:quality(85))
Dit artikel is het eerste deel van een tweedelige serie met inzichten van Z2Data CEO Mohammad Ahmad over hoe een nieuwe generatie van verstoringen de manier verandert waarop bedrijven kijken naar en invulling geven aan leveranciersrisicoanalyse, en wat fabrikanten moeten doen om risicobeoordelingen van hun halfgeleiderleveranciers succesvol uit te voeren. Lees deel 2, Developing and Implementing a Risk Model for the Semiconductor Supply Chain, hier.
Het tekort aan halfgeleiders dat in 2020 begon en doorliep tot 2023 was volgens bijna elke maatstaf een ramp in de toeleveringsketen. Deze historische verstoring legde de productie stil en verstoorde het evenwicht tussen vraag en aanbod voor een groot deel van de industrie, wat de Amerikaanse economie in 2021 al meer dan $200 miljard kostte en leidde tot duizenden verloren banen en grotendeels onomkeerbare prijsstijgingen van essentiële producten.
Voor veel organisaties belichaamde deze ervaring, samen met andere uitdagingen rond sourcing en inkoop van de afgelopen vier jaar, de toenemende kracht en zichtbaarheid van leveranciersrisico. Bedrijven die ooit tevreden waren met het informeel en ad hoc aanpakken van verstoringen, realiseerden zich plotseling de urgentie—zelfs de strategische noodzaak—om een proactievere en vooruitziende aanpak te hanteren voor het inschatten van bedreigingen in hun toeleveringsketen en bij de bedrijven die deze ondersteunen. Anders gezegd, men kwam gezamenlijk tot het inzicht dat bedrijven risico’s kunnen identificeren, beoordelen en beperken voordat deze de bedrijfsvoering treffen in de vorm van een fabriekssluiting, een probleem met regelgeving of een verouderingscrisis.
Wat is een leveranciersrisicoanalyse?
Gelukkig kunnen fabrikanten, importeurs en andere stakeholders die risico’s bij hun leveranciers willen analyseren, terugvallen op een ruime geschiedenis. Leveranciersrisicoanalyses bestaan al decennialang in diverse vormen. Een risicoanalyse—ook wel risicobeoordeling genoemd—is een raamwerk of set criteria om de risico’s van een specifieke leverancier te herkennen en evalueren. Deze gestructureerde beoordelingen zijn een cruciaal onderdeel van het bredere vakgebied supply chain-risicomanagement, dat het National Institute of Standards and Technology (NIST) nuttig definieert als een “systematisch proces voor het beheren van supply chain-risico door het identificeren van kwetsbaarheden en bedreigingen in de hele toeleveringsketen en het ontwikkelen van strategieën ter mitigatie van deze bedreigingen.”
Een risicoanalyse—ook wel risicobeoordeling genoemd—is een raamwerk of set criteria voor het herkennen en beoordelen van de risico’s van een specifieke leverancier.
Leveranciersrisicobeoordelingen vormen de hoeksteen van goed supply chain-risicomanagement. Door het ontwikkelen en uitvoeren van deze gerichte beoordelingen kunnen organisaties potentiële leveranciers toetsen met een gestandaardiseerd selectieproces, en krijgen zij volledig en nauwkeurig inzicht in hoe specifieke historische kwetsbaarheden zich opnieuw, en kostbaar, kunnen voordoen. Het is ook een van de meest effectieve strategieën om een dynamische en wendbare houding te behouden ten aanzien van uw toeleveringsketen.
“Het is heel belangrijk, omdat u uiteindelijk eventuele problemen die invloed hebben op uw supply chain, en daarmee op de levering of productie van uw eindproduct, voor kunt blijven,” zegt Mohammad Ahmad, CEO van het supply chain-risicomanagementplatform Z2Data. Maar deze beoordelingen zijn meer dan alleen risicoprofielen, legt Ahmad uit. Het zijn tevens uitgebreide dossiers over leveranciers die van waarde zijn voor cruciale besluitvorming in allerlei scenario’s. “Een echt grote uitdaging tegenwoordig is: hoeveel weet u nu echt over uw leveranciers?” zegt hij. “Iedereen wil zichtbaarheid in zijn leveranciers.”
“Een echt grote uitdaging tegenwoordig is: hoeveel weet u nu echt over uw leveranciers?” zegt hij. “Iedereen wil zichtbaarheid in zijn leveranciers.”
Leveranciersrisicoanalyse is zeker geen nieuwe praktijk. Het is echter een instrument dat zich steeds meer ontwikkelt van een optionele maatregel tot een integraal onderdeel van effectief supply chain-risicomanagement. In een decennium dat zo gelaagd en turbulent is als de jaren 2020 tot nu toe, hebben bedrijven die risico kunnen identificeren en analyseren—en daarmee transparantie bereiken richting hun leveranciers—een cruciaal voordeel.
De belangrijkste criteria voor een leveranciersrisicoanalyse
Historisch bekeken richtten fabrikanten zich bij het uitvoeren van een risicoanalyse op enkele kernaspecten van hun leveranciers, zoals bedrijfseconomische gegevens, productkwaliteit en reputatie. Bedrijven evalueerden de mate van blootstelling van hun leveranciers en stelden vervolgens een samengestelde score op met als doel een accuraat beeld te krijgen van het totale risicoprofiel van de leverancier.
Vandaag de dag is het risicolandschap voor fabrikanten en hun toeleveringsketens complexer en meedogenlozer. Traditionele bedreigingen, zoals hierboven beschreven, worden versterkt door nieuwe zorgen die eigen zijn aan het huidige milieu- en geopolitieke klimaat, waarbij menselijke en natuurlijke factoren samen instabiliteit vergroten. Hierdoor moeten bedrijven hun lijst met risicocriteria uitbreiden met factoren zoals een historie van naleving van regelgeving en geografische locaties. Vooral deze laatste categorie wordt steeds belangrijker, omdat deze aangeeft hoe kwetsbaar een leverancier is voor gerelateerde bedreigingen zoals natuurrampen, geopolitieke kwesties en handelsconflicten.
Vandaag de dag is het risicolandschap voor fabrikanten en hun toeleveringsketens complexer en meedogenlozer.
Bedrijven hebben altijd al rekening moeten houden met het risico dat leveranciers getroffen worden door extreem weer zoals tyfonen, tornado’s en overstromingen. De toenemende invloed van klimaatverandering heeft de frequentie van zulke ingrijpende gebeurtenissen echter fors versneld. Volgens het United Nations Office for Disaster Risk Reduction (UNDRR) is het aantal “grootschalige rampen” waarmee de aarde jaarlijks wordt geconfronteerd sinds het begin van deze eeuw meer dan verdrievoudigd en ligt nu tussen de 350 en 500 per jaar. Verschillende klimaatprojecties voorspellen bovendien dat die cijfers de komende jaren snel zullen blijven stijgen.
In de afgelopen vijf jaar zijn toonaangevende overheden en invloedrijke internationale organisaties serieuze stappen gaan nemen om bedrijven verantwoordelijk te houden voor hun bijdrage aan temperatuurstijgingen en klimaatverandering. Bewegingsrichtingen in duurzaamheid en ESG (Environmental, Social, and Governance) worden wereldwijd langzaam vastgelegd in bindende, juridisch afdwingbare regelgeving. Dit groeiende pakket van nieuwe regelgeving vormt een nieuwe categorie van risico’s voor fabrikanten en andere partijen in de toeleveringsketen, die nu aan tal van nieuwe duurzaamheidsverplichtingen moeten voldoen. Nu richtlijnen zoals CSRD, CS3D en de nieuwe klimaatrapportagevereisten van de SEC wereldwijd ingevoerd worden, moeten leveranciers zich nu bewegen in een nieuw kwetsbaarheidsgebied.
Nu richtlijnen zoals CSRD, CS3D en de nieuwe klimaatrapportagevereisten van de SEC wereldwijd ingevoerd worden, moeten leveranciers zich nu bewegen in een nieuw kwetsbaarheidsgebied.
Daar komt bij dat cyberbeveiligingsrisico’s razendsnel opkomen. Deze bedreiging is duidelijk geworden door enkele recente cyberaanvallen van ongekende omvang. De SolarWinds-aanval door een groep Russische actoren in 2020 en de Microsoft Exchange-datalek in 2021, uitgevoerd door een hackersgroep gelieerd aan het Chinese ministerie van staatsveiligheid, tonen de ernstige ontwikkeling van cyberoorlogsvoering in het afgelopen decennium. Nu deze uiterst geavanceerde hackersgroepen en hun invloedrijke overheidssponsors steeds roekelozer worden in hun cyberaanvallen, lopen multinationals wereldwijd een groter risico op datalekken, malwareaanvallen en grootschalige beveiligingsincidenten.
Amerikaanse fabrikanten en andere bedrijven die vandaag de dag afhankelijk zijn van meerdere leveranciers en sub-tiers staan voor een duidelijke, onomstotelijke waarheid: supply chain-risicomanagement is duidelijk geëvolueerd. Bedrijven die hun eigen leveranciersrisicoanalyse willen opstellen, moeten verder kijken dan de verstorende factoren die toeleveringsketens al tientallen jaren teisteren. Organisaties moeten de reeks nieuwe bedreigingen onderkennen die inmiddels wijdverspreid zijn in veel productienetwerken.
Amerikaanse fabrikanten en andere bedrijven die vandaag de dag afhankelijk zijn van meerdere leveranciers en sub-tiers staan voor een duidelijke, onomstotelijke waarheid: supply chain-risicomanagement is duidelijk geëvolueerd.
Er zijn nu gezamenlijk minstens een zestal supply chain-risico’s die in elke uitgebreide risicoanalyse moeten worden opgenomen:
- Financiële gezondheid en/of faillissementsrisico
- Extreme weersomstandigheden en klimaatgerelateerde gebeurtenissen
- Geopolitieke kwesties
- ESG en duurzaamheid
- Cyberbeveiliging
- Handelsnaleving
- Datatransparantie
Data verzamelen voor risicobeoordelingen
Zodra bedrijven het belang van risicometing bij hun leveranciers en de te analyseren risicocategorieën begrijpen, kunnen zij daadwerkelijk starten met een beoordeling. De eerste en vrijwel altijd belangrijkste stap in het uitvoeren van een risicoanalyse is het verzamelen van data over uw leveranciers. Er zijn diverse strategieën om deze informatie te verzamelen en bedrijven doen er verstandig aan zich niet uitsluitend op één aanpak te richten. In plaats daarvan benutten zij meerdere methoden voor dataverzameling, te beginnen met het raadplegen van publiek beschikbare informatie. Dit soort data kan onder andere financiële gegevens, geografische locaties van hoofd- en productiefaciliteiten en ESG-rapportages omvatten (die in de komende maanden en jaren steeds vaker openbaar zullen worden).
Na het verzamelen van alle publieke data, dienen bedrijven te analyseren waar de hiaten zitten en leveranciers te benaderen om informatie op te vragen die zij niet zelfstandig konden verkrijgen. Vaak gebeurt deze tweede stap met behulp van vragenlijsten, waarmee fabrikanten uitgebreid worden bevraagd over hun beveiligingsmaatregelen, risicovermindering en supply chain-beheer.
De Shared Information Gathering (SIG)-vragenlijst, bijvoorbeeld, is een third party risk management-tool die is ontwikkeld door de Shared Assessments-organisatie. Deze bevat honderden vragen die praktische inzichten opleveren binnen 21 hoofddomeinen, waaronder onder andere:
- Compliance Management
- Environmental, Social, and Governance (ESG)
- Enterprise Risk Management
- Cybersecurity Incident Management
- Network Security
- Operational Resilience
Hoewel vragenlijsten essentieel zijn voor dataverzameling, mogen zij nooit de enige informatiebron zijn over uw leveranciers. “Ik denk niet dat het uw enige bron zou moeten zijn,” aldus Ahmad. “U heeft meerdere informatiebronnen nodig om een op risico gebaseerde beslissing te kunnen nemen of u dieper dient te gaan.”
Een overkoepelend risicobeoordelingsproces opzetten: deel 2
Maar het identificeren van risicogebieden en het verzamelen van alle relevante data zijn slechts de eerste stappen in het totale risicobeoordelingsproces. Nadat fabrikanten deze stappen succesvol hebben uitgevoerd, rijst de vraag: hoe ontwikkelt u een risicomodel en voert u daadwerkelijk een risicobeoordeling uit?
We behandelen deze vragen—en lichten tevens enkele van de meest voorkomende risico’s specifiek in de halfgeleider supply chain toe—in deel twee van ons artikel, Developing and Implementing a Risk Model for the Semiconductor Supply Chain.
