Какви доказателства трябва да има подготвени един доставчик?
Актуализирано:
За всяко изискване, което клиентите обикновено поставят, доставчикът трябва да има под ръка актуално доказателство: сертификати и одиторски доклади за информационната сигурност, договор за обработка на лични данни и технически и организационни мерки за защитата на данните, планове за извънредни ситуации и за непрекъснатост на дейността, както и информация за качеството, финансите и устойчивостта. Кои области обхваща това, показва каталогът на Vendo4u с 10 категории.
Защо доказателства, а не просто самооценка
Купувачите трябва да могат да обосноват избора си на доставчик – пред вътрешния одит, надзорните органи или собствените си клиенти. Отметнат отговор без доказателство тежи малко. Това важи особено там, където законът изисква проверка: при обработващите лични данни съгласно чл. 28, параграф 1 от GDPR (достатъчни гаранции) и във веригата на доставки съгласно § 30, ал. 2 BSIG.
Областите накратко
Каталогът на Vendo4u разпределя изискванията в 10 категории с общо 69 критерия. По-долу е описано за какво се отнася всяка категория; отделните критерии са представени на страницата с критериите за оценяване.
Продукти, услуги и качество · 8 критерия
Управление на качеството, съответствие с изискванията и обработка на дефекти и рекламации.
Логистика и способност за доставка · 7 критерия
Срокове за доставка, условия на доставка и способност за надеждна и гъвкава доставка.
Търговски условия · 6 критерия
Условия за плащане и доставка и търговската рамка на сътрудничеството.
Технически възможности и капацитет · 4 критерия
Дълбочина на производството, капацитет и компетентност в разработката – до голяма степен специфични за бранша.
Информационна сигурност · 10 критерия
Технически и организационни мерки за защита на информацията.
Защита на данните (GDPR) · 8 критерия
Съответствие с Общия регламент на ЕС относно защитата на данните (GDPR) и свързаните с него правила.
Финансова стабилност и застраховане · 6 критерия
Кредитоспособност, застрахователно покритие и икономически показатели.
Управление на риска и непрекъснатост на бизнеса · 8 критерия
Управление на извънредни ситуации, наличност и прозрачност относно зависимостите.
Устойчивост и съответствие (ESG) · 10 критерия
Околна среда, социални аспекти, управление, както и надлежна проверка на веригата на доставки и съответствие на материалите.
Допълнителни сертификати и стандарти · 2 критерия
Допълнителни браншови и управленски стандарти с валидни доказателства.
Типични доказателства по области
Информационна сигурност: сертификат по ISO/IEC 27001 заедно с обхвата му, резюме на скорошен тест за проникване, политики за защита на достъпа и многофакторна автентикация, документиран процес за управление на уязвимости и корекции.
Защита на данните: договорът за обработка на лични данни съгласно чл. 28 от GDPR, техническите и организационните мерки съгласно чл. 32 от GDPR, списъкът на подизпълнителите с мястото на обработване и, когато това се изисква, определянето на длъжностно лице по защита на данните.
Непрекъснатост на дейността: планове за извънредни ситуации и за възстановяване, доказателства за тествани резервни копия и, където е приложимо, сертификат по ISO 22301.
Качество, околна среда и верига на доставки: сертификати по ISO 9001 или ISO 14001, кодекс за поведение на доставчиците, декларация за принципите относно правата на човека и околната среда, ESG оценки.
Търговски аспекти: извлечение от търговския регистър, доказателства за застраховки, например за обща гражданска отговорност и за киберрискове, информация за финансовата стабилност.
Какво е важно при доказателствата
Валидност: сертификатите и докладите имат дата на издаване и често срок на валидност. Изтекло доказателство няма стойност за клиента.
Обхват: сертификатът удостоверява само това, което попада в обхвата му. Ако не покрива услугата, която клиентът ползва, той помага малко.
Издател: при сертифицирането има значение кой е сертифицирал – обикновено акредитиран орган за сертификация.
Поддръжка: който води доказателствата със срок на валидност на едно място, ги подновява навреме, вместо да установи едва при следващото запитване от клиент, че са остарели.
Въвеждане на доказателства във Vendo4u
Във Vendo4u доставчиците качват доказателствата непосредствено към съответния критерий – във формат PDF, JPG или PNG до 10 MB. За документи със срок на валидност платформата изпраща напомняне преди изтичането им. Документите са видими само за самата компания и за купувачи с платен план.
Източници
- Регламент (ЕС) 2016/679 (GDPR), чл. 28 и 32
- § 30 BSIG – мерки за управление на риска
- ISO/IEC 27001 – системи за управление на сигурността на информацията
Обща информация, а не правен съвет. Меродавен е текстът на закона в действащата му редакция.