Koje bi dokaze dobavljač trebao imati pripremljene?
Stanje:
Dobavljač bi za svaki zahtjev koji klijenti obično postavljaju trebao imati pri ruci aktualan dokaz: certifikate i revizijska izvješća za informacijsku sigurnost, ugovor o obradi te tehničke i organizacijske mjere za zaštitu podataka, planove za izvanredne situacije i kontinuitet za poslovanje te podatke o kvaliteti, financijama i održivosti. Koja područja to obuhvaća, pokazuje katalog platforme Vendo4u (kategorije: 10).
Zašto dokazi umjesto pukog samoiskaza
Kupci moraju moći obrazložiti svoj izbor dobavljača – internoj reviziji, nadzornim tijelima ili vlastitim klijentima. Označen odgovor bez dokaza pritom malo vrijedi. To posebno vrijedi ondje gdje zakon zahtijeva provjeru: kod izvršitelja obrade prema čl. 28. st. 1. GDPR-a (dovoljna jamstva) i u lancu opskrbe prema § 30. st. 2. BSIG-a.
Pregled područja
Katalog platforme Vendo4u razvrstava zahtjeve u kategorije (kategorije: 10, kriteriji ukupno: 69). U nastavku je opisano o čemu se radi u svakoj kategoriji; pojedinačni kriteriji prikazani su na stranici s kriterijima ocjenjivanja.
Proizvodi, usluge i kvaliteta · Broj kriterija: 8
Upravljanje kvalitetom, sukladnost sa zahtjevima te postupanje s nedostacima i reklamacijama.
Logistika i sposobnost isporuke · Broj kriterija: 7
Rokovi isporuke, uvjeti isporuke te sposobnost pouzdane i fleksibilne isporuke.
Komercijalni uvjeti · Broj kriterija: 6
Uvjeti plaćanja i isporuke te komercijalni okvir suradnje.
Tehnička sposobnost i kapaciteti · Broj kriterija: 4
Dubina proizvodnje, kapaciteti i razvojne kompetencije – uvelike specifično za djelatnost.
Informacijska sigurnost · Broj kriterija: 10
Tehničke i organizacijske mjere za zaštitu informacija.
Zaštita podataka (GDPR) · Broj kriterija: 8
Usklađenost s Općom uredbom EU-a o zaštiti podataka i povezanim propisima.
Financijska stabilnost i osiguranje · Broj kriterija: 6
Kreditna sposobnost, osiguravateljno pokriće i ekonomski pokazatelji.
Upravljanje rizicima i kontinuitet poslovanja · Broj kriterija: 8
Upravljanje izvanrednim situacijama, dostupnost i transparentnost o ovisnostima.
Održivost i usklađenost (ESG) · Broj kriterija: 10
Okoliš, društvo i upravljanje te dubinska analiza lanca opskrbe i usklađenost materijala.
Dodatni certifikati i standardi · Broj kriterija: 2
Dodatni industrijski i upravljački standardi s valjanim dokazima.
Tipični dokazi po području
Informacijska sigurnost: certifikat prema ISO/IEC 27001 zajedno s opsegom primjene, sažetak nedavnog penetracijskog testa, politike o zaštiti pristupa i višefaktorskoj autentifikaciji, opisan postupak upravljanja ranjivostima i zakrpama.
Zaštita podataka: ugovor o obradi prema čl. 28. GDPR-a, tehničke i organizacijske mjere prema čl. 32. GDPR-a, popis podizvršitelja obrade s mjestom obrade i, gdje je propisano, imenovanje službenika za zaštitu podataka.
Kontinuitet poslovanja: planovi za izvanredne situacije i oporavak, dokazi o testiranim sigurnosnim kopijama i, ako je primjenjivo, certifikacija prema ISO 22301.
Kvaliteta, okoliš i lanac opskrbe: certifikati prema ISO 9001 ili ISO 14001, kodeks ponašanja za dobavljače, izjava o načelima u pogledu ljudskih prava i okoliša, ESG ocjene.
Komercijalni podaci: izvadak iz trgovačkog registra, dokazi o osiguranju, primjerice od opće i kibernetičke odgovornosti, podaci o financijskoj stabilnosti.
Na što paziti kod dokaza
Valjanost: certifikati i izvješća imaju datum izdavanja, a često i datum isteka. Istekli dokaz klijentu ne vrijedi ništa.
Opseg primjene: certifikat dokazuje samo ono što je obuhvaćeno njegovim opsegom primjene. Ako ne pokriva uslugu koju klijent koristi, malo pomaže.
Izdavatelj: kod certifikacija važno je tko je certificirao – u pravilu akreditirano certifikacijsko tijelo.
Održavanje: tko dokaze s datumom isteka vodi na jednom mjestu, obnavlja ih na vrijeme, umjesto da tek pri sljedećem upitu klijenta primijeti da su zastarjeli.
Unos dokaza na platformi Vendo4u
Na platformi Vendo4u dobavljači učitavaju dokaze izravno uz odgovarajući kriterij – u formatu PDF, JPG ili PNG do 10 MB. Za dokumente s datumom isteka platforma šalje podsjetnik prije isteka. Dokumenti su vidljivi samo vlastitoj tvrtki i kupcima s plaćenim paketom.
Izvori
- Uredba (EU) 2016/679 (GDPR), članci 28. i 32.
- § 30. BSIG-a – mjere upravljanja rizicima
- ISO/IEC 27001 – sustavi upravljanja informacijskom sigurnošću
Opće informacije, a ne pravni savjet. Mjerodavan je zakonski tekst u verziji koja je trenutačno na snazi.