Aké doklady by mal mať dodávateľ pripravené?
Stav ku dňu:
Dodávateľ by mal mať pre každú požiadavku, ktorú zákazníci zvyčajne kladú, poruke aktuálny doklad: certifikáty a správy z auditov pre informačnú bezpečnosť, zmluvu o spracúvaní osobných údajov a technické a organizačné opatrenia pre ochranu údajov, núdzové plány a plány kontinuity pre prevádzku, ako aj údaje o kvalite, financiách a udržateľnosti. Aké oblasti to zahŕňa, ukazuje katalóg Vendo4u s 10 kategóriami.
Prečo doklady namiesto obyčajného vlastného vyhlásenia
Nákupcovia musia vedieť zdôvodniť výber dodávateľa – voči internému auditu, orgánom dohľadu alebo vlastným zákazníkom. Zaškrtnutá odpoveď bez dokladu má pritom malú váhu. Platí to najmä tam, kde zákon vyžaduje preverenie: pri sprostredkovateľoch podľa čl. 28 ods. 1 GDPR (dostatočné záruky) a v dodávateľskom reťazci podľa § 30 ods. 2 BSIG.
Prehľad oblastí
Katalóg Vendo4u člení požiadavky do 10 kategórií s celkovo 69 kritériami. Nižšie je uvedené, o čo v jednotlivých kategóriách ide; jednotlivé kritériá nájdete na stránke hodnotiacich kritérií.
Produkty, služby a kvalita · Počet kritérií: 8
Manažérstvo kvality, zhoda s požiadavkami a riešenie chýb a reklamácií.
Logistika a schopnosť dodávok · Počet kritérií: 7
Dodacie lehoty, dodacie podmienky a schopnosť dodávať spoľahlivo a flexibilne.
Obchodné podmienky · Počet kritérií: 6
Platobné a dodacie podmienky a obchodný rámec spolupráce.
Technická spôsobilosť a kapacita · Počet kritérií: 4
Hĺbka výroby, kapacita a vývojová kompetencia – prevažne špecifické pre dané odvetvie.
Informačná bezpečnosť · Počet kritérií: 10
Technické a organizačné opatrenia na ochranu informácií.
Ochrana údajov (GDPR) · Počet kritérií: 8
Súlad so všeobecným nariadením EÚ o ochrane údajov a so súvisiacimi predpismi.
Finančná stabilita a poistenie · Počet kritérií: 6
Bonita, poistné krytie a ekonomické ukazovatele.
Riadenie rizík a kontinuita podnikania · Počet kritérií: 8
Krízové riadenie, dostupnosť a transparentnosť závislostí.
Udržateľnosť a súlad (ESG) · Počet kritérií: 10
Životné prostredie, sociálna oblasť, správa a riadenie, ako aj náležitá starostlivosť v dodávateľskom reťazci a súlad materiálov.
Ďalšie certifikáty a normy · Počet kritérií: 2
Ďalšie odvetvové a manažérske normy s platnými dokladmi.
Typické doklady podľa oblastí
Informačná bezpečnosť: certifikát podľa ISO/IEC 27001 vrátane rozsahu platnosti, zhrnutie aktuálneho penetračného testu, smernice o ochrane prístupu a viacfaktorovej autentifikácii, opísaný proces riadenia zraniteľností a záplat.
Ochrana údajov: zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR, technické a organizačné opatrenia podľa čl. 32 GDPR, zoznam ďalších sprostredkovateľov s miestom spracúvania a tam, kde je to predpísané, určenie zodpovednej osoby.
Kontinuita prevádzky: núdzové plány a plány obnovy, doklady o testovaných zálohách a prípadne certifikácia podľa ISO 22301.
Kvalita, životné prostredie a dodávateľský reťazec: certifikáty podľa ISO 9001 alebo ISO 14001, kódex správania pre dodávateľov, vyhlásenie o zásadách v oblasti ľudských práv a životného prostredia, hodnotenia ESG.
Obchodné údaje: výpis z obchodného registra, doklady o poistení, napríklad zodpovednosti za škodu z podnikateľskej činnosti a kybernetickej zodpovednosti, údaje o finančnej stabilite.
Na čo si pri dokladoch dať pozor
Platnosť: certifikáty a správy majú dátum vydania a často aj dátum skončenia platnosti. Doklad, ktorého platnosť uplynula, je pre zákazníka bezcenný.
Rozsah platnosti: certifikát preukazuje len to, čo patrí do jeho rozsahu. Ak nepokrýva službu, ktorú zákazník odoberá, veľmi nepomôže.
Vydavateľ: pri certifikáciách záleží na tom, kto certifikoval – spravidla akreditovaný certifikačný orgán.
Údržba: kto vedie doklady s dátumom skončenia platnosti na jednom mieste, obnoví ich včas, namiesto toho, aby až pri ďalšej požiadavke zákazníka zistil, že sú zastarané.
Zadávanie dokladov na Vendo4u
Na Vendo4u dodávatelia nahrávajú doklady priamo pri príslušnom kritériu – vo formáte PDF, JPG alebo PNG do 10 MB. Pri dokumentoch s dátumom skončenia platnosti platforma pred jeho uplynutím pošle pripomienku. Dokumenty sú viditeľné len pre samotnú spoločnosť a pre nákupcov s platenou tarifou.
Zdroje
- Nariadenie (EÚ) 2016/679 (GDPR), čl. 28 a 32
- § 30 BSIG – opatrenia na riadenie rizík
- ISO/IEC 27001 – systémy riadenia informačnej bezpečnosti
Všeobecné informácie, nie právne poradenstvo. Rozhodujúci je text zákona v aktuálne platnom znení.