1) Как вы и написали в посте: сторонний сервис авторизуется и потом посылает данные в bpm. В данном случае надо всего лишь написать веб-сервис.
2) Веб-сервис без авторизации. Т.е всё то же самое, что и в 1 пункте, только надо перекопать web.config bpm и добавить в сервисы пару файлов. Ну и в итоге получается тот же веб-сервис, только к нему не надо авторизовываться.
3) web-to-object. Я так понял можно зарегистрировать внешнюю систему и создавать простые объекты(не полноценный сервис, но может кому-то нужен только функционал создания новых записей).
Посмотрите здесь. Данная инструкция открывает доступ без авторизации к созданному вами сервису (естественно его нужно сначала создать). В самом сервисе вы реализуете вызываемую логику и шлете данные с внешнего источника обычным post запросом.