Wat zoekt de inkoper van leveranciersrisicobeheer-software in een aanbesteding?
De inkoper van software voor leveranciersrisicobeheer wil een groeiende verplichting nakomen: hij wordt verantwoordelijk gehouden voor zijn keten van derde partijen, en moet bewijzen opvragen bij leveranciers die zelf geen enkele verplichting hebben om ze te produceren. De teksten die hem daartoe verplichten zijn openbaar: de NIS2-richtlijn voor cyberbeveiliging, de DORA-verordening voor de operationele veerkracht van financiële actoren, en de norm ISO/IEC 27036 voor de beveiliging van leveranciersrelaties. DORA is als EU-verordening rechtstreeks van toepassing in de Europese Unie. NIS2 is een EU-richtlijn, in Nederland omgezet door de Cyberbeveiligingswet. Daarnaast bestaat in het Franse recht een specifieke zorgplicht voor moederondernemingen; of een vergelijkbare verplichting in uw rechtsgebied geldt, is te verifiëren. Zijn angst is het risico van een derde partij niet zien aankomen, en niet kunnen bewijzen dat hij heeft gehandeld.
Voor een verkoper is het gevolg direct: het antwoord dat nog een leveranciersvragenlijst verkoopt, verliest, want de inkoper heeft er al een; het antwoord dat toont hoe het risico van begin tot eind te dekken, de bewijsverzameling te automatiseren en de naleving te documenteren, wint.
Welke dimensies moet leveranciersrisicobeheer-software bewijzen?
Een antwoord wordt beoordeeld op vier dimensies, want zij bepalen of de inkoper zijn verplichting werkelijk nakomt.
| Dimensie | Wat de inkoper vreest | Wat de verkoper moet bewijzen |
|---|---|---|
| Risicodekking | een blinde vlek op een type derdenrisico | cyber, financieel, operationeel, extra-financieel |
| Geautomatiseerde verzameling | achter leveranciers aan moeten lopen | herinneringen, verzameling en beoordeling van antwoorden |
| Gedocumenteerde naleving | de actie niet kunnen bewijzen | de tegenwerpbare traceerbaarheid bij een toezichthouder |
| Multitier | alleen de directe rang zien | het zicht op de leveranciers van de leveranciers |
Een antwoord dat deze vier dimensies bewijst, spreekt de verplichting van de inkoper aan; een antwoord gericht op het versturen van vragenlijsten dekt er maar een deel van.
Hoe wordt een antwoord op een aanbesteding voor leveranciersrisico beoordeeld?
Het antwoord wordt beoordeeld op een vragenlijst gewogen per risicodomein en per vermogen, vaak gevolgd door een demonstratie op echte derdenpartij-casussen. Drie gevolgen voor de verkoper: de weging volgt de prioritaire verplichtingen van de inkoper (cyber en financieel voorop bij gereguleerde sectoren); traceerbaarheid en tegenwerpbaar bewijs wegen zwaar; de demonstratie moet de verzameling en beoordeling op echte leveranciers tonen.
De concessie die alles verduidelijkt
Voor een kleine organisatie met enkele niet-kritieke leveranciers volstaat opvolging via een spreadsheet, en is de aanbesteding buiten proportie. De hier beschreven methode dient organisaties die onder NIS2, DORA of een vergelijkbare zorgplicht vallen, waar de verplichting reëel is en het bewijs opeisbaar.
De fouten die een aanbesteding voor leveranciersrisico doen verliezen
- Nog een vragenlijst verkopen: de inkoper wil het risico dekken en de actie bewijzen, niet meer verzamelen.
- Een blinde vlek laten bestaan: een niet gedekt type derdenrisico valt op in het raster.
- Traceerbaarheid verwaarlozen: de inkoper moet aan een toezichthouder kunnen bewijzen dat hij heeft gehandeld.
- Multitier negeren: het risico komt vaak van de leverancier van de leverancier.
- Demonstreren op fictieve casussen: de demonstratie wordt gewonnen op echte derde partijen van de inkoper.
Op het platform Optivalue.ai, dat deze site uitgeeft, stuurt Optivalue Reach herinneringen naar derde partijen en verzamelt hun antwoorden, die het platform beoordeelt en scoort, met tegenwerpbare traceerbaarheid; elk antwoord op de vragenlijst vermeldt zijn bron.
Veelgestelde vragen
Welke teksten citeert u in een antwoord over leveranciersrisicobeheer? De NIS2-richtlijn voor cyberbeveiliging, de DORA-verordening voor de operationele veerkracht van financiële actoren, de norm ISO/IEC 27036 voor de beveiliging van leveranciersrelaties, en, waar van toepassing, een zorgplicht voor grote ondernemingen naar het geldende nationale recht. Dit zijn openbare referenties die de inkoper herkent.
Hoe bewijst u de dekking van het risico van begin tot eind? Door de aanpak van cyber-, financieel, operationeel en extra-financieel risico te beschrijven, en niet alleen het versturen van vragenlijsten. Dekking is een criterium, geen belofte.
Wat is multitier-risico, en waarom behandelt u het? Multitier-risico komt van de leveranciers van uw leveranciers. Het behandelen toont dat de oplossing verder kijkt dan de directe rang, waar de inkoper de meeste blinde vlekken heeft.
Hoe beantwoordt u de traceerbaarheidseis? Door te beschrijven hoe elke beoordeling, herinnering en beslissing wordt tijdgestempeld en gedocumenteerd, op een manier die tegenwerpbaar is bij een toezichthouder of auditor. Traceerbaarheid is vaak het beslissende criterium.
Hoe bereidt u zich voor op de demonstratie? Door echte derdenpartij-casussen van de inkoper te verkrijgen en daarop de verzameling, beoordeling en traceerbaarheid te tonen.
Een echte leveranciersrisicovragenlijst verwerken op uw eigen documenten
Breng een echte aanbesteding voor leveranciersrisicobeheer mee. U ziet de dekking van de eisenextractie, de bronnen geciteerd tot op de pagina en de kloofanalyse op uw antwoord, geen voorbereide demonstratie.
Geciteerde bronnen
- Richtlijn (EU) 2022/2555 (NIS2), beveiliging van netwerk- en informatiesystemen, in Nederland omgezet door de Cyberbeveiligingswet.
- Verordening (EU) 2022/2554 (DORA), digitale operationele veerkracht van de financiële sector, van toepassing in de Europese Unie.
- Zorgplicht voor grote moederondernemingen en opdrachtgevende bedrijven; de toepasselijke verplichting op uw rechtsgebied te verifiëren.
- ISO/IEC 27036, informatiebeveiliging in leveranciersrelaties.