Palë të treta · 4 min lexim
Segmentim, pyetësorë të synuar, scoring dhe monitorim i vazhdueshëm: një metodë praktike për të njohur vërtet furnitorët dhe partnerët nga të cilët varet kompania.
Çdo kompani varet nga furnitorë, konsulentë, shpërndarës dhe partnerë teknologjikë. Shumë prej tyre kanë qasje te të dhëna, sisteme ose procese kritike, dhe një problem i tyre bëhet shpejt problem i kompanisë: një incident kibernetik, një ndërprerje e furnizimit, një sjellje e pasaktë që përfundon në gazeta me emrin e klientit pranë.
Rregulloret më të fundit e njohin në mënyrë të shprehur. NIS2 kërkon menaxhimin e sigurisë së zinxhirit të furnizimit, GDPR imponon zgjedhjen e përpunuesve që ofrojnë garanci të përshtatshme, rregullat mbi antikorrupsionin dhe qëndrueshmërinë e zgjerojnë vëmendjen te partnerët tregtarë. Due diligence mbi palët e treta nuk është më një kontroll opsional i zyrës së blerjeve, por një proces që përfshin compliance, IT-në, juridikun dhe drejtimin.
Gabimi më i përhapur është t’i trajtosh të gjithë furnitorët njësoj, me të njëjtin pyetësor të gjatë si për atë që furnizon artikujt e shkrimit ashtu edhe për atë që menaxhon serverat. Rezultati është një përpjekje e madhe, përgjigje të plotësuara me nxitim dhe asnjë vëmendje shtesë aty ku do të duhej vërtet.
Ia vlen të nisni nga një klasifikim i bazuar në pak kritere: qasja te të dhëna personale ose sisteme të kompanisë, rëndësia e shërbimit për vazhdimësinë operative, vendi ku vepron furnitori, vlera dhe kohëzgjatja e marrëdhënies, mundësia për ta zëvendësuar në kohë të shkurtra. Mjaftojnë pak pyetje të bëra në momentin e regjistrimit për t’i caktuar çdo pale të tretë një shkallë rreziku.
Çdo shkalle i përgjigjet një nivel i ndryshëm thellimi. Për furnitorët me rrezik të ulët mund të mjaftojë një verifikim bazë i dokumenteve; për ata kritikë nevojiten një pyetësor i plotë, kontrolli i evidencave dhe, në disa raste, një audit te furnitori.
Një pyetësor i mirë due diligence është i shkurtër dhe i kalibruar sipas shkallës së rrezikut. Fushat tipike janë identiteti i shoqërisë dhe i përfituesve real, siguria e informacionit dhe mbrojtja e të dhënave, certifikimet, vazhdimësia operative, etika dhe antikorrupsioni, qëndrueshmëria dhe përdorimi i nënfurnitorëve. Çdo pyetje duhet të ketë një qëllim të saktë: nëse përgjigjja nuk do ta ndryshonte vendimin, pyetja mund të hiqet.
Përgjigjet duhen pastaj verifikuar. Një certifikim i deklaruar duhet shoqëruar me certifikatën dhe skadimin e saj, një politikë sigurie me dokumentin e miratuar, një deklaratë mbi përfituesit real me një ekstrakt të përditësuar nga regjistri tregtar. Burimet e jashtme si listat e sanksioneve dhe regjistrat publikë e plotësojnë kuadrin pa i kërkuar furnitorit asgjë më shumë.
Ia vlen të vendoset paraprakisht edhe kush vlerëson çfarë. Përgjigjet mbi sigurinë kibernetike kërkojnë syrin e IT-së, ato mbi mbrojtjen e të dhënave mendimin e përgjegjësit të privatësisë, ato mbi etikën dhe antikorrupsionin funksionin compliance. Një rrjedhë që ia cakton çdo seksion ekspertit të duhur shmang që pyetësori të mbetet i ndalur mbi tavolinën e një personi të vetëm.
Pyetësori thelbësor
Përgjigjet dhe verifikimet përfundojnë në një pikëzim rreziku, llogaritur me kritere transparente dhe të barabarta për të gjithë. Pikëzimi nuk vendos vetë: shërben për t’i bërë të krahasueshëm furnitorët e ndryshëm dhe për të nxjerrë në pah pikat e dobëta mbi të cilat duhet menduar.
Vendimet e mundshme janë më shumë se dy. Përveç miratimit ose refuzimit, mund të miratohet me kushte: klauzola kontraktore specifike, një plan përmirësimi me afate, kufizime në qasjen te të dhënat, një verifikim i ri brenda afatit të shkurtër. Çdo vendim duhet arsyetuar dhe regjistruar, së bashku me atë që e ka marrë.
Kushtet që dalin nga due diligence duhet të arrijnë deri te kontrata. Një kërkesë sigurie që nuk shfaqet në marrëveshje është e vështirë të zbatohet pikërisht kur nevojitet.
Due diligence nuk shteron në momentin e hyrjes. Certifikimet skadojnë, strukturat e pronësisë ndryshojnë, një furnitor mund të pësojë një incident ose të përfundojë në një listë sanksionesh. Rivlerësimet periodike me frekuencë proporcionale me rrezikun, njoftimet për skadimet e dokumenteve dhe mundësia për ta rihapur vlerësimin kur ndodh diçka e rëndësishme e mbajnë kuadrin të përditësuar.
Moduli Third Party Due Diligence i Regulate ndjek të gjithë ciklin: klasifikimin fillestar, pyetësorë të diferencuar sipas shkallës, mbledhjen e evidencave, scoring të rreziqeve dhe monitorim të vazhdueshëm me alert. I lidhur me të dhënat e furnitorëve në CRM, i bashkon në një kartelë të vetme të dhënat, dokumentet, vlerësimet dhe kontratat, dhe lejon të dëshmohet në çdo moment se si kompania qeveris rreziqet që vijnë nga jashtë.
Vazhdoni leximin
Automatizimi inteligjent po revolucionarizon mënyrën si kompanitë menaxhojnë proceset e përditshme. Strategji për të dixhitalizuar aktivitetet e përsëritura, për të rritur saktësinë dhe për të liruar burime.
Si chatbot-ët inteligjentë dhe mësimi interaktiv e bëjnë menaxhimin e policy-ve më të qasshëm, më tërheqës dhe më të matshëm.
Innovaq është një realitet në fazën e lançimit.