Leverandørrevisjoner er et mareritt. Slik gjør du dem litt mindre tidkrevende.

Leverandørrevisjoner er et mareritt – slik gjør du dem mindre tidkrevende

Å gjennomføre én leverandørrevisjon er håndterbart. Å gjennomføre mange i stor skala er en helt annen utfordring. Å innhente informasjon fra leverandører, følge opp halvveis besvarte spørreskjemaer og holde oversikt over hvem som har svart og hvem som ikke har gjort det, blir raskt mye å håndtere.

Løsningen er ikke å jobbe hardere, men å ha et strukturert program som gir oversikt og kontroll. Her er fem ting som utgjør en reell forskjell.

1. Start med en komplett leverandørliste

Dette høres opplagt ut. Det er det ikke.

En enkel oversikt over alle leverandørene deres, med tydelig angivelse av hvilke som er databehandlere, er det viktigste grunnlaget for et godt program for leverandørrevisjoner. Uten denne oversikten kan dere ikke prioritere eller avgjøre hvor revisjonsressursene vil ha størst effekt. Da blir det i praksis bare gjetning.

I praksis finnes denne listen ofte ikke, eller så er den ufullstendig og utdatert. Hvis det er situasjonen hos dere, bør dere starte her før dere gjør noe annet.

2. Vit hvilke leverandører som er kritiske

Når du har listen din, er neste steg å forstå hvilke leverandører som er viktigst.

For personvern betyr det systemene som utgjør størst risiko for de registrerte. For informasjonssikkerhet betyr det systemene som utgjør størst risiko for virksomheten eller samfunnet for øvrig. Klassifiseringssystemet må være fleksibelt nok til å gjenspeile begge deler, med ulike kategorier tilpasset ulike kontekster.

Kritikalitet legger føringer for alt annet: hvor ofte leverandøren revideres, hvilken revisjonsmetode som brukes, og hvor tett leverandøren følges opp.

3. Bestem deg for metode og tidspunkt på forhånd

Ikke alle leverandørrevisjoner gjennomføres på samme måte. Et kritisk system kan kreve at du gjennomgår en ISAE 3000- eller ISO-revisjonsrapport hvert år. For en leverandør med lav risiko kan det være tilstrekkelig med en kort e-post annethvert år for å bekrefte at leverandøren fortsatt opererer i tråd med avtalen.

Det viktigste er å bestemme metode og tidspunkt allerede når en leverandør tas i bruk, ikke først når revisjonen skal gjennomføres. Legg det inn i systemet som en gjentakende oppgave, så håndteres oppfølgingen derfra. Vanlige revisjonsformer inkluderer fysiske revisjoner, rapporter fra eksterne revisorer, spørreskjemaer, leverandørerklæringer og, for leverandører med lav risiko, ingen revisjon i det hele tatt.

En viktig påminnelse: Vær realistisk. Det er lett å sette ambisiøse krav når du planlegger fremover. Ta utgangspunkt i ressursene du faktisk har tilgjengelig, og bruk objektive kriterier, som antall registrerte, opplysningenes sensitivitet og risikonivå, som grunnlag for hvordan prosessen skal gjennomføres.

4. Automatiser alt du kan

Selv med god oversikt er det ofte i gjennomføringsfasen at ting begynner å falle fra hverandre. E-poster sendes ut. Noen leverandører svarer, noen svarer bare delvis, og andre svarer ikke i det hele tatt.

Sett opp systemet slik at påminnelser, oppfølging og statussporing skjer automatisk. Du bør til enhver tid kunne se hvem som har svart, hvem som ikke har svart, og hvem som trenger en påminnelse, uten å måtte holde oversikten manuelt.

5. Faktisk vurder hva som kommer tilbake

Denne blir hoppet over oftere enn du skulle tro.

Spørreskjemaer blir ikke vurdert. Eksterne revisjonsrapporter blir liggende ulest. Informasjonen kommer inn, men blir ikke fulgt opp.  

Informasjonen du innhenter fra leverandører, er bare verdifull dersom den faktisk blir brukt. Gjør vurdering og oppfølging til en del av prosessen fra starten av. Det er her den reelle og proaktive risikostyringen skjer.