Mitä todisteita toimittajalla pitäisi olla valmiina?
Tilanne:
Toimittajalla pitäisi olla jokaista asiakkaiden tyypillisesti esittämää vaatimusta varten ajantasainen todiste saatavilla: sertifikaatit ja auditointiraportit tietoturvasta, tietojenkäsittelysopimus sekä tekniset ja organisatoriset toimenpiteet tietosuojasta, varautumis- ja jatkuvuussuunnitelmat toiminnasta sekä tiedot laadusta, taloudesta ja vastuullisuudesta. Mitä osa-alueita tämä kattaa, näkyy Vendo4u-alustan kriteeristöstä, jossa on 10 kategoriaa.
Miksi todisteita pelkän oman ilmoituksen sijaan
Ostajien on pystyttävä perustelemaan toimittajavalintansa – sisäiselle tarkastukselle, valvontaviranomaisille tai asiakkaille. Rastitettu vastaus ilman todistetta ei paina paljon. Tämä pätee erityisesti silloin, kun laki edellyttää tarkastusta: käsittelijöiden osalta GDPR:n 28 artiklan 1 kohdan mukaan (riittävät takeet) ja toimitusketjussa BSIG:n 30 §:n 2 momentin mukaan.
Osa-alueet lyhyesti
Vendo4u-alustan kriteeristö jakaa vaatimukset 10 kategoriaan, joissa on yhteensä 69 kriteeriä. Alla kerrotaan, mitä kukin kategoria käsittää; yksittäiset kriteerit ovat arviointikriteerien sivulla.
Tuotteet, palvelut ja laatu · 8 kriteeriä
Laadunhallinta, vaatimustenmukaisuus sekä virheiden ja reklamaatioiden käsittely.
Logistiikka ja toimituskyky · 7 kriteeriä
Toimitusajat, toimitusehdot sekä kyky toimittaa luotettavasti ja joustavasti.
Kaupalliset ehdot · 6 kriteeriä
Maksu- ja toimitusehdot sekä yhteistyön kaupalliset puitteet.
Tekninen kyvykkyys ja kapasiteetti · 4 kriteeriä
Valmistuksen syvyys, kapasiteetti ja kehitysosaaminen – pitkälti toimialakohtaisia.
Tietoturva · 10 kriteeriä
Tekniset ja organisatoriset toimenpiteet tietojen suojaamiseksi.
Tietosuoja (GDPR) · 8 kriteeriä
EU:n yleisen tietosuoja-asetuksen ja siihen liittyvien sääntöjen noudattaminen.
Taloudellinen vakaus ja vakuutukset · 6 kriteeriä
Luottokelpoisuus, vakuutusturva ja taloudelliset tunnusluvut.
Riskienhallinta ja toiminnan jatkuvuus · 8 kriteeriä
Varautuminen, saatavuus ja läpinäkyvyys riippuvuuksista.
Vastuullisuus ja vaatimustenmukaisuus (ESG) · 10 kriteeriä
Ympäristö, sosiaalinen vastuu ja hyvä hallintotapa sekä toimitusketjun huolellisuusvelvoite ja materiaalien vaatimustenmukaisuus.
Lisäsertifioinnit ja standardit · 2 kriteeriä
Täydentävät toimiala- ja hallintajärjestelmästandardit voimassa olevin todistein.
Tyypilliset todisteet osa-alueittain
Tietoturva: ISO/IEC 27001 -sertifikaatti soveltamisalaineen, tiivistelmä tuoreesta penetraatiotestistä, pääsynhallintaa ja monivaiheista tunnistautumista koskevat politiikat sekä kuvattu haavoittuvuuksien ja päivitysten hallintaprosessi.
Tietosuoja: GDPR:n 28 artiklan mukainen tietojenkäsittelysopimus, GDPR:n 32 artiklan mukaiset tekniset ja organisatoriset toimenpiteet, luettelo alikäsittelijöistä käsittelypaikkoineen sekä tietosuojavastaavan nimittäminen silloin, kun se on pakollista.
Toiminnan jatkuvuus: varautumis- ja palautumissuunnitelmat, todisteet testatuista varmuuskopioista ja soveltuvin osin ISO 22301 -sertifiointi.
Laatu, ympäristö ja toimitusketju: ISO 9001- tai ISO 14001 -sertifikaatit, toimittajien eettiset toimintaohjeet, ihmisoikeuksia ja ympäristöä koskeva periaatelausuma sekä ESG-luokitukset.
Kaupalliset tiedot: kaupparekisteriote, vakuutustodistukset esimerkiksi toiminnan vastuuvakuutuksesta ja kybervastuuvakuutuksesta sekä tiedot taloudellisesta vakaudesta.
Mikä todisteissa on ratkaisevaa
Voimassaolo: sertifikaateissa ja raporteissa on myöntämispäivä ja usein myös voimassaolon päättymispäivä. Vanhentunut todiste on asiakkaalle arvoton.
Soveltamisala: sertifikaatti kattaa vain sen, mikä kuuluu sen soveltamisalaan. Jos se ei kata asiakkaan hankkimaa palvelua, siitä on vain vähän apua.
Myöntäjä: sertifioinneissa ratkaisee, kuka on sertifioinut – yleensä akkreditoitu sertifiointielin.
Ylläpito: kun voimassaolon päättymispäivällä varustetut todisteet pidetään yhdessä paikassa, ne uusitaan ajoissa sen sijaan, että vasta seuraavan asiakaskyselyn yhteydessä huomattaisiin niiden vanhentuneen.
Todisteiden tallentaminen Vendo4u-alustalle
Vendo4u-alustalla toimittajat lataavat todisteet suoraan sopivan kriteerin kohdalle – PDF-, JPG- tai PNG-muodossa, enintään 10 Mt. Kun dokumentilla on voimassaolon päättymispäivä, alusta muistuttaa ennen sen vanhenemista. Dokumentit näkevät vain yritys itse ja ostajat, joilla on maksullinen käyttöoikeus.
Lähteet
- Asetus (EU) 2016/679 (GDPR), 28 ja 32 artikla
- BSIG:n 30 § – riskienhallintatoimenpiteet
- ISO/IEC 27001 – tietoturvallisuuden hallintajärjestelmät
Yleistä tietoa, ei oikeudellista neuvontaa. Ratkaiseva on kulloinkin voimassa oleva lakiteksti.