Kokius įrodymus turėtų turėti tiekėjas?
Atnaujinta:
Kiekvienam reikalavimui, kurį klientai paprastai kelia, tiekėjas turėtų turėti po ranka aktualų įrodymą: sertifikatus ir audito ataskaitas informacijos saugumui, duomenų tvarkymo sutartį ir technines bei organizacines priemones duomenų apsaugai, avarinius ir veiklos tęstinumo planus veiklai, taip pat informaciją apie kokybę, finansus ir tvarumą. Kokias sritis tai apima, rodo Vendo4u katalogas (kategorijų: 10).
Kodėl įrodymai, o ne vien savideklaracija
Pirkėjai turi gebėti pagrįsti savo tiekėjų pasirinkimą – vidaus auditui, priežiūros institucijoms ar savo klientams. Pažymėtas atsakymas be įrodymo turi mažai svorio. Tai ypač svarbu ten, kur įstatymas reikalauja patikrinimo: duomenų tvarkytojų atveju pagal BDAR 28 straipsnio 1 dalį (pakankamos garantijos) ir tiekimo grandinėje pagal BSIG 30 § 2 dalį.
Sritys trumpai
Vendo4u kataloge reikalavimai suskirstyti į kategorijas (kategorijų – 10, kriterijų iš viso – 69). Žemiau aprašyta, kam skirta kiekviena kategorija; atskiri kriterijai pateikti vertinimo kriterijų puslapyje.
Produktai, paslaugos ir kokybė · Kriterijų: 8
Kokybės vadyba, atitiktis reikalavimams ir defektų bei reklamacijų valdymas.
Logistika ir tiekimo pajėgumas · Kriterijų: 7
Pristatymo terminai, sąlygos ir gebėjimas patikimai bei lanksčiai tiekti.
Komercinės sąlygos · Kriterijų: 6
Apmokėjimo ir pristatymo sąlygos bei komercinis bendradarbiavimo pagrindas.
Techniniai gebėjimai ir pajėgumas · Kriterijų: 4
Gamybos gylis, pajėgumai ir kūrimo kompetencija – daugiausia priklauso nuo pramonės šakos.
Informacijos saugumas · Kriterijų: 10
Techninės ir organizacinės priemonės informacijai apsaugoti.
Duomenų apsauga (BDAR) · Kriterijų: 8
Atitiktis ES Bendrajam duomenų apsaugos reglamentui ir susijusioms taisyklėms.
Finansinis stabilumas ir draudimas · Kriterijų: 6
Kreditingumas, draudimo apsauga ir ekonominiai rodikliai.
Rizikos valdymas ir veiklos tęstinumas · Kriterijų: 8
Nenumatytų atvejų valdymas, prieinamumas ir priklausomybių skaidrumas.
Tvarumas ir atitiktis (ESG) · Kriterijų: 10
Aplinka, socialiniai aspektai, valdysena bei tiekimo grandinės deramas patikrinimas ir medžiagų atitiktis.
Papildomi sertifikatai ir standartai · Kriterijų: 2
Papildomi pramonės ir vadybos standartai su galiojančiais įrodymais.
Įprasti įrodymai pagal sritis
Informacijos saugumas: ISO/IEC 27001 sertifikatas su jo taikymo sritimi, neseniai atlikto įsibrovimo testo santrauka, prieigos apsaugos ir kelių veiksnių autentifikavimo politikos, aprašytas pažeidžiamumų ir pataisų valdymas.
Duomenų apsauga: duomenų tvarkymo sutartis pagal BDAR 28 straipsnį, techninės ir organizacinės priemonės pagal BDAR 32 straipsnį, subtvarkytojų sąrašas su duomenų tvarkymo vieta ir, kai privaloma, duomenų apsaugos pareigūno paskyrimas.
Veiklos tęstinumas: avariniai ir veiklos atkūrimo planai, išbandytų atsarginių kopijų įrodymai ir, jei taikoma, ISO 22301 sertifikatas.
Kokybė, aplinka ir tiekimo grandinė: ISO 9001 arba ISO 14001 sertifikatai, tiekėjų elgesio kodeksas, principų pareiškimas dėl žmogaus teisių ir aplinkos, ESG vertinimai.
Komercinė informacija: išrašas iš prekybos registro, draudimo įrodymai, pavyzdžiui, civilinės atsakomybės ir kibernetinių rizikų draudimo, informacija apie finansinį stabilumą.
Į ką atsižvelgti vertinant įrodymus
Galiojimas: sertifikatuose ir ataskaitose nurodoma išdavimo data, dažnai ir galiojimo pabaigos data. Nebegaliojantis įrodymas klientui yra bevertis.
Taikymo sritis: sertifikatas patvirtina tik tai, kas patenka į jo taikymo sritį. Jei jis neapima paslaugos, kurią gauna klientas, nauda menka.
Išdavėjas: sertifikavimo atveju svarbu, kas sertifikavo – paprastai akredituota sertifikavimo įstaiga.
Priežiūra: kas įrodymus su galiojimo pabaigos data tvarko vienoje vietoje, tas juos atnaujina laiku, užuot tik gavęs kitą kliento užklausą pastebėjęs, kad jie pasenę.
Įrodymų pateikimas Vendo4u
Vendo4u platformoje tiekėjai įkelia įrodymus tiesiai prie atitinkamo kriterijaus – PDF, JPG arba PNG formatu iki 10 MB. Apie dokumentus su galiojimo pabaigos data platforma primena prieš jiems nustojant galioti. Dokumentai matomi tik pačiai įmonei ir mokamą planą turintiems pirkėjams.
Šaltiniai
- Reglamentas (ES) 2016/679 (BDAR), 28 ir 32 straipsniai
- BSIG 30 § – rizikos valdymo priemonės
- ISO/IEC 27001 – informacijos saugumo valdymo sistemos
Bendro pobūdžio informacija, ne teisinė konsultacija. Lemiamą reikšmę turi galiojančios redakcijos įstatymo tekstas.