Que comprovativos deve um fornecedor ter disponíveis?

Os compradores têm de poder justificar a escolha dos seus fornecedores – perante a auditoria interna, as autoridades de supervisão ou os seus próprios clientes. Uma resposta assinalada sem comprovativo pesa pouco. Isto aplica-se especialmente quando a lei exige uma verificação: nos subcontratantes, nos termos do art. 28.º, n.º 1, do RGPD (garantias suficientes), e na cadeia de abastecimento, nos termos do § 30, n.º 2, da BSIG.

Segurança da informação: um certificado ISO/IEC 27001 com o respetivo âmbito, o resumo de um teste de intrusão recente, políticas de proteção de acessos e de autenticação multifator, um processo documentado de gestão de vulnerabilidades e de correções.

Proteção de dados: o contrato de subcontratação nos termos do art. 28.º do RGPD, as medidas técnicas e organizativas nos termos do art. 32.º do RGPD, a lista de subcontratantes ulteriores com o local do tratamento e, quando obrigatório, a designação de um encarregado da proteção de dados.

Continuidade do negócio: planos de emergência e de recuperação, comprovativos de cópias de segurança testadas e, se aplicável, uma certificação ISO 22301.

Qualidade, ambiente e cadeia de abastecimento: certificados ISO 9001 ou ISO 14001, um código de conduta para fornecedores, uma declaração de princípios sobre direitos humanos e ambiente, classificações ESG.

Aspetos comerciais: certidão do registo comercial, comprovativos de seguro, por exemplo de responsabilidade civil geral e cibernética, informações sobre a estabilidade financeira.

Validade: os certificados e relatórios têm uma data de emissão e, muitas vezes, uma data de validade. Um comprovativo expirado não tem valor para o cliente.

Âmbito: um certificado só comprova o que se inclui no seu âmbito. Se não abranger o serviço que o cliente contrata, pouco ajuda.

Emitente: nas certificações, conta quem certificou – em regra, um organismo de certificação acreditado.

Manutenção: quem gere os comprovativos com data de validade num único local renova-os a tempo, em vez de só se aperceber, no próximo pedido de um cliente, de que estão desatualizados.

Na Vendo4u, os fornecedores carregam os comprovativos diretamente no critério correspondente – em PDF, JPG ou PNG até 10 MB. Para documentos com data de validade, a plataforma envia um lembrete antes de expirarem. Os documentos só são visíveis para a própria empresa e para compradores com um plano pago.