Flowchart for onboarding af leverandører

Sådan fungerer det

1. Tilpas banerne til jeres organisation

   Omdøb de fem baner til de funktioner, der faktisk findes hos jer. Mindre organisationer lægger ofte Jura ind under Indkøb eller lader Sikkerhed & compliance være en deltidsrolle i it. Slet hellere en bane end at lade den stå tom, og sørg for, at hver kasse ligger i den bane, der reelt ejer arbejdet — ikke den, der får skylden.

2. Skriv jeres kriterier for risikoklassificering ned

   Erstat "Høj risikoklasse?" med den test, jeres virksomhed rent faktisk bruger. De fleste klassificerer på, om leverandøren behandler person- eller regulerede data, årligt forbrug, om de får adgang til interne systemer eller lokaler, og hvor forstyrrende det ville være at miste dem. Skriv grænserne ved siden af noden, så beslutningen kan gentages af den, der har vagten.

3. Definér, hvad udvidet due diligence kræver

   Udfyld, hvad ja-vejen konkret kræver: en SOC 2-rapport eller et resumé af en penetrationstest, en liste over underdatabehandlere, oplysning om reelle ejere og sanktionsscreening, referencer eller et besøg på stedet. Hvis grenen ikke nævner konkret dokumentation, bliver den sprunget over, så snart der er travlt.

4. Læg bankverifikationen hos en navngiven rolle

   Beslut, hvem der ringer op, og sikr jer, at det ikke er den samme person, som opretter eller retter leverandørstamdata. Den funktionsadskillelse er hele pointen med kontrollen. Skriv også kilden til telefonnummeret på: det skal være den underskrevne kontrakt eller et uafhængigt fundet nummer — aldrig fakturaen eller den mail, der beder om ændringen.

5. Tilføj jeres systemer, ejere og svartider

   Sæt rigtige systemnavne på trinnene: hvor anmodningsformularen ligger, hvilket ERP der holder leverandørstamdata, hvor den godkendte leverandørliste bor. Skriv den rolle på, der ejer hver kasse, og en måltid for hver bane, så processen kan måles og ikke kun beskrives.

6. Fastlæg revurderingskadencen, og send diagrammet til accept

   Vælg revurderingsintervaller pr. risikoklasse, og notér datoen på selve listen frem for i en personlig kalender. Del diagrammet med indkøb, jura, økonomi og sikkerhed til kommentering, og hold det under versionsstyring, så det godkendte diagram og den skrevne procedure ikke driver fra hinanden.

Ofte stillede spørgsmål

Hvor lang tid bør onboarding af en leverandør tage?

For en lavrisikoleverandør på standardvilkår er tre til fem arbejdsdage realistisk, når due diligence-materialet er komplet. Højrisikoleverandører tager typisk to til seks uger, fordi udvidet gennemgang, forhandlede kontraktvilkår og sikkerhedsdokumentation alle ligger på den kritiske vej og ofte støder ind i leverandørens egne godkendelsesrunder. Den største enkeltforsinkelse er som regel ventetid på dokumenter fra leverandøren, og netop derfor ligger anmodningsformularen og due diligence-materialet først i dette flowchart, før nogen gennemgang går i gang. Er jeres mediantid meget længere end det, så mål hvor længe hver bane ligger med sagen frem for kun at måle forløbet fra ende til anden.

Hvad er risikoklassificering af leverandører, og hvor mange klasser skal vi bruge?

Risikoklassificering placerer en leverandør, så gennemgangens dybde svarer til eksponeringen. Tre klasser — høj, middel og lav — er nok for de fleste virksomheder; flere end det giver typisk diskussioner om placering frem for bedre beslutninger. De almindelige inputs er, om leverandøren behandler person- eller regulerede data, det årlige forbrug, om de får adgang til interne systemer eller lokaler, og hvor forstyrrende det ville være at miste dem med kort varsel. Klassen skal styre to forskellige ting: hvilken dokumentation I kræver før godkendelse, og hvor ofte leverandøren revurderes bagefter.

Hvorfor er verifikation af bankoplysninger vist som sit eget trin og sin egen beslutning?

Fakturasvindel fungerer ved, at der sendes en troværdig anmodning om at ændre en leverandørs bankkonto, som regel fra et forfalsket domæne, der ligner, eller fra en indbakke, der reelt er kompromitteret. Forsvaret er procedure og ikke teknik: verificér kontoen ved at ringe leverandøren op på et nummer fra den underskrevne kontrakt eller et uafhængigt fundet nummer — aldrig et, der står i mailen eller på fakturaen — og registrér, hvem der verificerede, og hvornår. At give det en beslutningsnode med en løkke tilbage gør det eksplicit, at betalingsopsætningen ikke kører videre på en uverificeret konto, og den samme kontrol skal gælde ved enhver senere ændring af bankoplysninger.

Hvor bør den godkendte leverandørliste ligge?

Uanset hvor den ligger, skal den have én ejer og en revurderingsdato ud for hver leverandør. Et regneark kan sagtens gøre det i lille skala, hvis ændringer er daterede og kan henføres til en person; dedikerede indkøbs- eller tredjepartsrisikoværktøjer klarer det bedre, når I passerer nogle hundrede leverandører. Fejlmønstret er det samme i begge tilfælde: leverandører bliver tilføjet og aldrig fjernet, så listen holder gradvist op med at afspejle, hvem I faktisk køber af. Det, der holder den retvisende, er at revurdere i den kadence, risikoklassen sætter, og lukke de leverandører ned, I ikke længere bruger.