Kwestionariusz bezpieczeństwa czy wspólny profil dostawcy: co sprawdza się przy onboardingu?
Stan na:
Własny kwestionariusz bezpieczeństwa sprawdza się, gdy klient ma bardzo specyficzne wymagania wobec niewielu dostawców. Przy podstawowej weryfikacji wielu dostawców wspólny profil jest bardziej efektywny: dostawca raz prowadzi informacje i dowody według jednolitego katalogu, a każdy uprawniony kupujący odczytuje je w tej samej strukturze. W praktyce oba rozwiązania się uzupełniają – profil obejmuje standard, własne pytania to, co szczególne.
Jak przebiega proces z kwestionariuszem
Dział zakupów wysyła swój kwestionariusz, często jako arkusz kalkulacyjny lub przez własny portal. Dostawca go wypełnia, wyszukuje dowody i przesyła je e-mailem. Następują pytania uzupełniające, żądania brakujących dokumentów i przypomnienia, aż akta będą kompletne.
Dla dostawcy powtarza się to przy każdym kliencie – z innymi sformułowaniami tych samych pytań. Dla działu zakupów odpowiedzi różnych dostawców są trudne do porównania, ponieważ każdy rozumie pytania nieco inaczej, a dowody docierają w różnej formie.
Jak działa wspólny profil
We wspólnym profilu istnieje jeden katalog dla wszystkich. Dostawca odpowiada na każde kryterium raz i przesyła bezpośrednio do niego odpowiedni dowód. Kupujący widzą te same kryteria w tej samej kolejności, filtrują według swoich wymagań minimalnych i zestawiają dostawców obok siebie.
Gdy coś się zmienia – certyfikat zostaje odnowiony, dochodzi dalszy podmiot przetwarzający – dostawca aktualizuje to w jednym miejscu. Wszyscy uprawnieni kupujący widzą następnie ten sam stan.
Porównanie w pięciu punktach
Nakład pracy: kwestionariusz kosztuje dostawcę czas przy każdym kliencie od nowa, profil – raz, a potem już tylko przy zmianach.
Porównywalność: kwestionariusze różnią się w zależności od klienta; wspólny katalog dostarcza odpowiedzi na identyczne pytania.
Aktualność: wypełniony kwestionariusz to migawka; prowadzony profil pokazuje aktualny stan, a dowody z datą ważności można monitorować.
Dowody: w procesie z kwestionariuszem są rozproszone po skrzynkach pocztowych; w profilu są przypisane do kryterium, którego dotyczą.
Wymagania indywidualne: tu kwestionariusz jest mocny – pyta dokładnie o to, co chce wiedzieć dany klient. Profil wymaga w tym zakresie uzupełnienia.
Kiedy własny kwestionariusz jest mimo to potrzebny
W przypadku szczególnie krytycznych dostawców oświadczenie własne według standardowego katalogu zwykle nie wystarcza. Konieczne pozostają wtedy weryfikacje branżowe, szczególne wymagania umowne lub audyt na miejscu. Również ocenę prawną – np. czy podmiot przetwarzający zapewnia wystarczające gwarancje w rozumieniu art. 28 ust. 1 RODO – zawsze przeprowadza sam zleceniodawca.
Połączenie obu rozwiązań
Sensowny jest podział pracy: wspólny profil zapewnia podstawową weryfikację wszystkich dostawców, a własne pytania i ukierunkowane kontrole obejmują to, co szczególne. W Vendo4u kupujący z płatnym dostępem zadają własne pytania niezależnie od Trust-Score; odpowiedzi pojawiają się w danym profilu dostawcy.
Źródła
Informacja ogólna, a nie porada prawna. Wiążący jest tekst ustawy w aktualnie obowiązującym brzmieniu.