Son yılların en yıkıcı olaylarının önemli bir kısmı kurumun kendi altyapısından değil, güvendiği bir tedarikçiden başlamıştır. Buna karşın çoğu kurumda tedarikçi güvenliği, herkese aynı uzunlukta anket gönderilen ve yanıtların doğrulanmadığı biçimsel bir adım olarak kalmaktadır. Etkili bir üçüncü taraf risk yönetimi, tedarikçileri eriştikleri veri ve hizmetin kritikliğine göre ayrıştırmayı, kanıt talebini bu seviyeye göre ölçeklendirmeyi ve ilişkiyi sözleşme sonrasında da izlemeyi gerektirir. On iki saatlik atölye dört modülden oluşur ve gerçek tedarikçi dosyaları üzerinden ilerler. Katılımcılar kritiklik sınıflandırma kriterlerini belirler, seviyeye göre farklılaşan soru setleri oluşturur, gelen yanıtları kanıtla doğrulamayı ve bulguları risk puanına çevirmeyi uygular. Son modülde sözleşme güvenceleri, sürekli izleme göstergeleri ve ilişki sonlandırma planı çalışılır. Katılımcı atölye sonunda kurumu için kademeli tedarikçi değerlendirme modeli ve doldurulmuş bir örnek tedarikçi risk raporu üretir.