Tietoturvakyselylomake vai jaettu toimittajaprofiili: kumpi sopii onboardingiin?

Hankinta lähettää kyselylomakkeensa, usein taulukkona tai oman portaalinsa kautta. Toimittaja vastaa siihen, etsii todisteet ja lähettää ne sähköpostitse. Sen jälkeen seuraa lisäkysymyksiä, puuttuvien asiakirjojen pyyntöjä ja muistutuksia, kunnes aineisto on täydellinen.

Toimittajalle tämä toistuu jokaisen asiakkaan kohdalla – samat kysymykset eri sanamuodoin. Hankinnalle eri toimittajien vastaukset ovat vaikeasti vertailtavia, koska kukin ymmärtää kysymykset hieman eri tavalla ja todisteet saapuvat eri muodoissa.

Jaetussa profiilissa kaikilla on yksi yhteinen kriteeristö. Toimittaja vastaa kuhunkin kriteeriin kerran ja lataa siihen liittyvän todisteen suoraan sen yhteyteen. Ostajat näkevät samat kriteerit samassa järjestyksessä, suodattavat vähimmäisvaatimustensa mukaan ja asettavat toimittajia rinnakkain.

Kun jokin muuttuu – sertifikaatti uusitaan tai uusi alikäsittelijä otetaan käyttöön –, toimittaja päivittää tiedon yhteen paikkaan. Kaikki oikeutetut ostajat näkevät sen jälkeen saman tilanteen.

Työmäärä: kyselylomake vie toimittajan aikaa uudelleen jokaisen asiakkaan kohdalla; profiili vie sitä kerran ja sen jälkeen vain muutosten yhteydessä.

Vertailtavuus: kyselylomakkeet vaihtelevat asiakkaasta toiseen; yhteinen kriteeristö tuottaa vastauksia identtisiin kysymyksiin.

Ajantasaisuus: täytetty kyselylomake on tilannekuva; ylläpidetty profiili näyttää ajantasaisen tilanteen, ja todisteita, joilla on voimassaolon päättymispäivä, voidaan seurata.

Todisteet: kyselylomakeprosessissa ne ovat hajallaan sähköpostilaatikoissa; profiilissa ne on liitetty siihen kriteeriin, jota ne koskevat.

Yksilölliset vaatimukset: tässä kyselylomake on vahvoilla – se kysyy juuri sitä, mitä asiakas haluaa tietää. Profiili tarvitsee tätä varten täydennyksen.

Erityisen kriittisten toimittajien kohdalla vakiokriteeristöön perustuva oma ilmoitus ei yleensä riitä. Toimialakohtaiset tarkastukset, sopimukselliset erityisvaatimukset tai paikan päällä tehtävä auditointi ovat silloin edelleen tarpeen. Myös oikeudellisen arvion – esimerkiksi siitä, antaako käsittelijä GDPR:n 28 artiklan 1 kohdan mukaiset riittävät takeet – tekee aina asiakas itse.

Työnjako on järkevä: jaettu profiili tarjoaa perustarkastuksen kaikille toimittajille, ja omat kysymykset sekä kohdennetut tarkastukset kattavat erityistarpeet. Vendo4u-alustalla ostajat, joilla on maksullinen käyttöoikeus, esittävät omat kysymyksensä erillään Trust-Scoresta; vastaukset näkyvät kyseisessä toimittajaprofiilissa.