Milliseid tõendeid peaks tarnija valmis hoidma?
Seisuga:
Tarnijal peaks iga nõude kohta, mida kliendid tavaliselt esitavad, olema käepärast ajakohane tõend: infoturbe kohta sertifikaadid ja auditiaruanded, andmekaitse kohta andmetöötlusleping ning tehnilised ja korralduslikud meetmed, tegevuse kohta hädaolukorra- ja talitluspidevuse plaanid ning lisaks teave kvaliteedi, finantside ja jätkusuutlikkuse kohta. Milliseid valdkondi see hõlmab, näitab Vendo4u kataloog, milles on 10 kategooriat.
Miks tõendid, mitte pelgalt enesehinnang
Ostjad peavad suutma oma tarnijavalikut põhjendada – siseauditile, järelevalveasutustele või oma klientidele. Ristiga märgitud vastusel ilma tõendita on vähe kaalu. See kehtib eriti seal, kus seadus nõuab kontrolli: volitatud töötlejate puhul GDPR-i artikli 28 lõike 1 alusel (piisavad tagatised) ja tarneahelas BSIG § 30 lõike 2 alusel.
Valdkonnad ülevaatlikult
Vendo4u kataloog jagab nõuded 10 kategooriasse, milles on kokku 69 kriteeriumi. Allpool on kirjas, millest iga kategooria räägib; üksikud kriteeriumid on toodud hindamiskriteeriumide lehel.
Tooted, teenused ja kvaliteet · 8 kriteeriumi
Kvaliteedijuhtimine, nõuetele vastavus ning defektide ja reklamatsioonide käsitlemine.
Logistika ja tarnevõime · 7 kriteeriumi
Tarneajad, tarnetingimused ning võime tarnida usaldusväärselt ja paindlikult.
Ärilised tingimused · 6 kriteeriumi
Makse- ja tarnetingimused ning koostöö äriline raamistik.
Tehniline võimekus ja tootmisvõimsus · 4 kriteeriumi
Tootmise sügavus, tootmisvõimsus ja arenduskompetents – suuresti valdkonnaspetsiifiline.
Infoturve · 10 kriteeriumi
Tehnilised ja organisatsioonilised meetmed teabe kaitsmiseks.
Andmekaitse (GDPR) · 8 kriteeriumi
Vastavus ELi isikuandmete kaitse üldmäärusele ja sellega seonduvatele reeglitele.
Finantsstabiilsus ja kindlustus · 6 kriteeriumi
Krediidivõime, kindlustuskaitse ja majandusnäitajad.
Riskijuhtimine ja talitluspidevus · 8 kriteeriumi
Hädaolukordade haldus, käideldavus ja läbipaistvus sõltuvuste osas.
Jätkusuutlikkus ja vastavus (ESG) · 10 kriteeriumi
Keskkond, sotsiaalne vastutus ja hea juhtimistava ning tarneahela hoolsuskohustus ja materjalide vastavus.
Täiendavad sertifikaadid ja standardid · 2 kriteeriumi
Täiendavad valdkonna- ja juhtimisstandardid koos kehtivate tõenditega.
Tüüpilised tõendid valdkonniti
Infoturve: ISO/IEC 27001 sertifikaat koos kohaldamisalaga, hiljutise läbistustesti kokkuvõte, juurdepääsukaitse ja mitmikautentimise poliitikad, kirjeldatud turvanõrkuste ja turvapaikade haldamise protsess.
Andmekaitse: GDPR-i artikli 28 kohane andmetöötlusleping, GDPR-i artikli 32 kohased tehnilised ja korralduslikud meetmed, alltöötlejate loetelu koos töötlemiskohaga ning, kui see on nõutav, andmekaitseametniku määramine.
Talitluspidevus: hädaolukorra- ja taasteplaanid, tõendid testitud varukoopiate kohta ning vajaduse korral ISO 22301 sertifikaat.
Kvaliteet, keskkond ja tarneahel: ISO 9001 või ISO 14001 sertifikaadid, tarnijate käitumisjuhend, põhimõtete avaldus inimõiguste ja keskkonna kohta, ESG-hinnangud.
Äriline teave: äriregistri väljavõte, kindlustustõendid, näiteks tegevuse vastutuskindlustuse ja küberkindlustuse kohta, teave finantsstabiilsuse kohta.
Mis on tõendite puhul oluline
Kehtivus: sertifikaatidel ja aruannetel on väljaandmise kuupäev ja sageli ka aegumiskuupäev. Aegunud tõend on kliendi jaoks väärtusetu.
Kohaldamisala: sertifikaat tõendab ainult seda, mis on selle kohaldamisalas. Kui see ei hõlma teenust, mida klient kasutab, on sellest vähe abi.
Väljaandja: sertifitseerimise puhul on oluline, kes sertifitseeris – tavaliselt akrediteeritud sertifitseerimisasutus.
Haldamine: kes hoiab aegumiskuupäevaga tõendeid ühes kohas, uuendab need õigel ajal, selle asemel et alles järgmise kliendipäringu juures märgata, et need on aegunud.
Tõendite esitamine platvormil Vendo4u
Platvormil Vendo4u laadivad tarnijad tõendid üles otse sobiva kriteeriumi juurde – PDF-, JPG- või PNG-vormingus kuni 10 MB. Aegumiskuupäevaga dokumentide puhul tuletab platvorm enne aegumist meelde. Dokumente näevad ainult ettevõte ise ja tasulise paketiga ostjad.
Allikad
- Määrus (EL) 2016/679 (GDPR), artiklid 28 ja 32
- BSIG § 30 – riskijuhtimismeetmed
- ISO/IEC 27001 – infoturbe halduse süsteemid
Üldine teave, mitte õigusnõustamine. Määrav on seaduse tekst selle kehtivas redaktsioonis.