Viele Unternehmen bewerten ihren TPRM-Reifegrad höher als es die Ausprägung der einzelnen Fähigkeiten erkennen lässt. Zwar sehen sich 31 % bereits auf einem integrierten Reifegrad. Die Detailergebnisse zeigen jedoch, dass ein durchgängig integriertes TPRM weiterhin die Ausnahme ist. Damit wird deutlich: Standardisierte Prozesse existieren vielerorts, eine durchgängige Umsetzung über Funktionen und Risikodimensionen hinweg bleibt jedoch die Ausnahme. 

Eine zentrale Erkenntnis der Studie betrifft die organisatorische Verankerung von TPRM. Nur 45 % der Unternehmen verfügen über einen integrierten, funktionsübergreifenden Steuerungsansatz. 

Die Governance-Modelle verteilen sich wie folgt: 

• 15 % steuern TPRM zentral. 

• 40 % koordinieren TPRM zentral. 

• 25 % stimmen sich teilweise ab. 

• 20 % organisieren TPRM dezentral oder innerhalt einzelner Funktionen. 

Die Ergebnisse zeigen, dass viele Unternehmen weiterhin mit unterschiedlichen Verantwortlichkeiten, Bewertungslogiken und Entscheidungswegen arbeiten. Dies erschwert insbesondere eine konsistente Risikobewertung und Priorisierung. 

Auch auf technologischer Ebene fehlt häufig eine durchgängige Lösung und moderne End-to-End-Lösungen sind bislang selten. 

• 38 % der Unternehmen arbeiten überwiegend manuell oder Excel-basiert. 

• 54 % nutzen spezialisierte Einzellösungen für bestimmte Risikobereiche (z. B. Cyber, ESG oder Finanzrisiken). 

• Nur 8 % nutzen eine integrierte TPRM-Plattform. 

Das führt zu Medienbrüche, doppelten Bewertungen und hohem manuellen Aufwand bei Konsolidierung und Reporting. 

Besonders deutlich wird der Handlungsbedarf beim Blick auf regulatorische Anforderungen. Laut Benchmark sind rund 90 % der befragten Unternehmen noch nicht vollständig NIS2-konform. 

Mit dem deutschen NIS2-Umsetzungsgesetz wurde die europäische NIS2-Richtlinie Ende 2025 in nationales Recht überführt. Seit Inkrafttreten des Gesetzes gelten europaweit einheitliche Mindeststandards für Cyber- und Informationssicherheit in kritischen und wesentlichen Sektoren. Neben strengeren Anforderungen an Governance, Risikomanagement und Meldepflichten rückt insbesondere die Absicherung der Lieferkette stärker in den Fokus.  

Unternehmen müssen deshalb systematisch Lieferanten in Risikoanalysen, Assessments, Monitoring- und Eskalationsprozesse einbinden. Entsprechend entwickelt sich der Einkauf zunehmend vom reinen Beschaffungsbereich zum zentralen Orchestrator für Third Party Risk Management und Lieferkettenresilienz.  

Die Ergebnisse der Horváth Benchmarking-Studie zeigen jedoch, dass viele Unternehmen hierfür noch nicht ausreichend vorbereitet sind: Die NIS2-Umsetzung innerhalb des TPRM befindet sich überwiegend erst in einem teilweisen Implementierungsstadium. Nur 8 % der Studienteilnehmer berichten von einer weitgehend implementierten Lösung; kein Unternehmen verfügt über ein vollständig integriertes und compliance-konformes Setup. Besonders bei kontinuierlichem Monitoring, Tool-Unterstützung, Eskalationsprozessen sowie der vertraglichen Verankerung von NIS2-Anforderungen bestehen noch erhebliche Lücken. 

Strategien, Governance-Strukturen, Rollenmodelle und Risikoframeworks sind in vielen Unternehmen bereits beschrieben und dokumentiert. Die Benchmark zeigt jedoch, dass eine hohe Reife selten über alle TPRM-Komponenten hinweg erreicht wird. Insbesondere die nachgelagerten Prozessschritte wie, Risikominderung, kontinuierliche Überwachung und Berichterstattung setzen Unternehmen oft nur punktuell um. Dadurch entstehen Lücken zwischen Risikobewertung und tatsächlicher Steuerung. 

Die Analyse der Lieferketten endet in vielen Unternehmen weiterhin auf der ersten Lieferantenebene. 

Rund 70 % der Unternehmen betrachten Risiken primär auf Tier-1-Ebene. Lediglich 15 % analysieren systematisch Tier-2-Strukturen oder nutzen dynamische, risikobasierte Ansätze zur Ausweitung ihrer Analysen. 

Damit bleiben kritische Abhängigkeiten in tieferen Lieferkettenstufen häufig unsichtbar. Gerade bei geopolitischen, regulatorischen und operativen Risiken wird diese Transparenz jedoch zu einem wichtigen Differenzierungsfaktor.

Die Horváth TPRM Benchmark-Studie 2026 zeigt: TPRM ist in vielen Unternehmen organisatorisch verankert und methodisch definiert. Gleichzeitig bestehen weiterhin deutliche Herausforderungen bei Governance, Prozessintegration, Digitalisierung und regulatorischer Compliance. 

Die größten Lücken liegen weniger in einzelnen Framework-Bausteinen als vielmehr in deren Zusammenspiel. Unternehmen, die TPRM als integriertes Steuerungsinstrument etablieren wollen, müssen insbesondere Governance, Daten, Prozesse und Monitoring stärker miteinander verbinden. 

Die Ergebnisse verdeutlichen, dass es kein „One-size-fits-all“-TPRM gibt. Erfolgreiche Unternehmen entwickeln ein TPRM Operating Model, das zu ihrem Risikoprofil, ihrer Organisation und ihren regulatorischen Anforderungen passt. Horváth unterstützt dabei, ein unternehmensspezifisches Target Operating Model zu definieren und die Professionalisierung des Third Party Risk Managements gezielt voranzutreiben.

Quelle: Horváth TPRM Benchmarking Study 2026 (N=20, Stand März 2026) 

Hambsch, K. / Mäntele, K. / Müllerschön, D. / Pöhner, B.