Flowchart for onboarding af leverandører

Hvad er flowchart for onboarding af leverandører?

Leverandøronboarding er den vej, en ny leverandør går fra en indledende forretningsanmodning til et aktivt kort i økonomisystemet, der lovligt kan betales. Den krydser normalt fem funktioner: rekvirenten, der har brug for leverandøren, indkøb, der kører processen, jura, der gennemgår og underskriver kontrakten, økonomi, der tjekker soliditet og opretter betalingen, og sikkerhed eller compliance, der afgør, hvor meget risiko leverandøren bærer. Det meste af ventetiden i forløbet skyldes overleveringerne mellem de grupper og ikke selve gennemgangene.

To dele af processen gør det meste af arbejdet. Den første er risikoklassificering. I stedet for at sende hver eneste leverandør gennem den samme gennemgang klassificerer I dem på datafølsomhed, forbrug, systemadgang og forretningskritikalitet og reserverer den udvidede due diligence til den høje klasse. Den anden er verifikation af bankoplysninger, som er den praktiske kontrol mod fakturasvindel. At verificere kontoen ved at ringe leverandøren op på et nummer fra den underskrevne kontrakt (og behandle enhver senere ændring af bankoplysninger som en helt ny verifikation frem for en hurtig rettelse) er det, der forhindrer betalinger i at havne hos en svindler.

Skabelonen lægger processen ud som et tværgående swimlane-diagram, så hver overlevering er synlig: hvor indkøb giver bolden videre til jura, hvor sikkerhed melder en risikoklasse tilbage, og hvor økonomi overtager til betalingsopsætning og stamdata. Den fortsætter forbi det punkt, hvor mange dokumenterede processer stopper, og ender på den godkendte leverandørliste med en revurderingsdato på, for en liste, der aldrig gennemgås igen, holder op med at beskrive, hvem I rent faktisk køber af, i løbet af cirka et år.

Hvad dette flowchart dækker

I denne skabelon

• Fem swimlanes (Rekvirent, Indkøb, Jura, Økonomi, Sikkerhed & compliance) fordelt på seks faser: Anmodning, Due diligence, Risikoklassificering, Kontrakt, Betalingsopsætning og Aktivering.
• Indgangen i banen Rekvirent: identificér behovet, og udfyld derefter en anmodning om ny leverandør med forretningsbegrundelse, forventet forbrug, hvilke data eller systemer der er i spil, og en navngiven intern ejer.
• En dubletkontrol, før der bruges arbejde på gennemgang, hvor Indkøb spørger, om en eksisterende leverandør kan dække behovet, og sender de anmodninger direkte videre til en bestilling på den eksisterende aftale.
• Tre gennemgange i træk: Jura ser kontraktvilkår og klausuler igennem, Økonomi kører kredit- og regnskabstjek, og Sikkerhed kører et sikkerheds- og databeskyttelsesreview.
• Risikoklassificering med en reel forgrening: "Tildel risikoklasse" fører til "Høj risikoklasse?", ja-vejen kører udvidet due diligence, og begge veje mødes igen ved beslutningen "Er due diligence godkendt?", som enten går videre til kontrakt eller afviser leverandøren og orienterer rekvirenten.
• Kontraktforhandling, underskrift og arkivering af den underskrevne kontrakt i banen Jura, derefter verifikation af bankoplysninger via opkald i Økonomi med en løkke tilbage ved fejl, oprettelse af leverandørstamdata, optagelse på den godkendte leverandørliste og en revurderingsdato, før leverandøren sættes aktiv.

Hvornår du skal bruge skabelonen

• I skriver eller opdaterer en indkøbspolitik og vil have trin og overleveringer aftalt, før nogen formulerer teksten.
• Leverandøranmodninger går gentagne gange i stå, fordi ingen kan sige, hvilken funktion der lige nu ligger med sagen.
• I er blevet bedt om at vise, hvordan leverandører vurderes og godkendes, til et kundespørgeskema om sikkerhed, en intern revision eller et ISO 27001- eller SOC 2-forløb.
• Et forsøg på betalingssvindel eller en nær-hændelse har udløst en gennemgang af, hvordan bankoplysninger indhentes, verificeres og ændres.
• I skal have nye medarbejdere i indkøb eller økonomi op i fart og vil hellere give dem ét billede end en procedure på tyve sider.

Sådan fungerer det

1. Tilpas banerne til jeres organisation

   Omdøb de fem baner til de funktioner, der faktisk findes hos jer. Mindre organisationer lægger ofte Jura ind under Indkøb eller lader Sikkerhed & compliance være en deltidsrolle i it. Slet hellere en bane end at lade den stå tom, og sørg for, at hver kasse ligger i den bane, der reelt ejer arbejdet, ikke den, der får skylden.

2. Skriv jeres kriterier for risikoklassificering ned

   Erstat "Høj risikoklasse?" med den test, jeres virksomhed rent faktisk bruger. De fleste klassificerer på, om leverandøren behandler person- eller regulerede data, årligt forbrug, om de får adgang til interne systemer eller lokaler, og hvor forstyrrende det ville være at miste dem. Skriv grænserne ved siden af noden, så beslutningen kan gentages af den, der har vagten.

3. Definér, hvad udvidet due diligence kræver

   Udfyld, hvad ja-vejen konkret kræver: en SOC 2-rapport eller et resumé af en penetrationstest, en liste over underdatabehandlere, oplysning om reelle ejere og sanktionsscreening, referencer eller et besøg på stedet. Hvis grenen ikke nævner konkret dokumentation, bliver den sprunget over, så snart der er travlt.

4. Læg bankverifikationen hos en navngiven rolle

   Beslut, hvem der ringer op, og sikr jer, at det ikke er den samme person, som opretter eller retter leverandørstamdata. Den funktionsadskillelse er hele pointen med kontrollen. Skriv også kilden til telefonnummeret på: det skal være den underskrevne kontrakt eller et uafhængigt fundet nummer, aldrig fakturaen eller den mail, der beder om ændringen.

5. Tilføj jeres systemer, ejere og svartider

   Sæt rigtige systemnavne på trinnene: hvor anmodningsformularen ligger, hvilket ERP der holder leverandørstamdata, hvor den godkendte leverandørliste bor. Skriv den rolle på, der ejer hver kasse, og en måltid for hver bane, så processen kan måles og ikke kun beskrives.

6. Fastlæg revurderingskadencen, og send diagrammet til accept

   Vælg revurderingsintervaller pr. risikoklasse, og notér datoen på selve listen frem for i en personlig kalender. Del diagrammet med indkøb, jura, økonomi og sikkerhed til kommentering, og hold det under versionsstyring, så det godkendte diagram og den skrevne procedure ikke driver fra hinanden.

Ofte stillede spørgsmål

Hvor lang tid bør onboarding af en leverandør tage?

For en lavrisikoleverandør på standardvilkår er tre til fem arbejdsdage realistisk, når due diligence-materialet er komplet. Højrisikoleverandører tager typisk to til seks uger, fordi udvidet gennemgang, forhandlede kontraktvilkår og sikkerhedsdokumentation alle ligger på den kritiske vej og ofte støder ind i leverandørens egne godkendelsesrunder. Den største enkeltforsinkelse er som regel ventetid på dokumenter fra leverandøren, og netop derfor ligger anmodningsformularen og due diligence-materialet først i dette flowchart, før nogen gennemgang går i gang. Er jeres mediantid meget længere end det, så mål hvor længe hver bane ligger med sagen frem for kun at måle forløbet fra ende til anden.

Hvad er risikoklassificering af leverandører, og hvor mange klasser skal vi bruge?

Risikoklassificering placerer en leverandør, så gennemgangens dybde svarer til eksponeringen. Tre klasser (høj, middel og lav) er nok for de fleste virksomheder; flere end det giver typisk diskussioner om placering frem for bedre beslutninger. De almindelige inputs er, om leverandøren behandler person- eller regulerede data, det årlige forbrug, om de får adgang til interne systemer eller lokaler, og hvor forstyrrende det ville være at miste dem med kort varsel. Klassen skal styre to forskellige ting: hvilken dokumentation I kræver før godkendelse, og hvor ofte leverandøren revurderes bagefter.

Hvorfor er verifikation af bankoplysninger vist som sit eget trin og sin egen beslutning?

Fakturasvindel fungerer ved, at der sendes en troværdig anmodning om at ændre en leverandørs bankkonto, som regel fra et forfalsket domæne, der ligner, eller fra en indbakke, der reelt er kompromitteret. Forsvaret er procedure og ikke teknik: verificér kontoen ved at ringe leverandøren op på et nummer fra den underskrevne kontrakt eller et uafhængigt fundet nummer (aldrig et, der står i mailen eller på fakturaen), og registrér, hvem der verificerede, og hvornår. At give det en beslutningsnode med en løkke tilbage gør det eksplicit, at betalingsopsætningen ikke kører videre på en uverificeret konto, og den samme kontrol skal gælde ved enhver senere ændring af bankoplysninger.

Hvor bør den godkendte leverandørliste ligge?

Uanset hvor den ligger, skal den have én ejer og en revurderingsdato ud for hver leverandør. Et regneark kan sagtens gøre det i lille skala, hvis ændringer er daterede og kan henføres til en person; dedikerede indkøbs- eller tredjepartsrisikoværktøjer klarer det bedre, når I passerer nogle hundrede leverandører. Fejlmønstret er det samme i begge tilfælde: leverandører bliver tilføjet og aldrig fjernet, så listen holder gradvist op med at afspejle, hvem I faktisk køber af. Det, der holder den retvisende, er at revurdere i den kadence, risikoklassen sætter, og lukke de leverandører ned, I ikke længere bruger.