Beveiligingsvragenlijst of gedeeld leveranciersprofiel: wat past bij de onboarding?
Peildatum:
Een eigen beveiligingsvragenlijst past wanneer een klant zeer specifieke eisen stelt aan een klein aantal leveranciers. Voor de basiscontrole van veel leveranciers is een gedeeld profiel efficiënter: de leverancier onderhoudt gegevens en bewijsstukken eenmalig volgens een uniforme catalogus, en elke gemachtigde inkoper leest ze in dezelfde structuur. In de praktijk vullen beide elkaar aan – het profiel dekt de standaard af, eigen vragen het bijzondere.
Hoe het vragenlijstproces verloopt
De inkoopafdeling verstuurt haar vragenlijst, vaak als spreadsheet of via een eigen portaal. De leverancier beantwoordt die, zoekt bewijsstukken op en stuurt ze per e-mail. Daarna volgen vervolgvragen, verzoeken om ontbrekende documenten en herinneringen, tot het dossier compleet is.
Voor de leverancier herhaalt zich dit bij elke klant – met andere formuleringen voor dezelfde vragen. Voor de inkoop zijn de antwoorden van verschillende leveranciers moeilijk te vergelijken, omdat iedereen de vragen net iets anders opvat en de bewijsstukken in verschillende vormen binnenkomen.
Hoe een gedeeld profiel werkt
Bij een gedeeld profiel is er één catalogus voor iedereen. De leverancier beantwoordt elk criterium eenmalig en uploadt het passende bewijsstuk er direct bij. Inkopers zien dezelfde criteria in dezelfde volgorde, filteren op hun minimumeisen en zetten leveranciers naast elkaar.
Verandert er iets – een certificaat wordt verlengd, er komt een subverwerker bij –, dan werkt de leverancier dat op één plek bij. Alle gemachtigde inkopers zien daarna dezelfde stand van zaken.
De vergelijking in vijf punten
Inspanning: de vragenlijst kost de leverancier bij elke klant opnieuw tijd, het profiel eenmalig en daarna alleen nog bij wijzigingen.
Vergelijkbaarheid: vragenlijsten verschillen van klant tot klant; een gedeelde catalogus levert antwoorden op identieke vragen.
Actualiteit: een ingevulde vragenlijst is een momentopname; een onderhouden profiel toont de actuele stand, en bewijsstukken met een vervaldatum kunnen worden bewaakt.
Bewijsstukken: in het vragenlijstproces liggen ze verspreid over mailboxen; in het profiel hangen ze aan het criterium waarop ze betrekking hebben.
Individuele eisen: hier is de vragenlijst sterk – ze vraagt precies wat een klant wil weten. Een profiel heeft hiervoor een aanvulling nodig.
Wanneer een eigen vragenlijst toch nodig is
Voor bijzonder kritieke leveranciers volstaat een zelfopgave volgens een standaardcatalogus meestal niet. Sectorspecifieke beoordelingen, bijzondere contractuele eisen of een audit ter plaatse blijven dan nodig. Ook de juridische beoordeling – bijvoorbeeld of een verwerker afdoende garanties biedt in de zin van artikel 28, lid 1, AVG – maakt altijd de opdrachtgever zelf.
Beide combineren
Een taakverdeling ligt voor de hand: het gedeelde profiel levert de basiscontrole voor alle leveranciers, eigen vragen en gerichte beoordelingen dekken het bijzondere af. Op Vendo4u stellen inkopers met betaalde toegang hun eigen vragen los van de Trust-Score; de antwoorden verschijnen in het betreffende leveranciersprofiel.
Bronnen
Algemene informatie, geen juridisch advies. Bepalend is de wettekst in de geldende versie.