Op 18 september 2026 publiceerde de European Banking Authority (EBA) definitieve richtlijnen voor third-party risk management bij niet-ICT-diensten. Deze Europese Bankenautoriteit ontwikkelt regels en richtlijnen voor de bankensector en bevordert consistent toezicht binnen de EU. Het uitgangspunt: stem je risicobeheer af op de mogelijke impact van een verstoring. Externe partijen die kritieke of belangrijke functies ondersteunen, verdienen daarbij meer aandacht. De richtlijnen zijn gepubliceerd, maar momenteel nog niet van toepassing.
Hoewel de richtlijnen zich richten op financiële instellingen, biedt die aanpak ook andere organisaties in Nederland en België praktische handvatten. Want welke leveranciers verdienen uitgebreide controles en intensieve monitoring? Dat begint met één vraag: wat gebeurt er met jouw organisatie als deze partij morgen uitvalt?
Wat is third-party risk management?
Third-party risk management is het herkennen, beoordelen en beheersen van risico’s bij samenwerkingen met externe partijen, zoals leveranciers, dienstverleners en onderaannemers. Je onderzoekt hoe betrouwbaar en weerbaar zij zijn, maar ook hoe afhankelijk je organisatie van hen is.
Een kredietcheck geeft inzicht in de financiële gezondheid van een leverancier. De gevolgen van uitval hangen echter ook af van wat die partij levert en hoe snel je kunt overstappen. Een kleine leverancier met een lage inkoopwaarde kan bijvoorbeeld een onderdeel leveren zonder welk je productie stilstaat.
Bepaal welke leveranciers kritiek zijn voor je organisatie
Om je aandacht goed te verdelen, heb je naast financiële informatie ook kennis van je eigen processen nodig. Beoordeel per leverancier:
- Impact: welke processen, producten of diensten komen in gevaar bij uitval?
- Vervangbaarheid: is er een alternatief en hoeveel tijd kost overstappen?
- Toegang: beschikt de partij over kritieke data of toegang tot essentiële systemen?
- Afhankelijkheden: welke onderaannemers zijn nodig om te kunnen leveren?
Zo maak je onderscheid tussen een leverancier die eenvoudig te vervangen is en een partij waarvan uitval direct je bedrijfsvoering raakt. Dat onderscheid bepaalt hoe uitgebreid je onderzoek moet zijn en hoe nauwlettend je ontwikkelingen volgt.
Lees ook: Top 5 leveranciersrisico’s en hoe je ze beheerst
Kijk achter je leveranciers: waar komen risico’s samen?
Bij die beoordeling is het belangrijk om verder te kijken dan je directe contractpartij. Je kunt bij drie leveranciers inkopen en toch afhankelijk zijn van één producent. Valt die uit, dan kunnen alle drie je leveranciers tegelijk in de problemen komen.
Dit concentratierisico krijgt ook aandacht in de EU ICT Supply Chain Security Toolbox uit februari 2026. De toolbox biedt aanbevelingen voor ICT-ketenbeveiliging, waaronder multivendor-strategieën om afhankelijkheden te spreiden. Het is een praktisch hulpmiddel, geen algemene wettelijke verplichting voor leveranciersmanagement.
De bredere les: meerdere leveranciers bieden pas uitwijkmogelijkheden als zij voldoende onafhankelijk van elkaar zijn. Onderzoek daarom concernrelaties, belangrijke onderaannemers en gedeelde productielocaties. Controleer ook of een alternatief voldoende capaciteit heeft en tijdig kan overnemen.
Beheers het risico tijdens de volledige samenwerking
Als duidelijk is welke leveranciers kritiek zijn en waar afhankelijkheden samenkomen, kun je passende maatregelen treffen. Die moeten verder gaan dan de beoordeling bij onboarding.
De EBA-richtlijnen kijken daarom naar de volledige lifecycle van de relatie: risicoanalyse, due diligence, contractering, onderaanneming, monitoring en exit. Wat je tijdens het onderzoek ontdekt, moet terugkomen in je afspraken en de opvolging tijdens de samenwerking.
Blijkt een leverancier bijvoorbeeld moeilijk vervangbaar? Dan wil je vooraf afspraken maken over continuïteit en onderzoeken hoe een eventuele overstap eruitziet. Is de leverancier sterk afhankelijk van een onderaannemer? Bespreek dan hoe je geïnformeerd blijft over veranderingen bij die partij.
Lees ook: Je leveranciersbestand is niet wat je denkt: dat kan je geld kosten
Maak van een risicosignaal een concrete actie
Tijdens de samenwerking kunnen betalingsproblemen, een verslechterde kredietscore of een overname aanleiding zijn om het risico opnieuw te beoordelen. Monitoring helpt om die veranderingen te signaleren. Voor Trade Credit Risk en Supplier Risk is vervolgens de vraag welke actie daarbij past.
Bij een kritieke leverancier kan financiële verslechtering reden zijn om direct in gesprek te gaan en een alternatief voor te bereiden. Bij een eenvoudig vervangbare partij kan een minder intensieve opvolging volstaan.
Leg daarom vast wie signalen beoordeelt, wanneer je ingrijpt en welke maatregelen beschikbaar zijn. Zo verbind je actuele informatie aan de afhankelijkheden die je eerder in kaart hebt gebracht.
Wat betekent dit praktisch?
Met deze vijf stappen maak je third-party risk management onderdeel van je leveranciersbeleid:
- Segmenteer op criticaliteit en afhankelijkheid. Bepaal welke partijen onmisbaar zijn voor je bedrijfsvoering.
- Identificeer kwetsbare schakels. Onderzoek waar het wegvallen van één partij een proces kan stilleggen.
- Controleer de keten achter je leveranciers. Breng in kaart waar onderaannemers en gedeelde afhankelijkheden extra risico veroorzaken.
- Stem due diligence en monitoring af op de impact. Richt je controles op de leveranciers die de grootste gevolgen kunnen hebben voor je continuïteit.
- Bepaal vooraf welke actie volgt. Leg verantwoordelijkheden, alternatieve leveranciers en exitmogelijkheden vast.
Goed third-party risk management draait om de juiste aandacht voor de juiste leveranciers. Door financiële inzichten te combineren met kennis over je afhankelijkheden, bepaal je waar extra controle nodig is en wanneer je moet handelen.
Meer grip op je leveranciersrisico’s? Ontdek hoe onze Supplier Risk-oplossingen je helpen om leveranciers te beoordelen en risico’s tijdig te signaleren. Of bespreek jouw uitdagingen met een van onze experts.
