Jaké doklady by měl mít dodavatel připravené?
Stav k:
Dodavatel by měl mít pro každý požadavek, který zákazníci obvykle kladou, po ruce aktuální doklad: certifikáty a zprávy z auditů pro informační bezpečnost, zpracovatelskou smlouvu a technická a organizační opatření pro ochranu osobních údajů, havarijní plány a plány kontinuity pro provoz a také údaje o kvalitě, financích a udržitelnosti. Jaké oblasti to zahrnuje, ukazuje katalog Vendo4u s 10 kategoriemi.
Proč doklady, a ne pouhé vlastní prohlášení
Nákupčí musí umět svůj výběr dodavatele zdůvodnit – vůči internímu auditu, dozorovým úřadům nebo zákazníkům. Zaškrtnutá odpověď bez dokladu přitom má malou váhu. To platí zejména tam, kde zákon vyžaduje prověření: u zpracovatelů podle čl. 28 odst. 1 GDPR (dostatečné záruky) a v dodavatelském řetězci podle § 30 odst. 2 BSIG.
Přehled oblastí
Katalog Vendo4u člení požadavky do 10 kategorií s celkem 69 kritérii. Zde je uvedeno, čeho se každá kategorie týká; jednotlivá kritéria ukazuje stránka s kritérii hodnocení.
Produkty, služby a kvalita · Počet kritérií: 8
Řízení kvality, shoda s požadavky a řešení vad a reklamací.
Logistika a dodavatelská schopnost · Počet kritérií: 7
Dodací lhůty, dodací podmínky a schopnost dodávat spolehlivě a flexibilně.
Obchodní podmínky · Počet kritérií: 6
Platební a dodací podmínky a obchodní rámec spolupráce.
Technická způsobilost a kapacita · Počet kritérií: 4
Hloubka výroby, kapacita a vývojová kompetence – převážně specifické podle oboru.
Informační bezpečnost · Počet kritérií: 10
Technická a organizační opatření k ochraně informací.
Ochrana osobních údajů (GDPR) · Počet kritérií: 8
Soulad s obecným nařízením EU o ochraně osobních údajů a souvisejícími pravidly.
Finanční stabilita a pojištění · Počet kritérií: 6
Bonita, pojistné krytí a ekonomické ukazatele.
Řízení rizik a kontinuita podnikání · Počet kritérií: 8
Řízení mimořádných situací, dostupnost a transparentnost ohledně závislostí.
Udržitelnost a compliance (ESG) · Počet kritérií: 10
Životní prostředí, sociální oblast, správa a řízení plus náležitá péče v dodavatelském řetězci a shoda materiálů.
Další certifikace a normy · Počet kritérií: 2
Další oborové a manažerské normy s platnými doklady.
Typické doklady podle oblastí
Informační bezpečnost: certifikát podle ISO/IEC 27001 včetně rozsahu platnosti, shrnutí aktuálního penetračního testu, směrnice k ochraně přístupu a vícefaktorové autentizaci, popsané řízení zranitelností a záplat.
Ochrana osobních údajů: zpracovatelská smlouva podle čl. 28 GDPR, technická a organizační opatření podle čl. 32 GDPR, seznam subzpracovatelů s místem zpracování a tam, kde je to předepsáno, jmenování pověřence pro ochranu osobních údajů.
Kontinuita provozu: havarijní plány a plány obnovy, doklady o testovaném zálohování, případně certifikace podle ISO 22301.
Kvalita, životní prostředí a dodavatelský řetězec: certifikáty podle ISO 9001 nebo ISO 14001, kodex chování pro dodavatele, prohlášení o zásadách v oblasti lidských práv a životního prostředí, hodnocení ESG.
Obchodní záležitosti: výpis z obchodního rejstříku, doklady o pojištění, například provozní odpovědnosti a kybernetických rizik, údaje o finanční stabilitě.
Na čem u dokladů záleží
Platnost: certifikáty a zprávy nesou datum vystavení a často i datum konce platnosti. Doklad s prošlou platností je pro zákazníka bezcenný.
Rozsah platnosti: certifikát dokládá pouze to, co je uvedeno v jeho rozsahu. Nepokrývá-li službu, kterou zákazník odebírá, příliš nepomůže.
Vydavatel: u certifikací záleží na tom, kdo certifikoval – zpravidla akreditovaný certifikační orgán.
Údržba: kdo vede doklady s datem platnosti na jednom místě, obnoví je včas, místo aby až při další poptávce zákazníka zjistil, že jsou zastaralé.
Zadávání dokladů na Vendo4u
Na Vendo4u nahrávají dodavatelé doklady přímo u příslušného kritéria – ve formátu PDF, JPG nebo PNG do 10 MB. U dokumentů s datem platnosti platforma před jejím vypršením připomene. Dokumenty vidí pouze samotná firma a nákupčí s placeným tarifem.
Zdroje
- Nařízení (EU) 2016/679 (GDPR), čl. 28 a 32
- § 30 BSIG – opatření k řízení rizik
- ISO/IEC 27001 – systémy řízení bezpečnosti informací
Obecné informace, nikoli právní poradenství. Rozhodující je text zákona v aktuálně platném znění.