Welke bewijsstukken moet een leverancier paraat hebben?

Inkopers moeten hun leverancierskeuze kunnen verantwoorden – tegenover de interne audit, toezichthouders of hun eigen klanten. Een aangevinkt antwoord zonder bewijs heeft daarbij weinig gewicht. Dat geldt vooral waar de wet een controle vereist: bij verwerkers op grond van artikel 28, lid 1, AVG (afdoende garanties) en in de toeleveringsketen op grond van § 30, lid 2, BSIG.

Informatiebeveiliging: een ISO/IEC 27001-certificaat inclusief toepassingsgebied, de samenvatting van een recente penetratietest, richtlijnen voor toegangsbeveiliging en multifactorauthenticatie, een beschreven proces voor kwetsbaarheden- en patchbeheer.

Gegevensbescherming: de verwerkersovereenkomst op grond van artikel 28 AVG, de technische en organisatorische maatregelen op grond van artikel 32 AVG, de lijst van subverwerkers met de plaats van verwerking en, waar verplicht, de aanwijzing van een functionaris voor gegevensbescherming.

Bedrijfscontinuïteit: nood- en herstelplannen, bewijs van geteste back-ups en in voorkomend geval een certificering volgens ISO 22301.

Kwaliteit, milieu en toeleveringsketen: certificaten volgens ISO 9001 of ISO 14001, een gedragscode voor leveranciers, een beleidsverklaring over mensenrechten en milieu, ESG-ratings.

Commercieel: een uittreksel uit het handelsregister, verzekeringsbewijzen, bijvoorbeeld voor bedrijfs- en cyberaansprakelijkheid, gegevens over de financiële stabiliteit.

Geldigheid: certificaten en rapporten hebben een uitgiftedatum en vaak een vervaldatum. Een verlopen bewijsstuk is voor de klant waardeloos.

Toepassingsgebied: een certificaat dekt alleen wat binnen het toepassingsgebied valt. Dekt het de dienst die de klant afneemt niet, dan helpt het weinig.

Uitgever: bij certificeringen telt wie heeft gecertificeerd – doorgaans een geaccrediteerde certificatie-instelling.

Onderhoud: wie bewijsstukken met een vervaldatum op één plek bijhoudt, verlengt ze op tijd, in plaats van pas bij de volgende klantvraag te merken dat ze verouderd zijn.

Op Vendo4u uploaden leveranciers bewijsstukken direct bij het passende criterium – als PDF, JPG of PNG tot 10 MB. Voor documenten met een vervaldatum stuurt het platform vóór het verlopen een herinnering. De documenten zijn alleen zichtbaar voor het eigen bedrijf en voor inkopers met betaalde toegang.