Sikkerhedsspørgeskema eller delt leverandørprofil: Hvad passer til onboarding?

Indkøbsafdelingen sender sit spørgeskema ud, ofte som regneark eller via sin egen portal. Leverandøren besvarer det, finder dokumentation frem og sender den pr. e-mail. Derefter følger opfølgende spørgsmål, anmodninger om manglende dokumenter og rykkere, indtil sagen er komplet.

For leverandøren gentager det sig hos hver kunde – med andre formuleringer af de samme spørgsmål. For indkøbsafdelingen er svarene fra forskellige leverandører svære at sammenligne, fordi hver leverandør forstår spørgsmålene lidt forskelligt, og dokumentationen kommer i forskellige former.

Med en delt profil er der ét kriteriekatalog for alle. Leverandøren besvarer hvert kriterium én gang og uploader den tilhørende dokumentation direkte ved det. Indkøbere ser de samme kriterier i samme rækkefølge, filtrerer efter deres minimumskrav og stiller leverandører side om side.

Når noget ændrer sig – et certifikat fornyes, en underdatabehandler kommer til –, opdaterer leverandøren det ét sted. Alle berettigede indkøbere ser derefter den samme status.

Arbejdsindsats: Spørgeskemaet koster leverandøren tid igen ved hver kunde; profilen koster tid én gang og derefter kun ved ændringer.

Sammenlignelighed: Spørgeskemaer er forskellige fra kunde til kunde; et fælles kriteriekatalog giver svar på identiske spørgsmål.

Aktualitet: Et udfyldt spørgeskema er et øjebliksbillede; en vedligeholdt profil viser den aktuelle status, og dokumentation med udløbsdato kan følges op.

Dokumentation: I spørgeskemaprocessen ligger den spredt i forskellige indbakker; i profilen er den knyttet til det kriterium, den vedrører.

Individuelle krav: Her er spørgeskemaet stærkt – det spørger præcis om det, en kunde vil vide. En profil kræver et supplement til det.

For særligt kritiske leverandører er en egenerklæring efter et standardkatalog som regel ikke nok. Branchespecifikke kontroller, særlige kontraktkrav eller en audit på stedet er da fortsat nødvendige. Også den juridiske vurdering – f.eks. om en databehandler stiller tilstrækkelige garantier efter artikel 28, stk. 1, i GDPR – foretager kunden altid selv.

En arbejdsdeling giver mening: Den delte profil leverer basiskontrollen for alle leverandører, mens egne spørgsmål og målrettede kontroller dækker det særlige. På Vendo4u stiller indkøbere med betalt adgang deres egne spørgsmål adskilt fra Trust-Score; svarene vises i den pågældende leverandørprofil.