Zarządzanie dostawcami
Ocena bezpieczeństwa podwykonawców, klauzule umowne, monitorowanie łańcucha dostaw – wsparcie w zarządzaniu ryzykiem ICT związanym z zewnętrznymi dostawcami usług.
Pomagamy organizacjom ocenić, udokumentować i nadzorować ryzyko wynikające ze współpracy z dostawcami usług ICT oraz ich podwykonawcami. Wspieramy w przygotowaniu klauzul umownych, rejestru dostawców oraz procesu bieżącego monitorowania łańcucha dostaw.
Współczesne organizacje w coraz większym stopniu opierają swoją działalność na usługach świadczonych przez podmioty zewnętrzne. Awaria, incydent bezpieczeństwa lub niewłaściwe postępowanie podwykonawcy może bezpośrednio wpłynąć na ciągłość działania i bezpieczeństwo danych organizacji zlecającej.
Zarządzanie dostawcami w skrócie
Zarządzanie dostawcami to proces identyfikacji, oceny, kontraktowania i bieżącego nadzoru nad podmiotami zewnętrznymi wspierającymi działalność organizacji.
Pytanie | Odpowiedź |
| Co obejmuje zarządzanie dostawcami? | Ocenę bezpieczeństwa dostawców i podwykonawców, klauzule umowne oraz bieżące monitorowanie ryzyka |
| Kogo dotyczy? | Organizacji korzystających z usług zewnętrznych dostawców ICT oraz ich podwykonawców |
| Czy dotyczy tylko dostawców IT? | Nie, obejmuje również innych dostawców mających dostęp do danych lub systemów organizacji |
| Czy trzeba oceniać podwykonawców? | Tak, ryzyko podwykonawstwa (tzw. dalszy outsourcing) powinno być identyfikowane i oceniane |
| Czy wymagane są klauzule bezpieczeństwa? | Tak, umowa powinna regulować m.in. bezpieczeństwo, audyt, raportowanie incydentów i warunki podwykonawstwa |
| Czy potrzebny jest rejestr dostawców? | Tak, rekomendowane jest prowadzenie rejestru dostawców wraz z oceną ryzyka i statusem umów |
| Czy nadzór nad dostawcą jest jednorazowy? | Nie, ryzyko dostawcy powinno być monitorowane w sposób ciągły przez cały okres trwania umowy |
| Kto odpowiada za nadzór nad dostawcami? | Odpowiedzialność spoczywa na organizacji zlecającej, niezależnie od tego, komu powierzono realizację usługi |
Dlaczego zarządzanie dostawcami jest istotne?
Powierzenie usługi podmiotowi zewnętrznemu nie zwalnia organizacji z odpowiedzialności za bezpieczeństwo danych, ciągłość działania ani zgodność z przepisami.
W praktyce oznacza to, że organizacja powinna wiedzieć:
- kim są jej dostawcy i podwykonawcy,
- jakie usługi i procesy są im powierzone,
- jaki mają dostęp do danych i systemów,
- jakie ryzyko wiąże się ze współpracą,
- czy dostawca korzysta z dalszych podwykonawców,
- jakie zabezpieczenia stosuje dostawca,
- jak wygląda procedura zgłaszania incydentów przez dostawcę,
- co się stanie w przypadku zakończenia współpracy.
Brak nadzoru nad dostawcami jest jedną z najczęściej identyfikowanych luk podczas audytów bezpieczeństwa i zgodności.
Jakie są najważniejsze elementy zarządzania dostawcami?
Proces można podzielić na trzy podstawowe obszary.
1. Ocena bezpieczeństwa podwykonawców
Przed nawiązaniem współpracy, a następnie okresowo w jej trakcie, dostawca oraz jego podwykonawcy powinni podlegać ocenie ryzyka.
Ocena bezpieczeństwa może obejmować:
- analizę zakresu i charakteru świadczonej usługi,
- identyfikację danych, do których dostawca ma dostęp,
- ocenę, czy usługa wspiera proces krytyczny lub istotny,
- weryfikację stosowanych zabezpieczeń technicznych i organizacyjnych,
- analizę posiadanych certyfikatów i polityk bezpieczeństwa,
- ocenę lokalizacji przetwarzania i przechowywania danych,
- identyfikację dalszych podwykonawców (subprocesorów),
- ocenę ryzyka koncentracji – zależności od jednego dostawcy,
- weryfikację doświadczenia i stabilności finansowej dostawcy,
- ocenę procedur zarządzania incydentami po stronie dostawcy.
Klasyfikacja dostawców według ryzyka
Nie każdy dostawca wymaga takiego samego poziomu nadzoru. Rekomendujemy wprowadzenie klasyfikacji dostawców, uwzględniającej między innymi:
- krytyczność wspieranego procesu,
- zakres dostępu do danych,
- charakter przetwarzanych informacji,
- możliwość szybkiej zmiany dostawcy,
- wpływ ewentualnej awarii na działalność organizacji.
Wynik klasyfikacji powinien determinować zakres wymaganej dokumentacji, częstotliwość oceny oraz poziom kontroli umownej.
Pomagamy w ocenie bezpieczeństwa dostawców
W ramach usługi możemy:
- przygotować metodykę i kwestionariusz oceny dostawców,
- przeprowadzić klasyfikację dostawców według poziomu ryzyka,
- zweryfikować dokumentację i zabezpieczenia dostawcy,
- zidentyfikować podwykonawców i ryzyko dalszego podwykonawstwa,
- przygotować raport oceny ryzyka dla poszczególnych dostawców,
- wskazać rekomendacje i wymagane działania naprawcze,
- opracować procedurę cyklicznej ponownej oceny.
2. Klauzule umowne
Umowa z dostawcą jest podstawowym narzędziem zarządzania ryzykiem. To ona określa zakres odpowiedzialności, obowiązki informacyjne oraz uprawnienia kontrolne organizacji zlecającej.
W zależności od charakteru usługi umowa powinna regulować między innymi:
- zakres i jakość świadczonych usług,
- poziom dostępności usługi (SLA),
- zasady bezpieczeństwa informacji,
- poufność, integralność i dostępność danych,
- lokalizację przetwarzania i przechowywania danych,
- zasady i terminy zgłaszania incydentów,
- obowiązek współpracy podczas obsługi incydentu,
- prawo do audytu i kontroli u dostawcy,
- prawo dostępu do dokumentacji i wyników testów bezpieczeństwa,
- zasady podwykonawstwa oraz obowiązek zgody na dalsze podzlecanie,
- obowiązki informacyjne wobec organizacji zlecającej,
- warunki i tryb rozwiązania umowy,
- zasady migracji danych do innego dostawcy,
- procedurę wyjścia (exit plan) po zakończeniu współpracy.
Audyt i przygotowanie klauzul umownych
Możemy:
- przeanalizować obowiązujące umowy z dostawcami,
- wskazać brakujące lub niewystarczające postanowienia,
- przygotować raport zgodności umów,
- opracować wzory klauzul bezpieczeństwa i klauzul dotyczących podwykonawstwa,
- przygotować aneksy do istniejących umów,
- przygotować wzorcowe umowy dla nowych dostawców,
- wspierać negocjacje warunków umownych z dostawcą.
3. Monitorowanie łańcucha dostaw
Ocena dostawcy przy zawieraniu umowy to tylko pierwszy krok. Ryzyko związane ze współpracą powinno być monitorowane przez cały okres jej trwania, w tym również w odniesieniu do podwykonawców dostawcy.
Monitorowanie łańcucha dostaw może obejmować:
- bieżącą weryfikację zgodności dostawcy z warunkami umowy,
- cykliczną ponowną ocenę ryzyka,
- monitorowanie zmian w zakresie podwykonawców,
- śledzenie incydentów zgłaszanych przez dostawcę,
- weryfikację realizacji wskaźników poziomu usług (SLA),
- analizę informacji o incydentach dotyczących dostawcy z innych źródeł,
- ocenę ryzyka koncentracji w całym łańcuchu dostaw,
- identyfikację zależności pomiędzy dostawcami i podwykonawcami,
- przegląd i aktualizację rejestru dostawców,
- weryfikację gotowości planów wyjścia i ciągłości działania.
Co otrzymujesz w ramach usługi?
W zależności od zakresu projektu Klient może otrzymać:
01 Identyfikację dostawców i podwykonawców
02 Klasyfikację i ocenę ryzyka dostawców
03 Raport oceny bezpieczeństwa dostawców
04 Audyt obowiązujących umów
05 Wzory klauzul umownych i aneksów
06 Rejestr dostawców
07 Procedurę monitorowania łańcucha dostaw
08 Procedurę cyklicznej ponownej oceny
09 Rekomendacje i plan działań naprawczych
10 Szkolenia dla osób odpowiedzialnych za dostawców
Jak wygląda proces wdrożenia?
Etap 1. Identyfikacja dostawców i podwykonawców
Ustalamy pełny zakres dostawców zewnętrznych oraz ich podwykonawców, wraz z powierzonymi im usługami i danymi.
Etap 2. Klasyfikacja i ocena ryzyka
Przypisujemy poziom ryzyka poszczególnym dostawcom w oparciu o krytyczność procesu, zakres dostępu do danych i inne czynniki.
Etap 3. Analiza umów
Weryfikujemy obowiązujące umowy pod kątem wymaganych klauzul bezpieczeństwa, audytu
i podwykonawstwa.
Etap 4. Przygotowanie klauzul oraz wzorów umów
Opracowujemy brakujące postanowienia, aneksy oraz wzorcowe umowy dla nowych dostawców.
Etap 5. Rejestr dostawców
Przygotowujemy strukturę i zawartość rejestru dostawców, wraz z przypisaną oceną ryzyka.
Etap 6. Procedura monitorowania
Ustalamy zasady bieżącego i cyklicznego monitorowania dostawców oraz łańcucha ich podwykonawców.
Opis usługi w skrócie
Ważne pytania
Ocena dostawcy jest weryfikacją ryzyka przeprowadzaną przed zawarciem umowy oraz okresowo w jej trakcie. Monitorowanie łańcucha dostaw to proces ciągły, obejmujący również podwykonawców dostawcy, mający na celu bieżące śledzenie zmian ryzyka przez cały okres współpracy.
Nie. Zakres i częstotliwość oceny powinny być dopasowane do poziomu ryzyka związanego z danym dostawcą, w szczególności do krytyczności wspieranego procesu oraz zakresu dostępu do danych.
Nie. Powierzenie usługi podmiotowi zewnętrznemu nie przenosi odpowiedzialności za bezpieczeństwo danych i ciągłość działania na dostawcę. Organizacja zlecająca musi aktywnie zarządzać tym ryzykiem.
Tak, jeżeli dostawca korzysta z dalszego podwykonawstwa. Ryzyko może materializować się na każdym poziomie łańcucha dostaw, dlatego istotna jest identyfikacja i ocena również dalszych podwykonawców.
Najczęściej pomijane są postanowienia dotyczące prawa do audytu, zasad zgłaszania incydentów, warunków podwykonawstwa oraz procedury wyjścia po zakończeniu współpracy.
Rejestr powinien być aktualizowany na bieżąco przy każdej zmianie (nowy dostawca, zmiana zakresu usługi, zmiana podwykonawcy) oraz weryfikowany cyklicznie w ramach okresowego przeglądu.
W zależności od zakresu projektu Klient może otrzymać:
01 Identyfikację dostawców i podwykonawców
02 Klasyfikację i ocenę ryzyka dostawców
03 Raport oceny bezpieczeństwa dostawców
04 Audyt obowiązujących umów
05 Wzory klauzul umownych i aneksów
06 Rejestr dostawców
07 Procedurę monitorowania łańcucha dostaw
08 Procedurę cyklicznej ponownej oceny
09 Rekomendacje i plan działań naprawczych
10 Szkolenia dla osób odpowiedzialnych za dostawców
Jak najbardziej. Chętnie wyjaśnimy niezrozumiałe kwestie lub pomożemy w innych problematycznych kwestiach. Staramy się także instruować naszych Klientów na każdym etapie realizacji usługi, także po jej wykonaniu.
Jednym zdaniem
Dlaczego właśnie my?
Jesteśmy zespołem specjalistów. Łączymy unikalną wiedzę prawniczą ze specjalistyczną znajomością zagadnień informatycznych. Naszym niewątpliwym atutem jest dogłębna znajomość środowiska biznesowego.
Jak realizujemy nasze projekty?
Pomagamy naszym nowym Klientom na każdym etapie usługi
Ponieważ nasi nowi Klienci nie mają specjalistycznej wiedzy staramy się na każdym etapie naszej współpracy pomagać im dobrze zrozumieć cel naszych działań. Poniżej opisujemy kilka typowych kroków realizowanych standardowo w przypadku nowego projektu:
Jak wygląda współpraca z Klientem?
Przez lata praktyki zrozumieliśmy, że właściwe postępowanie w relacjach z Klientami jest kluczem do sukcesu. Jeśli tym sukcesem będzie zadowolenie naszego Klienta na pewno będziemy stale rozwijać naszą firmę. Filozofia wydaje się prosta ale jednak jej realizacja nastręcza w praktyce wielu problemów. Czasami jest to pragnienie szybkiego i skutecznego osiągnięcia celu a czasami zwykłe niezrozumienie oczekiwań naszych partnerów biznesowych. Jeśli jednak będziemy współpracować na zasadzie poszanowania własnych praw i interesów zrealizujemy wspólne cele. Takie partnerskie podejście tylko w teorii jest codziennością. My jednak wzięliśmy te proste zasady na poważnie. Dzięki temu nieprzerwanie od kilkunastu lat rozwijamy naszą firmę.