Ce dovezi ar trebui să aibă pregătite un furnizor?
Actualizat:
Pentru fiecare cerință pe care clienții o formulează de obicei, un furnizor ar trebui să aibă la îndemână o dovadă actuală: certificate și rapoarte de audit pentru securitatea informației, acordul de prelucrare a datelor și măsurile tehnice și organizatorice pentru protecția datelor, planuri de urgență și de continuitate pentru operațiuni, precum și informații privind calitatea, finanțele și sustenabilitatea. Ce domenii cuprinde acest lucru arată catalogul Vendo4u (categorii: 10).
De ce dovezi și nu o simplă autoevaluare
Cumpărătorii trebuie să își poată justifica alegerea furnizorului – față de auditul intern, autoritățile de supraveghere sau propriii clienți. O căsuță bifată fără dovadă are o greutate redusă. Acest lucru este valabil mai ales acolo unde legea impune o verificare: pentru persoanele împuternicite de operator, conform art. 28 alin. (1) din GDPR (garanții suficiente), și în lanțul de aprovizionare, conform § 30 alin. (2) BSIG.
Domeniile pe scurt
Catalogul Vendo4u organizează cerințele pe categorii (categorii: 10, criterii în total: 69). Mai jos găsiți despre ce este vorba în fiecare categorie; criteriile individuale sunt prezentate pe pagina criteriilor de evaluare.
Produse, servicii și calitate · Criterii: 8
Managementul calității, conformitatea cu cerințele și gestionarea defectelor și a reclamațiilor.
Logistică și capacitate de livrare · Criterii: 7
Termene de livrare, condiții de livrare și capacitatea de a livra în mod fiabil și flexibil.
Condiții comerciale · Criterii: 6
Condițiile de plată și de livrare și cadrul comercial al colaborării.
Capacitate tehnică și de producție · Criterii: 4
Adâncimea de fabricație, capacitatea și competența de dezvoltare – în mare parte specifice domeniului.
Securitatea informației · Criterii: 10
Măsuri tehnice și organizatorice pentru protejarea informațiilor.
Protecția datelor (GDPR) · Criterii: 8
Respectarea Regulamentului general al UE privind protecția datelor și a normelor conexe.
Stabilitate financiară și asigurări · Criterii: 6
Bonitate, acoperire prin asigurări și indicatori economici.
Managementul riscurilor și continuitatea activității · Criterii: 8
Managementul situațiilor de urgență, disponibilitatea și transparența privind dependențele.
Sustenabilitate și conformitate (ESG) · Criterii: 10
Mediu, social, guvernanță, plus diligența în lanțul de aprovizionare și conformitatea materialelor.
Certificări și standarde suplimentare · Criterii: 2
Standarde de domeniu și de management suplimentare, cu dovezi valabile.
Dovezi tipice pe domenii
Securitatea informației: un certificat ISO/IEC 27001, inclusiv domeniul său de aplicare, rezumatul unui test de penetrare recent, politici privind protecția accesului și autentificarea multifactor, un proces documentat de gestionare a vulnerabilităților și a patch-urilor.
Protecția datelor: acordul de prelucrare a datelor conform art. 28 din GDPR, măsurile tehnice și organizatorice conform art. 32 din GDPR, lista subprocesatorilor cu locul prelucrării și, acolo unde este obligatoriu, desemnarea unui responsabil cu protecția datelor.
Continuitatea activității: planuri de urgență și de recuperare, dovezi privind copiile de siguranță testate și, după caz, o certificare ISO 22301.
Calitate, mediu și lanț de aprovizionare: certificate ISO 9001 sau ISO 14001, un cod de conduită pentru furnizori, o declarație de principiu privind drepturile omului și mediul, evaluări ESG.
Aspecte comerciale: un extras din registrul comerțului, dovezi de asigurare, de exemplu de răspundere civilă generală și cibernetică, informații privind stabilitatea financiară.
Ce contează la dovezi
Valabilitate: certificatele și rapoartele poartă o dată de emitere și, adesea, o dată de expirare. O dovadă expirată nu are valoare pentru client.
Domeniu de aplicare: un certificat acoperă doar ceea ce se află în domeniul său de aplicare. Dacă nu acoperă serviciul pe care îl obține clientul, este de puțin ajutor.
Emitent: în cazul certificărilor contează cine a certificat – de regulă, un organism de certificare acreditat.
Întreținere: cine păstrează într-un singur loc dovezile cu dată de expirare le reînnoiește la timp, în loc să constate abia la următoarea solicitare a unui client că sunt depășite.
Introducerea dovezilor pe Vendo4u
Pe Vendo4u, furnizorii încarcă dovezile direct la criteriul corespunzător – ca PDF, JPG sau PNG de până la 10 MB. Pentru documentele cu dată de expirare, platforma trimite un memento înainte ca acestea să expire. Documentele sunt vizibile doar pentru compania însăși și pentru cumpărătorii cu un plan plătit.
Surse
- Regulamentul (UE) 2016/679 (GDPR), art. 28 și 32
- § 30 BSIG – măsuri de gestionare a riscurilor
- ISO/IEC 27001 – sisteme de management al securității informației
Informații generale, nu consultanță juridică. Este determinant textul legii în versiunea în vigoare.