Im Grunde besagen heutige Third-Party Risk Management (TPRM)-Warnmeldung immer dasselbe: Die Risiko-Bewertung eines externen Anbieters hat sich geändert. Eine Kennzahl hat sich verschoben. Ein neues Risiko wurde entdeckt. Was die Meldungen nicht verraten: Welche konkrete Schwachstelle der Auslöser für die Warnmeldung war. Ob es sich um einen False-Positive-Befund handelt. Und: ob die Bedrohung bereits die Grenze zum eigenen Netzwerk erreicht – oder sogar überschritten – hat. In aller Regel sind TPRM-Systeme nicht dafür konzipiert, diese und weitere operativ entscheidende Fragen zu beantworten. Die erfolgreiche Eindämmung von Drittanbieterrisiken wird so bedeutend erschwert.