Leverantörsrevisioner är en mardröm – så här gör du dem mindre tidskrävande
Att genomföra enstaka leverantörsgranskningar är hanterbart. Att göra det i stor skala är en helt annan sak. Att jaga leverantörer för att få information, följa upp ofullständigt ifyllda frågeformulär, tappa bort vem som har svarat och vem som inte har gjort det … det blir snabbt en stor börda.
Lösningen ligger inte i att arbeta hårdare. Det handlar om att ha ett program med struktur, överblick och kontroll. Här är fem saker som verkligen gör skillnad.
1. Börja med en fullständig leverantörslista
Det låter självklart. Men det är det inte.
En enkel förteckning över alla era leverantörer – med tydlig markering av vilka som är personuppgiftsbiträden – är den absolut viktigaste grunden för varje granskningsprogram för leverantörer. Utan den kan ni inte sätta prioriteringar. Ni kan inte avgöra var era granskningsresurser ger störst effekt. Då får ni bara gissa.
I praktiken saknas ofta en sådan lista, eller så är den ofullständig och inaktuell. Om det är så för dig, börja här innan du gör något annat.
2. Ta reda på vilka leverantörer som är avgörande
När du väl har din lista är nästa steg att ta reda på vilka leverantörer som är viktigast.
När det gäller dataskydd avses de system som utgör den största risken för de registrerade. När det kommer till informationssäkerhet avses de system som utgör den största risken för organisationen eller samhället i stort. Ert klassificeringssystem måste vara tillräckligt flexibelt för att återspegla båda dessa aspekter – olika beteckningar för olika sammanhang.
Kritikalitet styr allt annat: granskningsfrekvens, granskningsmetod och hur mycket uppmärksamhet varje leverantör får.
3. Bestäm metod och tidpunkt i förväg
Alla leverantörsrevisioner ser inte likadana ut. För ett kritiskt system kan det krävas att du varje år går igenom en revisionsrapport enligt ISAE 3000 eller ISO. För en leverantör med låg risk kan det räcka med ett kort e-postmeddelande vartannat år för att bekräfta att de fortfarande bedriver sin verksamhet i enlighet med avtalet.
Det viktigaste är att bestämma metod och tidpunkt för när en leverantör ska tas in i systemet, inte när revisionen ska genomföras. Lägg in det i ditt system som en återkommande uppgift och gå vidare. Vanliga revisionstyper är fysiska revisioner, rapporter från externa revisorer, frågeformulär, leverantörsredovisningar samt att ingen revision alls genomförs för leverantörer med låg risk.
Ett tips: var realistisk. Det är lätt att sätta upp ambitiösa mål när man planerar i förväg. Basera dina beslut på de resurser du faktiskt har till ditt förfogande och använd objektiva kriterier – antalet registrerade, informationens känslighet, risknivån – för att styra processen.
4. Automatisera allt du kan
Även om man har en gedigen överblick är det i genomförandefasen som det går snett. E-postmeddelanden skickas ut. Vissa leverantörer svarar. Vissa svarar delvis. Vissa svarar inte alls.
Bygg upp ditt system så att påminnelser, uppföljningar och statusövervakning sker automatiskt. Du ska när som helst kunna se vem som har svarat, vem som inte har gjort det och vem som behöver en påminnelse – utan att behöva hålla reda på det manuellt.
5. Utvärdera det som du faktiskt får tillbaka
Den här hoppar man över oftare än man skulle kunna tro.
Enkäterna utvärderas inte. Rapporterna från den externa revisionen läses inte. Informationen kommer in, men sedan står det bara still.
Den information du samlar in från leverantörer är bara så värdefull som det du gör med den. Integrera utvärderingen i processen redan från början – det är där den verkliga och proaktiva riskhanteringen sker.