Leverandøraudits er et mareridt – her er hvordan du gør dem mindre tidskrævende
At gennemføre én leverandøraudit er overskueligt. At gøre det i stor skala er en helt anden sag. At jagte leverandører for information, følge op på halvfærdige spørgeskemaer, miste overblikket over, hvem der har svaret, og hvem der ikke har… det løber hurtigt op.
Løsningen er ikke at arbejde hårdere. Det er at have et program med struktur, overblik og kontrol. Her er fem ting, der gør en reel forskel.
1. Start med en komplet leverandørliste
Det lyder indlysende. Det er det ikke.
En simpel liste over alle dine leverandører – med en klar markering af, hvem der er databehandlere – er det vigtigste fundament for ethvert leverandørauditprogram. Uden den kan du ikke prioritere. Du kan ikke beslutte, hvor dine auditressourcer gør mest gavn. Du gætter dig bare frem.
I praksis eksisterer denne liste ofte ikke, eller også er den ufuldstændig og forældet. Hvis det er situationen hos jer, så start her, før du gør noget som helst andet.
2. Vid, hvilke leverandører der er kritiske
Når du har din liste, er næste skridt at forstå, hvilke leverandører der betyder mest.
Inden for databeskyttelse betyder det de systemer, der udgør den største risiko for de registrerede. Inden for informationssikkerhed er det de systemer, der udgør den største risiko for organisationen eller samfundet generelt. Dit klassificeringssystem skal være fleksibelt nok til at afspejle begge dele – forskellige mærkater til forskellige sammenhænge.
Kritikalitet styrer alt andet: auditfrekvens, auditmetode og hvor meget opmærksomhed hver leverandør får.
3. Beslut metode og timing på forhånd
Ikke alle leverandøraudits er ens. Et kritisk system kræver måske, at du gennemgår en ISAE 3000- eller ISO-auditrapport hvert år. En leverandør med lav risiko har måske bare brug for en kort e-mail hvert andet år for at bekræfte, at de stadig opererer i overensstemmelse med jeres kontrakt.
Nøglen er at beslutte metode og timing, når en leverandør onboardes, ikke når auditten skal finde sted. Læg det ind i dit system som en tilbagevendende opgave og kom videre. Almindelige audittyper inkluderer fysiske audits, eksterne revisorrapporter, spørgeskemaer, leverandørerklæringer og slet ingen audit for leverandører med lav risiko.
En advarsel: vær realistisk. Det er let at sætte ambitiøse standarder, når man planlægger fremad. Basér dine beslutninger på de ressourcer, du rent faktisk har, og brug objektive kriterier – antal registrerede, følsomhed af information, risikoniveau – til at styre processen.
4. Automatisér alt, hvad du kan
Selv med et solidt overblik på plads, er det i udførelsesfasen, at tingene ofte falder fra hinanden. E-mails bliver sendt ud. Nogle leverandører svarer. Nogle svarer delvist. Andre svarer slet ikke.
Opbyg dit system, så påmindelser, opfølgninger og statussporing sker automatisk. Du bør til enhver tid kunne se, hvem der har svaret, hvem der ikke har, og hvem der trænger til et puf – uden at skulle holde styr på det manuelt.
5. Evaluer rent faktisk det, du modtager
Dette punkt bliver sprunget over oftere, end man skulle tro.
Spørgeskemaer bliver ikke evalueret. Eksterne revisionsrapporter bliver ikke læst. Informationen ankommer, og derefter sker der intet.
Den information, du indsamler fra leverandører, er kun så værdifuld som det, du gør med den. Integrer evaluering i processen fra starten – det er her, den reelle og proaktive risikostyring finder sted.