2026年第三方风险评估现状报告：成熟度认知偏差的代价

核心观点

• TPRM 成熟度差距：尽管许多组织认为其第三方风险管理 (TPRM) 程序已经成熟，但数据揭示了感知与现实之间的差距。虽然大多数组织已经建立了评估流程、政策和治理结构，但它们尚未实现真正的程序成熟，导致频繁的第三方漏洞、漫长的评估周期、缓慢的供应商响应、不完整的修复以及第三方生态系统中的持续盲点。
• 第三方漏洞频发：组织平均每年经历 12 次第三方漏洞，表明第三方风险并非边缘案例，而是一种反复出现的运营现实。
• 评估周期过长：64% 的大型组织报告称，评估周期超过四个月，这导致风险决策延迟，并增加了风险暴露。
• 资源投入不足：63% 的评估需要团队投入超过 40 小时，这表明许多程序依赖于个人贡献者而不是可扩展的系统，限制了可扩展性。
• 工具落后：64% 的组织使用电子表格，67% 的组织使用自制工具，这表明评估执行尚未现代化。
• 供应商响应缓慢：60% 的组织等待四个月或更长时间才能获得供应商的响应，这进一步延长了评估周期。
• 评估范围有限：组织平均只评估其第三方人口的 36%，导致对大型供应商生态系统的大部分内容缺乏了解。
• 修复工作滞后：只有 16% 的组织在上线前完成 90-100% 的修复工作，导致具有潜在未解决问题控制的供应商进入其环境。
• 第四方风险被忽视：不到三分之一的组织评估第四方风险，这表明程序在扩展其生态系统时存在盲点。

关键数据

• 90% 的组织在过去 12 个月内经历了至少一次第三方漏洞。
• 66% 的大型组织认为其 TPRM 评估在减少漏洞风险方面是有效的，而只有 40% 的小型组织持此观点。
• 51% 的受访者报告他们根本没有衡量其评估有效性的方法。
• 89% 的大型组织和 92% 的小型组织在过去一年中至少经历了一次第三方漏洞。
• 58% 的组织报告说，他们的评估工具是电子表格和自制工具。
• 27% 的供应商根本不响应评估请求。
• 15% 的组织报告说，他们评估了 76-100% 的供应商。
• 18% 的组织报告说，他们没有在上线前完成任何修复工作。

研究结论

• 组织需要重新思考其 TPRM 程序的成功定义，从过程完成转向可衡量的结果。
• 自动化应侧重于问卷分发和收集、响应验证、证据处理和问题跟踪等环节，以提高效率并减少对人工干预的依赖。
• 改善对风险数据的访问，通过更好的工具和集成，使利益相关者能够在需要时及时获得可靠数据。
• 组织应优先考虑可扩展的自动化、可操作的实时风险数据以及基于结果的绩效衡量，以有效地管理不断增长的第三方风险。