Katera dokazila naj ima dobavitelj pripravljena?
Stanje na dan:
Dobavitelj naj ima za vsako zahtevo, ki jo stranke običajno postavljajo, pri roki aktualno dokazilo: certifikate in revizijska poročila za informacijsko varnost, pogodbo o obdelavi osebnih podatkov ter tehnične in organizacijske ukrepe za varstvo podatkov, načrte za izredne razmere in neprekinjeno poslovanje za delovanje ter podatke o kakovosti, financah in trajnosti. Katera področja to zajema, prikazuje katalog Vendo4u, razdeljen na kategorije (število kategorij: 10).
Zakaj dokazila namesto zgolj samoprijave
Kupci morajo znati utemeljiti izbiro dobavitelja – pred notranjo revizijo, nadzornimi organi ali lastnimi strankami. Odkljukan odgovor brez dokazila pri tem nima velike teže. To še posebej velja tam, kjer zakon zahteva preverjanje: pri obdelovalcih v skladu s členom 28(1) GDPR (zadostna jamstva) in v dobavni verigi v skladu s § 30(2) BSIG.
Pregled področij
Katalog Vendo4u zahteve razvršča v kategorije (kategorije: 10, merila skupaj: 69). Spodaj je opisano, za kaj gre v posamezni kategoriji; posamezna merila so navedena na strani z merili ocenjevanja.
Izdelki, storitve in kakovost · Število meril: 8
Upravljanje kakovosti, skladnost z zahtevami ter obravnava napak in reklamacij.
Logistika in dobavna sposobnost · Število meril: 7
Dobavni roki, dobavni pogoji ter sposobnost zanesljive in prilagodljive dobave.
Komercialni pogoji · Število meril: 6
Plačilni in dobavni pogoji ter komercialni okvir sodelovanja.
Tehnična zmogljivost in kapacitete · Število meril: 4
Globina proizvodnje, kapacitete in razvojna usposobljenost – večinoma odvisno od panoge.
Informacijska varnost · Število meril: 10
Tehnični in organizacijski ukrepi za zaščito informacij.
Varstvo podatkov (GDPR) · Število meril: 8
Skladnost s Splošno uredbo EU o varstvu podatkov in povezanimi predpisi.
Finančna stabilnost in zavarovanje · Število meril: 6
Kreditna sposobnost, zavarovalno kritje in ekonomski kazalniki.
Upravljanje tveganj in neprekinjeno poslovanje · Število meril: 8
Upravljanje izrednih razmer, razpoložljivost in preglednost glede odvisnosti.
Trajnost in skladnost (ESG) · Število meril: 10
Okolje, družba, upravljanje ter skrbni pregled dobavne verige in skladnost materialov.
Dodatni certifikati in standardi · Število meril: 2
Dodatni panožni in upravljavski standardi z veljavnimi dokazili.
Tipična dokazila po področjih
Informacijska varnost: certifikat po ISO/IEC 27001 skupaj z obsegom, povzetek nedavnega penetracijskega testa, pravilniki o zaščiti dostopa in večfaktorski avtentikaciji, opisan postopek upravljanja ranljivosti in popravkov.
Varstvo podatkov: pogodba o obdelavi osebnih podatkov v skladu s členom 28 GDPR, tehnični in organizacijski ukrepi v skladu s členom 32 GDPR, seznam podobdelovalcev s krajem obdelave in, kjer je predpisano, imenovanje pooblaščene osebe za varstvo podatkov.
Neprekinjeno poslovanje: načrti za izredne razmere in ponovno vzpostavitev, dokazila o preizkušenih varnostnih kopijah in po potrebi certifikat po ISO 22301.
Kakovost, okolje in dobavna veriga: certifikati po ISO 9001 ali ISO 14001, kodeks ravnanja za dobavitelje, izjava o politiki glede človekovih pravic in okolja, ocene ESG.
Poslovni podatki: izpisek iz poslovnega registra, dokazila o zavarovanju, na primer splošne in kibernetske odgovornosti, podatki o finančni stabilnosti.
Na kaj je treba paziti pri dokazilih
Veljavnost: certifikati in poročila imajo datum izdaje in pogosto datum poteka. Dokazilo, ki mu je potekla veljavnost, je za stranko brez vrednosti.
Obseg: certifikat dokazuje le to, kar je v njegovem obsegu. Če ne pokriva storitve, ki jo stranka uporablja, malo pomaga.
Izdajatelj: pri certifikatih je pomembno, kdo je certificiral – praviloma akreditiran certifikacijski organ.
Vzdrževanje: kdor dokazila z datumom poteka vodi na enem mestu, jih pravočasno obnovi, namesto da bi šele ob naslednji zahtevi stranke opazil, da so zastarela.
Vnos dokazil na Vendo4u
Na Vendo4u dobavitelji dokazila naložijo neposredno ob ustreznem merilu – v obliki PDF, JPG ali PNG do 10 MB. Za dokumente z datumom poteka platforma pred potekom pošlje opomnik. Dokumenti so vidni le podjetju, ki jih je naložilo, in kupcem s plačljivim paketom.
Viri
- Uredba (EU) 2016/679 (GDPR), člena 28 in 32
- § 30 BSIG – ukrepi za obvladovanje tveganj
- ISO/IEC 27001 – sistemi upravljanja informacijske varnosti
Splošne informacije, ne pravno svetovanje. Merodajno je besedilo zakona v vsakokrat veljavni različici.