Leverantörshantering & tredjepartsrisk

Vanliga frågor om leverantörsstyrning

Vad är skillnaden mellan leverantörsstyrning och tredjepartsrisk?

Tredjepartsrisk är de risker som uppstår för att ni är beroende av andra, till exempel leverantörer, personuppgiftsbiträden och samarbetspartner. Leverantörsstyrning är processen ni använder för att styra dem: registrering, bedömning, avtal och löpande uppföljning.

Vilka krav ställer ISO 27001 på leverantörsstyrning?

ISO 27001:2022 har fem kontroller i Annex A (5.19–5.23) om leverantörsrelationer. De omfattar bland annat säkerhetskrav i avtal, säkerhet i leveranskedjan för IT-tjänster, löpande övervakning av leverantörernas tjänster och säkerhet vid användning av molntjänster.

Hur bedömer man en leverantörs säkerhet i NorthGRC?

Ni skickar ett frågeformulär till leverantörens kontaktperson via en säker länk. NorthGRC har mallar baserade på bland annat ISO 27002 och ISAE 3000, och ni kan anpassa frågorna och bestämma vilka svar som är acceptabla, så att svaren går att jämföra.

Hur håller vi ordning på personuppgiftsbiträdesavtal och kontrakt?

Avtal som personuppgiftsbiträdesavtal, kontrakt och SLA:er registreras på respektive leverantör med start- och slutdatum. Ungefär en månad före slutdatumet får den ansvariga för leverantören en påminnelse om att se över avtalet.

Vad ska ett system för leverantörshantering kunna?

Det ska samla alla leverantörer i ett register med kritikalitet och ansvarig, hålla koll på avtal och deras slutdatum, skicka säkerhetsfrågeformulär och registrera incidenter hos leverantörer. En översikt över de mest kritiska leverantörerna och möjlighet att exportera underlag till revision gör leverantörsuppföljningen enklare.

Innehåll

Innehåll

Leverantörs- och tredjepartshantering

Leverantörsstyrning med sammanhängande överblick över tredjepartsrisker

Vad är leverantörsstyrning?

ISO 27001

GDPR

NIS2

En gemensam källa för leverantörer, avtal och personuppgifts-biträdesavtal

Standardiserad leverantörs-due diligence utan manuell uppföljning

Omvandla leverantörssvar till tydlig riskinsikt

Full kontext genom integrerad historik och incidenter

Revisionsklar dokumentation utan sista-minuten-arbete