Risikovurdering af leverandører (beslutningstræ)

Sådan fungerer det

1. Åbn skabelonen, og omdøb banerne med beslutningsret

   Erstat Forretningsejer, Sikkerhed og compliance, Indkøb og økonomi samt Tredjepartsrisikoudvalg med de roller, der reelt svarer på spørgsmålene hos jer. Hold banerne til dem, der har beslutningsret, i stedet for at kortlægge hver eneste afdeling — ellers bliver træet til et proceskort igen.

2. Skriv jeres væsentlighedsgrænse ind på noden

   Vælg ét beløb i jeres egen valuta, aftal det med økonomi, og læg det i kommentaren på 'Volumen over væsentlighedsgrænsen?'. Anvend det på det forpligtede årlige volumen frem for på den første ordre, og skriv, hvad der sker, når en eksisterende leverandør krydser grænsen midt i en periode.

3. Definer, hvad der gør et land eller en branche højrisiko

   Navngiv de kilder, I bruger, frem for at overlade det til skøn — korruptions- og sanktionsindeks, jeres egen liste over lande med restriktioner, brancher under særlig regulering. Gør det samme for tjekket af sanktioner og negativ omtale, og navngiv de lister, der screenes, og hvem der kører søgningen.

4. Angiv, hvilke certificeringer I accepterer — og deres grænser

   List den dokumentation, der giver en leverandør adgang til grenen Certificeret: et gyldigt ISO 27001-certifikat, hvis gyldighedsområde dækker den ydelse, I køber, en ny SOC 2 Type II-rapport, en akkrediteret branchecertificering. Skriv eksplicit, at et udløbet certifikat eller et, der dækker en anden juridisk enhed, ikke tæller.

5. Udfyld, hvad hver risikoklasse rent faktisk kræver

   De fire godkendelsesudfald er kun brugbare, hvis pakkerne bag dem findes. Skriv ned, hvad det korte spørgeskema spørger om, hvad standardpakken til due diligence indeholder, hvad udvidet gennemgang og audit betyder i praksis, og hvordan en acceptabel kontinuitets- og exitplan ser ud for en kritisk leverandør.

6. Sæt udløsere for genvurdering, og send det til godkendelse

   Knyt et revisionsinterval til hver risikoklasse, og tilføj hændelsesudløsere, der trækker en leverandør gennem træet igen: et ejerskifte, en anmeldelse af et sikkerhedsbrud, en ny datastrøm, en overskridelse af væsentlighedsgrænsen. Del diagrammet med sikkerhed, indkøb og økonomi, få deres godkendelse registreret, og hold det under versionsstyring, så diagram og skreven politik ikke driver fra hinanden.

Ofte stillede spørgsmål

Hvad er forskellen på en risikovurdering af leverandører og en onboarding-proces?

De svarer på hver sit spørgsmål. Onboarding er et proceskort: det viser, hvad der sker bagefter, og hvem der gør det — fra den første anmodning over juridisk og økonomisk gennemgang, kontraktunderskrift og verifikation af bankoplysninger til posten på den godkendte leverandørliste. En risikovurdering af leverandører er et beslutningstræ: det viser, hvilken mulighed I vælger, og hvem der har ret til at vælge den, ved at tage fakta om en leverandør og returnere en risikoklasse plus den dybde af due diligence, klassen kræver. I de fleste organisationer er vurderingen én node inde i onboarding-forløbet. At dokumentere dem hver for sig holder onboarding-diagrammet læsbart og tvinger kriterierne for klassificering til at blive skrevet ned i stedet for at gemme sig i en kasse med teksten 'vurder risiko'.

Hvilke kriterier bør en risikovurdering af leverandører bruge?

Seks tests dækker de fleste tilfælde, og det er dem, der ligger i dette træ: om leverandøren behandler person- eller reguleret data, om den får adgang til systemer, lokationer eller immaterielle rettigheder, det årlige volumen op mod en væsentlighedsgrænse, om den er eneleverandør eller svær at erstatte, om landet eller branchen bærer forhøjet risiko, og om den har gyldige certificeringer, der dækker det rigtige omfang. Hold listen kort nok til, at en vurderer kan besvare den ud fra modtagelsesnotatet, og skriv hver grænseværdi ved siden af sit spørgsmål. Kriterier, der lever i et separat politikdokument, bliver anslået efter hukommelsen — og det er præcis sådan, to vurderere når frem til forskellige klasser ud fra de samme fakta.

Hvor mange risikoklasser bør vi have?

Tre klasser plus en særskilt betegnelse for kritiske leverandører fungerer for de fleste, og det er strukturen her: lav, mellem, høj og kritisk for leverandører, I ikke uden videre kan erstatte. Flere klasser giver diskussioner om placering frem for bedre beslutninger. Kritisk er værd at holde adskilt fra høj, fordi den drives af afhængighed frem for eksponering — en leverandør med lidt data, lavt volumen og intet kvalificeret alternativ har brug for en kontinuitets- og exitplan, ikke et længere sikkerhedsspørgeskema. Klassen bør styre to ting: den dokumentation, der kræves før godkendelse, og hvor ofte leverandøren genvurderes bagefter.

Kan en certificering erstatte udvidet due diligence?

Delvist, og kun hvis I tjekker den ordentligt. Et gyldigt ISO 27001-certifikat eller en ny SOC 2 Type II-rapport er uafhængig dokumentation for, at et kontrolmiljø er blevet vurderet, og i dette træ flytter grenen Certificeret en leverandør fra udvidet gennemgang ned til standardpakken. Tre tjek afgør, om den tæller: gyldighedsområdet skal dække den ydelse, I faktisk køber, certificeringsorganet skal være akkrediteret, og datoen skal være aktuel. En SOC 2 Type II-rapport har desuden et revisionsvindue og en række afvigelser i sig, så læs afvigelserne frem for forsiden. Certificering træder aldrig i stedet for en databehandleraftale, når der er personoplysninger involveret.

Hvem bør eje beslutningen om risikovurderingen?

Del den op efter spørgsmål frem for at give ét team hele vurderingen. Sikkerhed og compliance er bedst placeret til at svare på spørgsmålene om data, adgang, land og certificering, fordi de sidder på dokumentationen. Indkøb og økonomi svarer på volumen og udskiftelighed. Den klasse, der kommer ud af det, bør være en beregning ud fra svarene — ikke en forhandling. Reserver risikoudvalget til de to steder, hvor der reelt skal udøves skøn: at acceptere en leverandør i høj risikoklasse efter udvidet gennemgang, og at godkende den kontinuitetsplan, der gør en kritisk leverandør acceptabel. Den, der kørte gennemgangen, bør ikke være den, der accepterer restrisikoen.