SC.03 Leveranciersrisicomanagement
Risico’s met betrekking tot het vermogen van leveranciers om effectieve dienstverlening op een veilige en efficiënte manier voort te zetten worden voortdurend geïdentificeerd en beperkt. Contracten voldoen aan universele zakelijke standaarden in overeenstemming met wet- en regelgeving. Risicomanagement neemt aspecten als niet-openbaarmakingsovereenkomsten (non-disclosure agreements/NDA’s), escrow-contracten, voortdurende levensvatbaarheid van de leverancier, conformiteit met beveiligingseisen, alternatieve leveranciers, boetes en beloningen enzovoorts in overweging. Leveranciersrisicomanagement is van belang om een leverancier te vinden die voldoet aan de business requirements en om risico’s tijdens de duur van het contract te inventariseren. Voorbeelden hiervan zijn levensvatbaarheid van de leverancier, naleving van beveiligingseisen, conventionele vergoedingen en bonussen.
Toetsingskader
- Er is een proces voor leveranciersrisicomanagement gedefinieerd, geïmplementeerd en goedgekeurd door het bevoegd gezag.
- Over niet-gemitigeerde of geaccepteerde risico’s wordt periodiek aan het (senior) management gerapporteerd.
- Risico’s betreffende het vermogen van de leverancier om effectief en veilig (cloud)diensten te leveren worden voortdurend geanalyseerd en beperkt
- Contracten zijn conform algemene bedrijfsstandaarden en voldoen aan wet- en regelgeving (e.g., data privacy).
- In het proces voor leveranciersrisicomanagement wordt rekening gehouden met non-disclosure agreements (NDA’s), escrow-contracten, levensvatbaarheid van leveranciers, compliance met beveiligingseisen, alternatieve leveranciers, boetes en beloningen, et cetera.
- Voordat de contracten worden ondertekend wordt een assurance verkregen, die aantoont dat de levering van diensten voldoet aan wet- en regelgeving en ook aan het eigen (beveiligings)beleid.
Hoe pak je dit aan?
Beschrijf en implementeer een proces voor leveranciersrisicomanagement, om de betrouwbaarheid en duurzaamheid van de toeleveringsketen te waarborgen. Zo'n proces stelt jullie organisatie in staat proactief potentiële risico's te identificeren, evalueren en beheren. Het omvat stappen als leveranciersbeoordeling, risico-identificatie en monitoring.
Wat kan Heutink ICT voor jullie betekenen?
- Consultancy (Cybersecurity Consultant/Privacy Officer/ICT-regisseur).
- Mitigeren hoge risico's
- Ketenbeheer
- Dienst van derden
- Dienst van Heutink ICT
- Visie, beleid en organisatie
- Onderwijsorganisatie
Benieuwd naar onze visie op digitale veiligheid en privacy?
We hebben een bredere opvatting over digitale veiligheid en privacy die we samen met de door ons geïmplementeerde processen en systemen hebben beschreven in de beveiligingswijzer. Ben jij bestuurder of bovenschoolse ict'er en klant bij ons? Vraag dan onze beveiligingswijzer aan.
