Leverantörsrevisioner är en mardröm – så här gör du dem mindre tidskrävande
En leverantörsgranskning i taget är hanterbart. Gör det i stor skala och det blir en helt annan sak. Att jaga leverantörer för svar, följa upp om halvifyllda formulär, hålla reda på vem som svarat och vem som inte gjort det – det äter upp tiden fortare än man tror.
Lösningen ligger inte i att arbeta hårdare. Det handlar om att ha ett program med struktur, överblick och kontroll. Här är fem saker som verkligen gör skillnad.
1. Börja med en fullständig leverantörslista
Det låter självklart. Men det är det inte.
En enkel förteckning över alla dina leverantörer – med tydlig markering av vilka som är personuppgiftsbiträden – är den absolut viktigaste grunden för varje granskningsprogram för leverantörer. Utan den kan du inte göra prioriteringar. Du kan inte avgöra var dina granskningsresurser ger störst effekt. Det blir bara en gissningslek.
I praktiken finns den här listan ofta inte alls, eller så är den ofullständig och inaktuell. Om det ser ut så i din verksamhet – börja här innan du gör något annat.
2. Ta reda på vilka leverantörer som är viktiga
När du väl har din lista är nästa steg att ta reda på vilka leverantörer som är viktigast.
När det gäller dataskydd avses de system som utgör den största risken för de registrerade. När det kommer till informationssäkerhet avses de system som utgör den största risken för organisationen eller samhället i stort. Ert klassificeringssystem måste vara tillräckligt flexibelt för att återspegla båda dessa aspekter – olika beteckningar för olika sammanhang.
Kritikalitet styr allt annat: granskningsfrekvens, granskningsmetod och hur mycket uppmärksamhet varje leverantör får.
3. Bestäm metod och tidpunkt i förväg
Alla leverantörsrevisioner ser inte likadana ut. För ett kritiskt system kan det krävas att du varje år går igenom en revisionsrapport enligt ISAE 3000 eller ISO. För en leverantör med låg risk kan det räcka med ett kort e-postmeddelande vartannat år för att bekräfta att de fortfarande bedriver sin verksamhet i enlighet med avtalet.
Det avgörande är att bestämma metod och tidpunkt redan när en leverantör kommer in, inte när granskningen ska göras. Lägg in det som en återkommande uppgift i systemet och gå vidare. Vanliga granskningstyper är fysiska revisioner, externa revisorsrapporter, frågeformulär, leverantörsintyg och ingen granskning alls för lågriskleverantörer.
Ett tips: var realistisk. Det är lätt att sätta upp ambitiösa mål när man planerar i förväg. Basera dina beslut på de resurser du faktiskt har till ditt förfogande och använd objektiva kriterier – antalet registrerade, informationens känslighet, risknivån – för att styra processen.
4. Automatisera det du kan
Även med en solid överblick på plats är det i genomförandefasen allt brukar krångla. Mejl skickas ut. Vissa leverantörer svarar. Vissa svarar delvis. Vissa svarar inte alls.
Bygg upp ditt system så att påminnelser, uppföljningar och statusövervakning sker automatiskt. Du ska när som helst kunna se vem som har svarat, vem som inte har gjort det och vem som behöver en påminnelse – utan att behöva hålla reda på det manuellt.
5. Utvärdera det som du faktiskt får tillbaka
Den här hoppar man över oftare än man skulle kunna tro.
Enkäterna utvärderas inte. Rapporterna från den externa revisionen blir inte lästa. Informationen kommer in, men sedan står det bara still.
Informationen du samlar in från leverantörer är bara så värdefull som det du faktiskt gör med den. Bygg in utvärderingen i processen från start – det är där den riktiga, proaktiva riskhanteringen sker.