Werken als Third Party Risk Manager

Wat doet een Third Party Risk Manager?

De Third Party Risk Manager kijkt naar wat een organisatie niet zelf doet en bewaakt de risico's die daaruit ontstaan. Er is geen officiële rolbeschrijving voor deze functie. De beschrijving hier steunt op DORA, het kader van het Bazelcomité en vakduiding, en elke werkgever vult de rol anders in. De titel verschilt ook per organisatie: je ziet Vendor Risk Manager, Supplier Risk Manager en Outsourcing Manager naast elkaar.

Neem een afdeling die een clouddienst wil gebruiken waarin klantgegevens terechtkomen. De manager vraagt wat die dienst doet, welk proces ervan afhangt en wat er gebeurt als de dienst een dag uitvalt. Ook vraagt de manager waar de gegevens staan en of de leverancier met onderaannemers werkt. Daarna kijkt de manager wat er in het contract staat over incidenten, audits en het teruggeven van data, en hoe de organisatie eruit kan stappen als de leverancier ophoudt. Dat leidt tot een beoordeling, een advies en een besluit door de juiste persoon in de organisatie.

Een tweede voorbeeld is een storing. Een leverancier meldt een grote verstoring. De manager zoekt in het register welke diensten en processen eraan hangen, informeert de verantwoordelijken en houdt contact met de leverancier over het herstel. Achteraf schrijft de manager op wat er geleerd is, bijvoorbeeld of het uitstapplan klopte.

Het werk gaat samen met inkoop, die de commerciële kant van een leverancier bewaakt, en met juridische zaken, die het contract beoordeelt. Informatiebeveiliging kijkt naar de beveiliging van de leverancier, zie de Information Security Officer. Privacy kijkt naar persoonsgegevens, zie de Data Protection Officer. Bedrijfscontinuïteit kijkt naar wat er gebeurt bij uitval, zie de Business Continuity Manager. Internal audit controleert de aanpak.

Wat is third-party risk?

Het Bazelcomité voor bankentoezicht noemt een derde partij een third-party service provider (TPSP): een entiteit of persoon die rechtstreeks diensten, activiteiten, functies, processen of taken voor een bank uitvoert. De afspraak daarover is formeel en niet beperkt tot uitbesteding, al is uitbesteding wel één vorm.

Het risico zit in de afhankelijkheid. De dienst kan uitvallen, de data kan lekken, de partij kan een fout maken, of de partij heeft onderaannemers die je niet rechtstreeks kent. Voor ICT-diensten gebruikt DORA eigen begrippen: ICT-derdenrisico is een ICT-risico dat voor een financiële instelling ontstaat door het gebruik van ICT-diensten van een ICT-derde dienstverlener, ook via onderaannemers. Bij concentratie zitten meerdere belangrijke diensten bij dezelfde partij, zodat uitval van die ene partij meerdere diensten tegelijk raakt.

Welke regels gelden er?

Voor financiële instellingen is DORA het belangrijkste kader. De verordening (Verordening (EU) 2022/2554) is sinds 17 januari 2025 van toepassing, onder meer voor kredietinstellingen, betalingsinstellingen, beleggingsondernemingen en verzekeraars. De instelling blijft zelf volledig verantwoordelijk, ook als ze ICT-diensten afneemt. Lees het kennisbankartikel over DORA en de skillpagina voor DORA. Voor de functie gaat het om het volgende:

• Een register van alle contractuele afspraken over ICT-diensten, met onderscheid tussen afspraken die kritieke of belangrijke functies ondersteunen en de rest.
• Een beoordeling vóór het sluiten van een contract, inclusief het risico op ICT-concentratie en due diligence op de aanbieder.
• Eisen aan het contract, zoals een volledige beschrijving van de diensten, de locaties waar data wordt verwerkt, en regels over herstel en teruggave van data.
• Een uitstapstrategie met uitstapplannen die getest en periodiek beoordeeld worden.
• Aandacht voor onderaanneming, bijvoorbeeld bij een onderaannemer buiten de EU.

Naast DORA gelden andere kaders. Het Basel-kader voor banken is gebaseerd op de Principles for the sound management of third-party risks van december 2025 en kent twaalf principes, onder meer over doorlopende monitoring en uitstapplannen. Volgens het Bazelcomité mag het gebruik van een TPSP niets afdoen aan de verplichtingen van de bank richting klanten en toezichthouders.

De Europese Bankautoriteit (EBA) heeft richtsnoeren over derdenrisico bij niet-ICT-diensten. Volgens de EBA hebben die de status "final, awaiting translation" en zijn ze nog niet van toepassing. Zodra ze dat zijn, vervangen ze de richtsnoeren voor uitbesteding.

De NIS2-richtlijn noemt beveiliging van de toeleveringsketen als minimale maatregel, ook in de relaties met directe leveranciers en dienstverleners. Zie de skillpagina voor NIS2 voor de vacatures die dit raken.

Welke taken horen bij de functie?

De levenscyclus van een leverancier is de rode draad van het werk. De verdeling van taken verschilt per organisatie, maar de stappen zijn vergelijkbaar:

1. Intake en indeling. Hoe belangrijk is de dienst, en ondersteunt hij een kritieke of belangrijke functie?
2. Risicobeoordeling. Welke risico's brengt de dienst mee, en wat gebeurt er bij uitval?
3. Due diligence op de partij. Wie is de leverancier, en welke onderaannemers gebruikt hij?
4. Contractcheck. Voldoet het contract aan de eisen, met service levels, meldplichten en teruggave van data?
5. Onboarding. De afspraken worden ingericht en vastgelegd in het register.
6. Doorlopende monitoring. Afspraken, incidenten en wijzigingen bij de leverancier worden gevolgd.
7. Periodieke herbeoordeling. Het risico en het contract worden opnieuw getoetst.
8. Uitstapplan. Het plan laat zien hoe je overstapt naar een andere aanbieder of de dienst weer in eigen beheer neemt.

Het register bijhouden is een taak op zich. De instelling rapporteert er ten minste jaarlijks over aan de toezichthouder. Rapportage aan het management hoort er ook bij, want de principes voor banken noemen rapportage aan bestuur en hoger management.

Welke skills heb je nodig?

Technisch gaat het om het inschatten van de risico's van een dienst, het lezen van een contract en een leveranciersrapport, en begrip van informatiebeveiliging en bedrijfscontinuïteit. Voor de risicobeoordeling gebruik je de skill risk assessment, en voor uitval de skill business continuity. Bij leveranciersbeoordelingen kom je ISO 27001-certificaten en auditrapporten tegen, en het helpt om te weten wat daarin staat.

Niet-technisch gaat het om doorvragen en helder rapporteren. Je vraagt een leverancier waar de data staat en wie erbij kan, en blijft doorvragen tot je een concreet antwoord hebt. Met inkoop en juristen zoek je de balans tussen de commerciële kant en het risico. Aan het management zet je het risico, de gevolgen en de keuze op één pagina.

Welke tools en technologie gebruikt een Third Party Risk Manager?

Een leveranciersregister of GRC-systeem legt leveranciers, contracten, beoordelingen en acties vast, zodat alles op één plek staat. Het register is daarnaast een kaart van afhankelijkheden: welke leverancier, welke dienst, welke functie en welke onderaannemers. Het moet kloppen, want anders weet je bij een storing niet wat er geraakt wordt. Dat vraagt om samenwerking met de contracteigenaren, die weten wat er werkelijk wordt afgenomen.

Het DORA-register is een apart overzicht van de afspraken die DORA voorschrijft. Voor analyse en dashboards zijn Excel en Power BI voorbeelden van gereedschap. Welke systemen een werkgever gebruikt, staat in de vacature.

Welke opleiding en certificeringen passen bij een Third Party Risk Manager?

Een hbo- of wo-opleiding in bedrijfskunde, informatica, risicomanagement of een verwante richting is een gangbare route. Er is geen certificering die voor deze functie verplicht is. Sommige certificeringen uit de kennisbank kunnen bij bepaalde werkgevers passen. CRISC presenteert ISACA als certificering voor IT-risicomanagement. Het CISA-artikel en de ISO 27001 Lead Auditor-opleiding zijn andere voorbeelden. Een certificering vervangt ervaring niet.

Hoe word je Third Party Risk Manager?

Je kunt instromen vanuit risk, compliance, audit, inkoop of IT-beheer. Ook direct na een opleiding is een route, bijvoorbeeld bij een financiële instelling. Je eerste stappen zijn het verschil leren tussen een risico en een beheersmaatregel, een contract en een leveranciersrapport leren lezen, en het DORA-kader leren kennen.

Wat je kunt laten zien, is een beoordeling van een denkbeeldige leverancier. Schrijf op welke risico's je ziet, welke vragen je zou stellen en wat je in het contract wilt hebben.

Waar werk je als Third Party Risk Manager?

Je vindt de functie bij banken, verzekeraars, pensioenuitvoerders en andere financiële instellingen die onder DORA vallen. De rol komt ook voor bij organisaties die onder NIS2 hun leveranciersketen onder de loep nemen, en bij adviesorganisaties. Bekijk de vacatures in financiële dienstverlening en de vacatures in verzekeringen en pensioenen.

Ook toezichthouders besteden er aandacht aan. De Nederlandsche Bank schreef op 4 december 2025 dat een groot aantal verzekeraars onvoldoende inzicht en controle heeft op kritieke uitbestedingsketens. Als belangrijke tekortkomingen noemt DNB doorgaans onder meer het ontbreken van een volledige risicoanalyse vóór uitbesteding. Werkgevers die de rol zoeken, staan op de werkgeverspagina voor Third Party Risk Managers.

Waar groei je naartoe?

Dit is een overzicht van rollen, geen belofte over doorgroei.

• Senior Third Party Risk Manager. Je neemt de kritieke leveranciers en het beleid op je. Zie de vacatures.
• Risk Manager. Je bewaakt risico's over meer soorten onderwerpen. Zie de vacatures en de rolgids.
• IT Risk Manager. Je specialiseert je in IT-risico. Zie de vacatures en de rolgids.
• Operational Risk Analyst. Leveranciersrisico is een onderdeel van operationeel risico. Zie de vacatures en de rolgids.
• GRC Consultant. Je adviseert over governance, risk en compliance. Zie de vacatures en de rolgids.

Third Party Risk Manager of IT Risk Manager?

De Third Party Risk Manager kijkt naar risico's van partijen buiten de organisatie. De IT Risk Manager kijkt naar de eigen IT-systemen en informatiebeveiliging. Het werk overlapt waar leveranciers IT-diensten leveren.

Houd je van contracten en van samenwerken met leveranciers, dan past leveranciersrisico. Trekt techniek je meer, dan past IT-risico.

Vacatures en werkgevers

Op de vacaturepagina voor Third Party Risk Managers zie je welke vacatures open staan. Op de werkgeverspagina zie je welke werkgevers de rol zoeken.