Certified Third Party Risk Professional (CTPRP)

Der Certified Third-Party Risk Professional (CTPRP) ist eine Personenzertifizierung von Shared Assessments. Sie weist Wissen und Erfahrung im Aufbau und Betrieb eines Programms für das Management von Drittparteienrisiken (Third-Party Risk Management, TPRM) nach. Erworben wird sie über einen Kurs, eine Prüfung und den Nachweis von Berufserfahrung.

Was ist der Certified Third Party Risk Professional (CTPRP)?

Laut CTPRP-Handbuch von Shared Assessments bestätigt die Zertifizierung Kenntnisse in Gestaltung, Struktur und Umsetzung eines umfassenden TPRM-Programms. Dazu gehören die Identifikation von Drittparteienrisiken, eine risikobasierte Einstufung von Dienstleistern, die Risikobewertung sowie Kennzahlen, Berichtswesen und die Bewertung der Wirksamkeit des Programms. Shared Assessments ordnet den CTPRP dem Wissensniveau „Intermediate“ zu. Die Prüfung verteilt sich zu gleichen Teilen auf vier Bereiche:

• Third-Party Risk Management Foundation: Begriffe, Datenschutz- und Data-Governance-Anforderungen, Bezug zum Enterprise Risk Management
• TPRM Program Design and Structure: Governance, Programmanforderungen, Prozess der Drittparteienbewertung
• Controls Evaluation in TPRM: GRC, Informationsschutz, IT-Betrieb und Resilienz, Cybersicherheit
• TPRM Program Operations and Implementation: Berichte und Maßnahmenpläne nach der Bewertung, Programmsteuerung, Leistungsmessung

Für wen eignet sich die Zertifizierung?

Shared Assessments richtet den CTPRP an Fachleute aus Third-Party Risk, Audit, Einkauf sowie Governance, Risk und Compliance, die TPRM-Programme entwickeln, umsetzen oder steuern. Genannt werden unter anderem Vendor Relationship Manager, GRC-Analysten und -Manager, Third Party Risk Analysts, ERM-Manager, IT-Risikoanalysten, interne Revisoren sowie Risikoverantwortliche im IT-Einkauf. Typisch sind laut Handbuch Personen auf mittlerer Führungsebene mit operativer oder aufsichtführender Verantwortung.

Voraussetzungen

Vor der Prüfung ist ein CTPRP-Kurs von Shared Assessments zu absolvieren, der zwölf CPE-Punkte einbringt. Nach bestandener Prüfung reichen Kandidaten einen Antrag ein, der mindestens fünf Jahre Berufserfahrung in einer TPRM-bezogenen Rolle belegt, mit einer Kontaktperson zur Bestätigung. Auf diese Erfahrung lassen sich anrechnen:

• bis zu ein Jahr für einen Bachelor- oder Masterabschluss in Informationssicherheit oder Informationstechnik einer akkreditierten Hochschule
• ein weiteres Jahr für eine aktive Branchenzertifizierung mit TPRM-Bezug

Wer die Prüfung besteht, die fünf Jahre aber noch nicht erreicht, erhält die Bezeichnung Associate CTPRP. Sie wird ohne Zusatzkosten in den vollen CTPRP umgewandelt, sobald die Erfahrung erreicht ist und die Zertifizierung aktiv gehalten wurde.

Ablauf und Prüfung

Nach dem Kurs wird die Prüfung über die Plattform Proctor360 gebucht und online unter Aufsicht abgelegt, mit Ausweiskontrolle per Webcam und Kontrolle des Arbeitsplatzes. Shared Assessments empfiehlt, die Prüfung innerhalb von 15 Wochen nach dem Kurs abzulegen.

• 120 Multiple-Choice-Fragen mit bis zu 125 Punkten, aufgebaut als Szenarien aus Sicht des Auslagernden oder des Dienstleisters
• Closed Book, Zeitlimit drei Stunden
• Bestanden ab 70 Prozent
• Bis zu drei Wiederholungen, danach ist der Kurs erneut zu besuchen

Das endgültige Ergebnis kommt innerhalb von zwei Wochen. Die Prüfung des Antrags dauert ebenfalls bis zu zwei Wochen, danach stellt Shared Assessments das Zertifikat und ein digitales Abzeichen über Credly aus.

Gültigkeit und Rezertifizierung

Die Zertifizierung läuft in Zeiträumen von drei Jahren. Um sie zu erhalten, sind je Zeitraum 36 CPE-Punkte nachzuweisen, empfohlen werden zwölf pro Jahr. Außerdem fällt eine jährliche Gebühr an und Zertifizierte verpflichten sich auf den Code of Ethics von Shared Assessments. Bei Verstößen reichen die Folgen von einer Verwarnung bis zum Entzug der Zertifizierung.

Anbieter

Den CTPRP vergibt Shared Assessments, das auch den Vorbereitungskurs anbietet.

Kosten

Die jährliche Aufrechterhaltungsgebühr beträgt 100 US-Dollar, eine Prüfungswiederholung kostet 150 US-Dollar. Wer die Prüfung weniger als 48 Stunden vorher bucht oder ändert, zahlt 15 US-Dollar (Stand 19.10.2026, laut Shared Assessments). Den Kurspreis nennt das Handbuch nicht.

Häufige Fragen zu Certified Third Party Risk Professional (CTPRP)

Was ist ein Certified Third Party Risk Professional (CTPRP)?

Ein CTPRP hat den Kurs und die Prüfung von Shared Assessments bestanden und mindestens fünf Jahre Berufserfahrung im Management von Drittparteienrisiken nachgewiesen. Ohne diese Erfahrung lautet die Bezeichnung Associate CTPRP.

Für wen ist die CTPRP-Zertifizierung gedacht?

Für Fachleute aus Third-Party Risk, Audit, Einkauf und GRC, die TPRM-Programme aufbauen oder betreiben, etwa Vendor Risk Manager, GRC-Analysten, IT-Risikoanalysten und interne Revisoren.

Welche Vorteile bietet die CTPRP-Zertifizierung?

Der CTPRP verbindet eine Prüfung mit einem Erfahrungsnachweis und einer Weiterbildungspflicht. Das macht die Qualifikation für Arbeitgeber nachvollziehbar. Welchen Einfluss sie auf Position oder Gehalt hat, hängt vom Arbeitsmarkt und vom einzelnen Arbeitgeber ab.

Wie erhält man die CTPRP-Zertifizierung?

Man absolviert den CTPRP-Kurs von Shared Assessments, legt die überwachte Online-Prüfung ab und reicht danach den Antrag mit dem Nachweis von fünf Jahren TPRM-Erfahrung ein.

Wie lange ist die CTPRP-Zertifizierung gültig und wie kann sie erneuert werden?

Die Zertifizierung läuft in Dreijahreszeiträumen. Erneuert wird sie ohne neue Prüfung über 36 CPE-Punkte je Zeitraum, die jährliche Gebühr von 100 US-Dollar und die Einhaltung des Code of Ethics.

Welche spezifischen Themen deckt die CTPRP-Zertifizierung ab?

Grundlagen des TPRM einschließlich Data Governance, Aufbau und Governance eines TPRM-Programms, die Bewertung von Kontrollen bei Dritten (GRC, Informationsschutz, IT-Betrieb und Resilienz, Cybersicherheit) sowie Betrieb, Berichtswesen und Leistungsmessung des Programms.

Wie kritisch ist das Management von Drittanbieter-Risiken für Unternehmen heutzutage?

Das hängt davon ab, wie stark ein Unternehmen auf Dienstleister angewiesen ist. Für Finanzunternehmen ist es seit dem 17. Januar 2025 ausdrücklich geregelt: Die Verordnung (EU) 2022/2554 (DORA) verlangt in Kapitel V, das IKT-Drittparteienrisiko als festen Bestandteil des IKT-Risikomanagements zu steuern.