Milyen bizonyítékokat kell egy beszállítónak készenlétben tartania?
Állapot:
Egy beszállítónak érdemes minden olyan követelményhez, amelyet az ügyfelek jellemzően támasztanak, naprakész igazolást kéznél tartania: tanúsítványokat és auditjelentéseket az információbiztonsághoz, adatfeldolgozói szerződést, valamint technikai és szervezési intézkedéseket az adatvédelemhez, vészhelyzeti és folytonossági terveket az üzemeltetéshez, továbbá a minőségre, a pénzügyekre és a fenntarthatóságra vonatkozó adatokat. Hogy ez mely területeket öleli fel, azt a Vendo4u 10 kategóriát tartalmazó katalógusa mutatja.
Miért bizonyítékok, és nem puszta önbevallás
A beszerzőknek meg kell tudniuk indokolni beszállítóválasztásukat – a belső ellenőrzés, a felügyeleti hatóságok vagy saját ügyfeleik felé. Egy bizonyíték nélkül bejelölt válasznak ilyenkor kevés a súlya. Ez különösen ott érvényes, ahol a jogszabály ellenőrzést ír elő: az adatfeldolgozóknál a GDPR 28. cikk (1) bekezdése szerint (megfelelő garanciák) és az ellátási láncban a BSIG 30. § (2) bekezdése szerint.
A területek áttekintése
A Vendo4u katalógusa a követelményeket 10 kategóriába sorolja, összesen 69 kritériummal. Alább kategóriánként olvasható, miről szólnak; az egyes kritériumokat az értékelési kritériumok oldala sorolja fel.
Termékek, szolgáltatások és minőség · 8 kritérium
Minőségirányítás, a követelményeknek való megfelelés, valamint a hibák és reklamációk kezelése.
Logisztika és szállítási képesség · 7 kritérium
Átfutási idők, szállítási feltételek, valamint a megbízható és rugalmas szállítás képessége.
Kereskedelmi feltételek · 6 kritérium
Fizetési és szállítási feltételek, valamint az együttműködés kereskedelmi keretei.
Műszaki képesség és kapacitás · 4 kritérium
Gyártási mélység, kapacitás és fejlesztési kompetencia – nagyrészt iparágspecifikus.
Információbiztonság · 10 kritérium
Az információk védelmét szolgáló technikai és szervezési intézkedések.
Adatvédelem (GDPR) · 8 kritérium
Az EU általános adatvédelmi rendeletének (GDPR) és a kapcsolódó szabályoknak való megfelelés.
Pénzügyi stabilitás és biztosítás · 6 kritérium
Hitelképesség, biztosítási fedezet és gazdasági mutatók.
Kockázatkezelés és üzletmenet-folytonosság · 8 kritérium
Vészhelyzet-kezelés, rendelkezésre állás és a függőségek átláthatósága.
Fenntarthatóság és megfelelőség (ESG) · 10 kritérium
Környezet, társadalom, irányítás, valamint az ellátási lánc átvilágítása és az anyagmegfelelőség.
További tanúsítványok és szabványok · 2 kritérium
További iparági és irányítási szabványok érvényes bizonyítékokkal.
Jellemző bizonyítékok területenként
Információbiztonság: ISO/IEC 27001 szerinti tanúsítvány a hatókörével együtt, egy friss behatolásteszt összefoglalója, a hozzáférés-védelemre és a többtényezős hitelesítésre vonatkozó szabályzatok, dokumentált sérülékenység- és javítócsomag-kezelés.
Adatvédelem: a GDPR 28. cikke szerinti adatfeldolgozói szerződés, a GDPR 32. cikke szerinti technikai és szervezési intézkedések, a további adatfeldolgozók listája az adatfeldolgozás helyével, valamint – ahol előírt – az adatvédelmi tisztviselő kijelölése.
Üzletmenet-folytonosság: vészhelyzeti és helyreállítási tervek, a tesztelt adatmentések igazolása, adott esetben ISO 22301 szerinti tanúsítás.
Minőség, környezet és ellátási lánc: ISO 9001 vagy ISO 14001 szerinti tanúsítványok, beszállítói magatartási kódex, emberi jogi és környezetvédelmi alapelvekről szóló nyilatkozat, ESG-minősítések.
Kereskedelmi adatok: cégkivonat, biztosítási igazolások, például általános és kiber-felelősségbiztosításról, a pénzügyi stabilitásra vonatkozó adatok.
Mire kell figyelni a bizonyítékoknál
Érvényesség: a tanúsítványokon és jelentéseken szerepel a kiállítás dátuma, gyakran a lejárat dátuma is. Egy lejárt bizonyíték az ügyfél számára értéktelen.
Hatókör: egy tanúsítvány csak azt igazolja, ami a hatókörébe tartozik. Ha nem fedi le az ügyfél által igénybe vett szolgáltatást, keveset ér.
Kiállító: tanúsításoknál számít, ki tanúsított – általában egy akkreditált tanúsító szervezet.
Karbantartás: aki a lejárati dátummal rendelkező bizonyítékokat egy helyen kezeli, időben megújítja azokat, ahelyett hogy csak a következő ügyfélmegkeresésnél venné észre, hogy elavultak.
Bizonyítékok rögzítése a Vendo4u platformon
A Vendo4u platformon a beszállítók a bizonyítékokat közvetlenül a megfelelő kritériumnál töltik fel – PDF, JPG vagy PNG formátumban, legfeljebb 10 MB méretben. A lejárati dátummal rendelkező dokumentumok esetében a platform a lejárat előtt emlékeztetőt küld. A dokumentumok csak maga a cég és a fizetős csomaggal rendelkező beszerzők számára láthatók.
Források
- (EU) 2016/679 rendelet (GDPR), 28. és 32. cikk
- BSIG 30. § – kockázatkezelési intézkedések
- ISO/IEC 27001 – információbiztonsági irányítási rendszerek
Általános tájékoztatás, nem jogi tanácsadás. Mindig a jogszabály hatályos szövege az irányadó.