Hvilken dokumentation bør en leverandør have klar?
Status:
En leverandør bør have aktuel dokumentation klar for hvert krav, som kunder typisk stiller: certifikater og auditrapporter for informationssikkerheden, databehandleraftale og tekniske og organisatoriske foranstaltninger for databeskyttelsen, beredskabs- og kontinuitetsplaner for driften samt oplysninger om kvalitet, økonomi og bæredygtighed. Hvilke områder det omfatter, fremgår af kriteriekataloget på Vendo4u med 10 kategorier.
Hvorfor dokumentation i stedet for blot en egenerklæring
Indkøbere skal kunne begrunde deres valg af leverandør – over for intern revision, tilsynsmyndigheder eller kunder. Et afkrydset svar uden dokumentation vejer ikke meget. Det gælder især, hvor loven kræver en kontrol: ved databehandlere efter artikel 28, stk. 1, i GDPR (tilstrækkelige garantier) og i forsyningskæden efter § 30, stk. 2, i BSIG.
Områderne i overblik
Kriteriekataloget på Vendo4u inddeler kravene i 10 kategorier med i alt 69 kriterier. Her kan du se, hvad hver kategori handler om; de enkelte kriterier fremgår af siden med vurderingskriterierne.
Produkter, ydelser og kvalitet · 8 kriterier
Kvalitetsstyring, opfyldelse af krav samt håndtering af fejl og reklamationer.
Logistik og leveringsevne · 7 kriterier
Leveringstider, leveringsbetingelser og evnen til at levere pålideligt og fleksibelt.
Kommercielle betingelser · 6 kriterier
Betalings- og leveringsbetingelser samt de kommercielle rammer for samarbejdet.
Teknisk formåen og kapacitet · 4 kriterier
Produktionsdybde, kapacitet og udviklingskompetence – i høj grad branchespecifik.
Informationssikkerhed · 10 kriterier
Tekniske og organisatoriske foranstaltninger til beskyttelse af information.
Databeskyttelse (GDPR) · 8 kriterier
Overholdelse af EU's databeskyttelsesforordning (GDPR) og tilknyttede regler.
Finansiel stabilitet og forsikring · 6 kriterier
Kreditværdighed, forsikringsdækning og økonomiske nøgletal.
Risikostyring og driftskontinuitet · 8 kriterier
Beredskabsstyring, tilgængelighed og gennemsigtighed om afhængigheder.
Bæredygtighed og compliance (ESG) · 10 kriterier
Miljø, sociale forhold og god selskabsledelse samt due diligence i leverandørkæden og overholdelse af materialekrav.
Yderligere certificeringer og standarder · 2 kriterier
Yderligere branche- og ledelsesstandarder med gyldig dokumentation.
Typisk dokumentation pr. område
Informationssikkerhed: et certifikat efter ISO/IEC 27001 inklusive anvendelsesområde, sammendraget af en nylig penetrationstest, politikker for adgangsbeskyttelse og multifaktorautentificering, en beskrevet proces for sårbarheds- og patchstyring.
Databeskyttelse: databehandleraftalen efter artikel 28 i GDPR, de tekniske og organisatoriske foranstaltninger efter artikel 32 i GDPR, listen over underdatabehandlere med behandlingssted og, hvor det er påkrævet, udpegningen af en databeskyttelsesrådgiver.
Driftskontinuitet: beredskabs- og reetableringsplaner, dokumentation for testede sikkerhedskopier og eventuelt en certificering efter ISO 22301.
Kvalitet, miljø og forsyningskæde: certifikater efter ISO 9001 eller ISO 14001, et adfærdskodeks for leverandører, en principerklæring om menneskerettigheder og miljø, ESG-ratings.
Kommercielt: udskrift fra handelsregistret, forsikringsbeviser, f.eks. for erhvervs- og cyberansvarsforsikring, oplysninger om den finansielle stabilitet.
Hvad der er afgørende for dokumentationen
Gyldighed: Certifikater og rapporter har en udstedelsesdato og ofte en udløbsdato. Udløbet dokumentation er værdiløs for kunden.
Anvendelsesområde: Et certifikat dækker kun det, der ligger inden for dets anvendelsesområde. Dækker det ikke den ydelse, kunden køber, hjælper det kun lidt.
Udsteder: Ved certificeringer er det afgørende, hvem der har certificeret – som regel et akkrediteret certificeringsorgan.
Vedligeholdelse: Den, der fører dokumentation med udløbsdato ét sted, fornyer den i tide i stedet for først ved næste kundeforespørgsel at opdage, at den er forældet.
Læg dokumentation ind på Vendo4u
På Vendo4u uploader leverandører dokumentation direkte ved det relevante kriterium – som PDF, JPG eller PNG på op til 10 MB. For dokumenter med udløbsdato sender platformen en påmindelse, inden de udløber. Dokumenterne kan kun ses af virksomheden selv og af indkøbere med betalt adgang.
Kilder
- Forordning (EU) 2016/679 (GDPR), artikel 28 og 32
- § 30 i BSIG – risikostyringsforanstaltninger
- ISO/IEC 27001 – ledelsessystemer for informationssikkerhed
Generel information, ikke juridisk rådgivning. Det er lovteksten i den til enhver tid gældende affattelse, der er afgørende.