallinta edellyttää aktiivista ja systemaattista arviointia. Tämä korostuu erityisesti toimialoilla, joissa käsitellään: 

• turvallisuusluokiteltua tietoa 
• kriittistä infrastruktuuria 
• puolustusteollisuuden hankkeita 
• viranomaisyhteistyötä 
• laajoja data- ja teknologiajärjestelmiä 

Tällaisissa ympäristöissä arvioinnin kohteena ei ole pelkästään toimittajan tuote tai palvelu vaan koko toimintamalli, turvallisuuskulttuuri ja toimitusketjun hallinta.