Jakie dowody powinien mieć przygotowane dostawca?
Stan na:
Dostawca powinien mieć pod ręką aktualny dowód dla każdego wymagania, które zwykle stawiają klienci: certyfikaty i raporty z audytów w zakresie bezpieczeństwa informacji, umowę powierzenia oraz środki techniczne i organizacyjne w zakresie ochrony danych, plany awaryjne i plany ciągłości działania dla operacji, a także informacje o jakości, finansach i zrównoważonym rozwoju. Jakie obszary to obejmuje, pokazuje katalog Vendo4u z 10 kategoriami.
Dlaczego dowody, a nie samo oświadczenie własne
Kupujący muszą umieć uzasadnić wybór dostawcy – przed audytem wewnętrznym, organami nadzoru lub klientami. Zaznaczona odpowiedź bez dowodu ma przy tym niewielką wagę. Dotyczy to zwłaszcza sytuacji, w których prawo wymaga weryfikacji: w przypadku podmiotów przetwarzających zgodnie z art. 28 ust. 1 RODO (wystarczające gwarancje) oraz w łańcuchu dostaw zgodnie z § 30 ust. 2 BSIG.
Obszary w skrócie
Katalog Vendo4u dzieli wymagania na kategorie (liczba kategorii: 10, łączna liczba kryteriów: 69). Poniżej opisano, czego dotyczy każda kategoria; poszczególne kryteria przedstawia strona z kryteriami oceny.
Produkty, usługi i jakość · Liczba kryteriów: 8
Zarządzanie jakością, zgodność z wymaganiami oraz obsługa wad i reklamacji.
Logistyka i zdolność dostaw · Liczba kryteriów: 7
Czasy realizacji, warunki dostawy oraz zdolność do niezawodnych i elastycznych dostaw.
Warunki handlowe · Liczba kryteriów: 6
Warunki płatności i dostawy oraz handlowe ramy współpracy.
Możliwości techniczne i zdolności produkcyjne · Liczba kryteriów: 4
Głębokość produkcji, zdolności produkcyjne i kompetencje rozwojowe – w dużej mierze specyficzne dla branży.
Bezpieczeństwo informacji · Liczba kryteriów: 10
Środki techniczne i organizacyjne służące ochronie informacji.
Ochrona danych (RODO) · Liczba kryteriów: 8
Zgodność z ogólnym rozporządzeniem UE o ochronie danych oraz powiązanymi przepisami.
Stabilność finansowa i ubezpieczenia · Liczba kryteriów: 6
Zdolność kredytowa, ochrona ubezpieczeniowa i wskaźniki ekonomiczne.
Zarządzanie ryzykiem i ciągłość działania · Liczba kryteriów: 8
Zarządzanie sytuacjami awaryjnymi, dostępność i przejrzystość w zakresie zależności.
Zrównoważony rozwój i zgodność (ESG) · Liczba kryteriów: 10
Środowisko, kwestie społeczne i ład korporacyjny oraz należyta staranność w łańcuchu dostaw i zgodność materiałowa.
Dodatkowe certyfikaty i standardy · Liczba kryteriów: 2
Dodatkowe standardy branżowe i zarządcze z ważnymi dowodami.
Typowe dowody w poszczególnych obszarach
Bezpieczeństwo informacji: certyfikat ISO/IEC 27001 wraz z zakresem, podsumowanie aktualnego testu penetracyjnego, polityki dotyczące ochrony dostępu i uwierzytelniania wieloskładnikowego, opisany proces zarządzania podatnościami i poprawkami.
Ochrona danych: umowa powierzenia zgodna z art. 28 RODO, środki techniczne i organizacyjne zgodnie z art. 32 RODO, lista dalszych podmiotów przetwarzających z miejscem przetwarzania oraz, tam gdzie jest to wymagane, wyznaczenie inspektora ochrony danych.
Ciągłość działania: plany awaryjne i plany przywracania działalności, dowody przetestowanych kopii zapasowych, w stosownych przypadkach certyfikacja ISO 22301.
Jakość, środowisko i łańcuch dostaw: certyfikaty ISO 9001 lub ISO 14001, kodeks postępowania dla dostawców, deklaracja zasad dotycząca praw człowieka i środowiska, oceny ESG.
Kwestie handlowe: odpis z rejestru handlowego, potwierdzenia ubezpieczenia, np. odpowiedzialności cywilnej z tytułu prowadzenia działalności i od ryzyk cybernetycznych, informacje o stabilności finansowej.
Na co zwracać uwagę przy dowodach
Ważność: certyfikaty i raporty mają datę wystawienia, a często także datę ważności. Dowód, który utracił ważność, jest dla klienta bezwartościowy.
Zakres: certyfikat potwierdza tylko to, co mieści się w jego zakresie. Jeśli nie obejmuje usługi, którą nabywa klient, niewiele pomaga.
Wystawca: w przypadku certyfikacji liczy się, kto certyfikował – zwykle akredytowana jednostka certyfikująca.
Utrzymanie: kto prowadzi dowody z datą ważności w jednym miejscu, odnawia je na czas, zamiast dopiero przy kolejnym zapytaniu klienta zauważyć, że są nieaktualne.
Zamieszczanie dowodów w Vendo4u
W Vendo4u dostawcy przesyłają dowody bezpośrednio przy odpowiednim kryterium – w formacie PDF, JPG lub PNG do 10 MB. W przypadku dokumentów z datą ważności platforma przypomina o nich przed jej upływem. Dokumenty są widoczne wyłącznie dla samej firmy oraz dla kupujących z płatnym dostępem.
Źródła
- Rozporządzenie (UE) 2016/679 (RODO), art. 28 i 32
- § 30 BSIG – środki zarządzania ryzykiem
- ISO/IEC 27001 – systemy zarządzania bezpieczeństwem informacji
Informacja ogólna, a nie porada prawna. Wiążący jest tekst ustawy w aktualnie obowiązującym brzmieniu.