Vilka underlag bör en leverantör ha till hands?
Senast granskad:
En leverantör bör ha ett aktuellt underlag till hands för varje krav som kunder brukar ställa: certifikat och revisionsrapporter för informationssäkerheten, personuppgiftsbiträdesavtal och tekniska och organisatoriska åtgärder för dataskyddet, beredskaps- och kontinuitetsplaner för driften samt uppgifter om kvalitet, ekonomi och hållbarhet. Vilka områden det omfattar visar Vendo4u:s katalog med 10 kategorier.
Varför underlag i stället för bara egen redovisning
Inköpare måste kunna motivera sitt val av leverantör – inför internrevisionen, tillsynsmyndigheter eller sina egna kunder. Ett ikryssat svar utan belägg väger lätt. Det gäller särskilt där lagen kräver en granskning: för personuppgiftsbiträden enligt artikel 28.1 i GDPR (tillräckliga garantier) och i leveranskedjan enligt 30 § andra stycket BSIG.
Områdena i överblick
Vendo4u:s katalog delar in kraven i 10 kategorier med totalt 69 kriterier. Här beskrivs vad varje kategori handlar om; de enskilda kriterierna finns på sidan med bedömningskriterierna.
Produkter, tjänster och kvalitet · 8 kriterier
Kvalitetsledning, kravuppfyllnad och hantering av avvikelser och reklamationer.
Logistik och leveransförmåga · 7 kriterier
Ledtider, leveransvillkor och förmågan att leverera pålitligt och flexibelt.
Kommersiella villkor · 6 kriterier
Betalnings- och leveransvillkor samt samarbetets kommersiella ramar.
Teknisk förmåga och kapacitet · 4 kriterier
Tillverkningsdjup, kapacitet och utvecklingskompetens – till stor del branschspecifikt.
Informationssäkerhet · 10 kriterier
Tekniska och organisatoriska åtgärder för att skydda information.
Dataskydd (GDPR) · 8 kriterier
Efterlevnad av EU:s allmänna dataskyddsförordning och tillhörande regler.
Finansiell stabilitet och försäkring · 6 kriterier
Kreditvärdighet, försäkringsskydd och ekonomiska nyckeltal.
Riskhantering och kontinuitet · 8 kriterier
Beredskapshantering, tillgänglighet och transparens om beroenden.
Hållbarhet och regelefterlevnad (ESG) · 10 kriterier
Miljö, socialt ansvar och bolagsstyrning samt tillbörlig aktsamhet i leverantörskedjan och materialefterlevnad.
Ytterligare certifieringar och standarder · 2 kriterier
Ytterligare bransch- och ledningsstandarder med giltiga underlag.
Typiska underlag per område
Informationssäkerhet: ett certifikat enligt ISO/IEC 27001 med certifieringens omfattning, sammanfattningen av ett aktuellt penetrationstest, riktlinjer för åtkomstskydd och flerfaktorsautentisering, en beskriven process för sårbarhets- och patchhantering.
Dataskydd: personuppgiftsbiträdesavtalet enligt artikel 28 i GDPR, de tekniska och organisatoriska åtgärderna enligt artikel 32 i GDPR, förteckningen över underbiträden med plats för behandlingen och, där det krävs, utnämningen av ett dataskyddsombud.
Verksamhetskontinuitet: beredskaps- och återställningsplaner, belägg för testade säkerhetskopior och i förekommande fall en certifiering enligt ISO 22301.
Kvalitet, miljö och leverantörskedja: certifikat enligt ISO 9001 eller ISO 14001, en uppförandekod för leverantörer, en principförklaring om mänskliga rättigheter och miljö, ESG-betyg.
Kommersiellt: utdrag ur handelsregistret, försäkringsbevis, till exempel för verksamhets- och cyberansvarsförsäkring, uppgifter om den finansiella stabiliteten.
Vad som är viktigt med underlag
Giltighet: certifikat och rapporter har ett utfärdandedatum och ofta ett utgångsdatum. Ett underlag som har löpt ut är värdelöst för kunden.
Omfattning: ett certifikat gäller bara det som ingår i dess omfattning. Om det inte täcker den tjänst som kunden köper hjälper det föga.
Utfärdare: vid certifieringar spelar det roll vem som har certifierat – i regel ett ackrediterat certifieringsorgan.
Underhåll: den som håller underlag med utgångsdatum samlade på ett ställe förnyar dem i tid, i stället för att först vid nästa kundförfrågan märka att de är inaktuella.
Lägga in underlag på Vendo4u
På Vendo4u laddar leverantörer upp underlag direkt vid rätt kriterium – som PDF, JPG eller PNG på upp till 10 MB. För dokument med utgångsdatum skickar plattformen en påminnelse innan de löper ut. Dokumenten är synliga bara för det egna företaget och för inköpare med betald åtkomst.
Källor
- Förordning (EU) 2016/679 (GDPR), artiklarna 28 och 32
- 30 § BSIG – riskhanteringsåtgärder
- ISO/IEC 27001 – ledningssystem för informationssäkerhet
Allmän information, ingen juridisk rådgivning. Avgörande är lagtexten i dess gällande lydelse.