Een ingevulde vragenlijst toetst het ontwerp op één moment, niet of het vandaag nog werkt. Gaat het bij je leverancier mis, dan sta jij voor de board.
Kernuitdagingen
Je stuurt de lijst, krijgt hem ingevuld terug, en legt het certificaat in de map. Daarmee toon je due diligence aan, niet of het vandaag werkt.
30%
van breaches komt via een derde partij
Het aandeel inbraken dat via een derde partij loopt, is in twee jaar verdubbeld. Je aanvalsoppervlak stopt niet bij je eigen rand, het loopt door bij partijen die je niet zelf beheert en die je maar een keer per jaar toetst.
Verizon DBIR 2025, van 15 naar 30 procent in twee jaar.
43%
gebruikt ratings om derden te volgen
De meeste organisaties verzamelen een certificaat of vragenlijst en stoppen daar. Slechts een minderheid volgt derden doorlopend; de rest mist wat er na de momentopname verandert: een verlopen control, een nieuw lek, een wijziging bij de leverancier.
ENISA NIS Investments 2024: 43 procent gebruikt security-rating-diensten; supply chain is de op één na grootste zorg (47 procent).
32%
krijgt securityrollen niet gevuld
Securityrollen blijven structureel onvervuld en de bezetting daalt al jaren. Een leveranciersprogramma draait dan op een handvol mensen met handmatige opvolging, terwijl het aantal te volgen partijen groeit.
ENISA NIS Investments 2024-2025: 32 procent krijgt securityrollen niet gevuld; de security-FTE-ratio daalde naar 10,6 procent.
Toezicht en bestuur vragen niet of er vragenlijsten zijn verstuurd. Ze vragen of aantoonbaar is welke kritieke leveranciers er zijn, dat ze worden gevolgd en dat de respons is belegd. Dat is het verschil tussen een control die op papier bestaat en een control die in de praktijk werkt.
Het verschil
Niet of de leverancier de vragenlijst invulde, maar welke leveranciers er echt toe doen, en of je het zou zien als een van hen afwijkt.
Dezelfde vragenlijst naar honderden leveranciers. Volume zonder prioriteit, waarbij de leverancier die er echt toe doet evenveel aandacht krijgt als de koffieleverancier.
We bepalen welke leveranciers werkelijk risico dragen en bakenen de rest scherp af. De aandacht gaat naar waar de blootstelling zit, niet naar het hele bestand tegelijk.
De leverancier vult de lijst zelf in. Je verzamelt wat hij op een moment claimt, en je wacht weken op accurate documentatie voordat je iets kunt beoordelen.
We halen control-bewijs uit wat er al ligt: SOC 2-rapporten, ISO-certificaten, een SBOM. Niet wachten op een ingevulde lijst, maar lezen wat de leverancier al heeft aangetoond.
De jaarlijkse cyclus loopt achter op de werkelijkheid. Een control verloopt, een exploit verschijnt binnen dagen, een leverancier zet AI op een platform, en de lijst komt pas over elf maanden terug.
We richten een cyclus in die afwijking ziet: een verlopen certificaat, een technische anomalie, een wijziging, een incident bij de leverancier. Operating effectiveness, niet een momentopname.
Succes wordt gemeten in ingevulde lijsten en verzamelde certificaten. Of je zorgvuldig hebt gehandeld als het misgaat, blijft onbeantwoord tot het te laat is.
We leggen de afweging vast: welke leverancier dragen we, waar grijpen we in, en op grond waarvan. Een spoor dat standhoudt voor de board en de toezichthouder.
Hoe het werkt
Links wat er binnenkomt over je leveranciers, in het midden de volgorde die kiest en volgt, rechts wat je overhoudt. Je bestaande contracten en certificaten blijven staan.
Het onderscheid
De scherpste zwakte van het gangbare programma: het meet dekking, hoeveel lijsten zijn ingevuld, en niet of het bij de leveranciers werkt die er echt toe doen.
Daarom begint Radian bij de diagnose: welke leveranciers dragen werkelijk risico, en waar zit de blootstelling. Niet een platform dat wordt uitgerold, maar een toets van waar je supply-chain-exposure zit, kritikaliteit-eerst en operating effectiveness boven attestatie.
Je bestaande tools, ratings en certificaten blijven staan. Wij bepalen welke leveranciers er echt toe doen, oogsten het bewijs uit wat er al ligt en volgen of het werkt. Een middel is een middel, geen doel.
Je krijgt onze expertise zonder zelf een team en een methode op te bouwen. Wij draaien de cyclus; de besluiten over dragen, herstellen of overstappen en het eigenaarschap blijven bij jou.
De markt levert een rapport en laat het lastige gesprek met de leverancier bij jou. Dezelfde senior die bepaalt wie er echt toe doet, voert dat gesprek en richt de monitoringcyclus in.
Aan de slag
Geen vendor-programma van honderd pagina's. Eén gesprek waarin we bepalen welke leveranciers in jouw bestand er echt toe doen, en of je nu zou zien wanneer een van hen verandert.
