Eerst een korte afbakening: de term heeft twee verschillende betekenissen, en de meeste lezers zoeken specifiek naar een van de twee.
De ene vorm van leverancierscompliance draait om de toeleveringsketen. Daarbij gaat het erom dat leveranciers de regels van een afnemer volgen voor het verzenden, etiketteren en verpakken van goederen. Bij een verkeerd aangeleverde pallet worden bijvoorbeeld kosten doorberekend. Grote retailers hebben hiervoor omvangrijke programma’s. Zoek je informatie over dit onderwerp, dan heb je meer aan een artikel met “retail” of “EDI” in de titel.
De andere vorm, waar dit artikel over gaat, draait om risico. Daarbij moet je ervoor zorgen dat de derden waarvan een bedrijf afhankelijk is, daadwerkelijk voldoen aan de verplichtingen waarvoor dat bedrijf verantwoordelijk blijft. Dit is de variant waar compliance officers, fondsbeheerders en iedereen die verantwoording aflegt aan een toezichthouder of een LP ’s nachts wakker van ligt. En die blijkt lastiger te doorgronden dan op het eerste gezicht lijkt.
Wat leverancierscompliance precies inhoudt
Eenvoudig gezegd houdt leverancierscompliance in dat een organisatie verantwoordelijk blijft voor de verplichtingen die haar leveranciers namens haar uitvoeren.
Die formulering verdient aandacht. Wanneer je een activiteit uitbesteedt aan een derde, zoals salarisadministratie, gegevensopslag, identiteitsverificatie of betalingsverwerking, draag je het werk over. De verantwoordelijkheid draag je niet over. Schiet de leverancier tekort op een manier die klanten, gegevens of je positie bij toezichthouders raakt, dan is dat het probleem van de opdrachtgevende organisatie. Met “dat heeft onze leverancier gedaan” heeft nog vrijwel niemand zich met succes bij een toezichthouder kunnen verdedigen.
Veel mensen vatten leverancierscompliance beperkt op: heeft de leverancier een SOC 2-rapport? In werkelijkheid is het veel breder. Die volledige reikwijdte overzien is het halve werk.
Wat er allemaal onder valt
Een leverancier heeft allerlei verplichtingen die ongemerkt op het bord van de afnemer belanden zodra er iets misgaat.
Beveiliging ligt het meest voor de hand. Een datalek bij de leverancier is in de praktijk ook jouw datalek, want het zijn jouw gegevens die in diens systemen staan. Klanten zullen niet nauwkeurig uitzoeken wie er technisch gezien schuld heeft.
Gegevensbescherming hangt hiermee samen en is ingewikkelder, omdat verplichtingen door hele ketens heen lopen. Een leverancier heeft subverwerkers. Die hebben op hun beurt weer eigen subverwerkers. Verplichtingen onder GDPR en CCPA gelden in die hele keten. Daarmee strekt de verantwoordelijkheid zich uit tot schakels die nooit rechtstreeks zijn beoordeeld en soms zelfs nooit bekend zijn gemaakt.
Daarbovenop komen de wettelijke vereisten: vergunningen, registraties en de status ten aanzien van sancties. Een leverancier die een vereiste vergunning kwijtraakt of op een lijst belandt waarop die niet hoort te staan, verandert zonder waarschuwing van een onopvallende kostenpost in een actueel compliance-incident.
Ook financiële gezondheid hoort erbij. Juist dat aspect wordt vaak vergeten, omdat het niet als “compliance” voelt. Een leverancier die op insolventie afstevent, dreigt een deel van je bedrijfsvoering mee te sleuren. Meestal gebeurt dat op het slechtst mogelijke moment, met nauwelijks tijd om te reageren.
Juridische kwesties en reputatie maken het geheel compleet: rechtszaken, het naleven van contracten en het simpele feit dat het publieke gedrag van een leverancier afstraalt op de organisatie die deze heeft ingeschakeld. Dat geldt zeker voor organisaties die onder toezicht staan of verantwoording afleggen aan institutionele investeerders die het nieuws volgen.
De rode draad is dat geen van deze aspecten zich leent voor een eenmalige controle. Het zijn allemaal omstandigheden die in de loop van de tijd veranderen. Dat is precies waar de volgende paragrafen om draaien.
Verwachtingen rond leverancierscompliance verschillen sterk per sector
Wat “goed” is, hangt sterk af van de sector. Daarom heeft vrijwel niemand genoeg aan algemeen advies over dit onderwerp. Het helpt om enkele belangrijke varianten door te nemen, want de eisen lopen sterk uiteen.
In de financiële dienstverlening ligt de lat het hoogst en wordt er het meest nadrukkelijk gehandhaafd. Toezichthouders verwachten aantoonbaar, doorlopend toezicht op derden. Zij beschouwen uitbesteding als het overdragen van werk, zonder overdracht van verantwoordelijkheid, en beoordelen leveranciersbeheer als een volwaardig vakgebied. Vooral blootstelling aan sancties via een leverancier geldt zonder meer als het probleem van de opdrachtgevende instelling.
In de zorg staan gegevens centraal. Een leverancier die beschermde gezondheidsgegevens verwerkt, is in de terminologie van het betreffende stelsel een business associate. De covered entity blijft verantwoordelijk voor wat die partij met de gegevens doet. De overeenkomst op papier is slechts het begin; de verantwoordelijkheid loopt door.
Bij technologie en SaaS draait het om het beveiligingsniveau en de keten van subverwerkers. Grote zakelijke klanten vragen steeds vaker om meer dan alleen de eigen certificeringen van een leverancier. Ze willen ook bewijs dat die leverancier toezicht houdt op de eigen leveranciers, want de keten is slechts zo sterk als de zwakste schakel.
In de retail en productie verwijst de term vaker naar de operationele betekenis: verzending, etikettering, verpakking en serviceniveaus. Grotere retailers nemen inmiddels ook ethische en wettelijke eisen op in hun leveranciersprogramma’s. Naast logistiek gaat het dan bijvoorbeeld om arbeidsomstandigheden en herkomst.
Bij vastgoed- en facilitair beheer heeft leverancierscompliance vaak een heel specifieke, concrete betekenis: verzekeringsbewijzen, vergunningen en aansprakelijkheidsdekking voor de opdrachtnemers die toegang tot een locatie krijgen. Het gaat mis wanneer een opdrachtnemer zonder geldige dekking schade veroorzaakt waarvoor de beheerder aansprakelijk wordt.
In al deze sectoren nemen de eisen toe naarmate een leverancier met gevoeligere zaken werkt en de opdrachtgevende organisatie sterker gereguleerd is. Fondsen en banken bevinden zich aan het veeleisende uiteinde. Maar zelfs de lichtste variant is de afgelopen jaren veranderd van een formaliteit in iets wat afnemers en toezichthouders actief controleren.
De onderdelen van een kader voor leverancierscompliance
Ongeacht de sector bestaat een werkend kader voor leverancierscompliance doorgaans uit dezelfde paar onderdelen. Het helpt om ze te benoemen, want de meeste organisaties hebben sommige onderdelen wel en andere niet. Juist waar iets ontbreekt, ontstaan meestal de problemen.
Het begint met beleid dat vastlegt wat de organisatie precies van leveranciers verlangt en wie binnen de organisatie verantwoordelijk is voor de relatie. Zonder dat wordt alles wat volgt improvisatiewerk.
Daarna volgt een leveranciersregister: een volledige lijst van alle leveranciers. Dat klinkt eenvoudig, maar is het vrijwel nooit. Software wordt met zakelijke betaalkaarten aangeschaft en diensten worden afgenomen zonder dat daar een centraal proces aan te pas komt. Een kader dat een lijst monitort waarop een derde van de werkelijke leveranciers ontbreekt, houdt een geruststellende fictie in de gaten.
Vervolgens deel je leveranciers in risicoklassen in op basis van de schade die hun uitval zou veroorzaken. Zo concentreer je de aandacht waar die nodig is, in plaats van die gelijkmatig en te dun over alles te verdelen.
Due diligence bij onboarding is het onderdeel dat de meeste organisaties al hebben: de vragenlijst, de controle van certificaten, het referentiegesprek. Noodzakelijk, maar ook het onderdeel dat mensen verwarren met het volledige kader.
Doorlopende monitoring ontbreekt bij de meeste organisaties. Juist dit onderdeel maakt van het kader een daadwerkelijke beheersmaatregel in plaats van een administratieve exercitie. Je volgt de leveranciers die ertoe doen op veranderingen tussen de beoordelingen door.
Tot slot zijn er contractuele bepalingen en een vastgelegde aanpak bij problemen: het recht om audits uit te voeren, de meldplicht en een duidelijke volgorde van stappen wanneer een leverancier niet meer aan de eisen voldoet. Een kader zonder afdwingbare afspraken en zonder plan voor als het misgaat, is een ordner, geen beheersmaatregel.
Waarom leverancierscompliance belangrijker is dan enkele jaren geleden
Leverancierscompliance was ooit een formaliteit: een vragenlijst in een la, die er bij audits weer uitkwam. Drie ontwikkelingen hebben er een actueel aandachtspunt van gemaakt.
De eerste is regelgeving. Richtlijnen van toezichthouders stellen inmiddels uitdrukkelijk dat de verantwoordelijkheid niet met het werk wordt overgedragen. Volgens het standpunt van CFPB over dienstverleners blijft een onderneming verantwoordelijk voor consumentenbescherming, ook als zij die taak uitbesteedt. Doorlopend toezicht op derden geldt daarbij als onderdeel van een complianceprogramma, niet als een vrijblijvende extra. Dezelfde gedachte ligt ten grondslag aan de aanbevelingen van FATF over doorlopende due diligence.
De tweede is dat het aanvalsoppervlak is verschoven. Een moderne onderneming steunt op tientallen leveranciers, die elk toegang bieden tot haar gegevens. Aanvallen via derden en toeleveringsketens behoren inmiddels tot de meest voorkomende oorzaken van datalekken. Het jaarlijkse Verizon Data Breach Investigations Report laat zien dat het aandeel datalekken waarbij een derde betrokken is, jaar na jaar stijgt. De beveiliging van een organisatie hangt nu deels af van de beveiliging van haar leveranciers. Dat is een ongemakkelijke afhankelijkheid die je ook nog eens moet bewaken.
De derde ontwikkeling is commercieel. Grote zakelijke afnemers en institutionele beleggers zijn gaan vragen hoe een organisatie toezicht houdt op leveranciers, in plaats van alleen of ze ooit zijn gecontroleerd. Dat toezicht is een voorwaarde geworden voor deals en financieringsrondes. Leverancierscompliance dient daarmee niet langer uitsluitend om schade te voorkomen. Zwak leverancierstoezicht remt nu ook de omzet, en dat trekt doorgaans sneller de aandacht dan welk argument over regelgeving ook.
Wat gebrekkige leverancierscompliance werkelijk kost
De gevolgen van fouten zijn concreet. Het helpt om precies te benoemen op welke manieren ze je raken.
Het meest directe risico is een datalek dat bij een leverancier ontstaat. De opdrachtgevende organisatie draagt de meldplichten, het risico op maatregelen van toezichthouders en de reputatieschade, ongeacht wiens systemen daadwerkelijk zijn getroffen. Klanten maken dat onderscheid niet, en toezichthouders steeds minder.
Daarnaast kunnen er afzonderlijke sancties van toezichthouders volgen. Blijkt een leverancier niet aan de regels te voldoen, bijvoorbeeld door zonder vergunning te werken, als tegenpartij onder sancties te vallen of als verwerker onzorgvuldig met gegevens om te gaan, dan kan dat leiden tot handhaving tegen de organisatie die op die leverancier vertrouwde. Het uitgangspunt is dat de verantwoordelijkheid nooit overdraagbaar was.
Financieel verlies door het wegvallen van een leverancier krijgt minder aandacht. Wanneer een cruciale leverancier insolvent wordt, kan de bedrijfsvoering stilvallen. Midden in een crisis haastig een vervanger zoeken brengt kosten met zich mee die zelden in een risicomodel staan voordat het zover is.
Fraude verdient aparte aandacht, want leveranciersrelaties zijn een geliefde route voor fraudeurs. Een e-mail vanaf een gehackt of vervalst leveranciersadres met het verzoek betaalgegevens te wijzigen, is een van de betrouwbaarste aanvalsmethoden. Juist omdat de betaling verwacht werd en het verzoek legitiem lijkt. Gebrekkige leveranciersverificatie maakt het succes mogelijk.
Onder al deze gevolgen ligt een kostenpost die zich langzaam opbouwt: het afbrokkelende vertrouwen van klanten, toezichthouders en investeerders na een leveranciersincident. Dat vertrouwen herstellen duurt veel langer dan het ontstaan van het incident.
De valkuil waar bijna iedereen in trapt
Zo werkt leverancierscompliance in de meeste organisaties in de praktijk. Tijdens onboarding gaat er een vragenlijst uit. Er komt een certificaat terug, dat wordt opgeslagen. Er wordt een vakje aangevinkt. Daarna gebeurt er meestal niets meer tot de verlenging, als die überhaupt tot actie leidt.
De onuitgesproken aanname onder dat proces is dat een leverancier niet verandert. Eén keer controleren zou genoeg zijn om op die controle te blijven vertrouwen.
Dat is niet zo, want een leverancier verandert wel degelijk. Tussen de onboarding en de volgende keer dat iemand kijkt, kan elk van de volgende dingen gebeuren. Meestal zonder dat je daar netjes een e-mail over krijgt.
Een certificering verloopt en wordt niet verlengd. Subverwerkers veranderen, waardoor gegevens terechtkomen op een plek die nooit is beoordeeld. Er vindt een datalek plaats. De financiële positie verslechtert ongemerkt. De leverancier wordt overgenomen, mogelijk door een bedrijf dat zelf nooit als leverancier zou zijn goedgekeurd. De sleutelfiguren van wie de deskundigheid daadwerkelijk is beoordeeld, vertrekken. De sanctiestatus of juridische status verandert.
Elk van die veranderingen wijzigt het risico dat de organisatie heeft aanvaard. Een jaarlijkse beoordeling, of een beoordeling die alleen bij verlenging plaatsvindt, signaleert geen van deze veranderingen op het moment dat het ertoe doet.
Daarom is een andere kijk nodig. De kern van dit artikel past in één zin: leverancierscompliance is geen document dat je verzamelt, maar een toestand die je bewaakt. Het probleem is dat de meeste ondernemingen het als het eerste behandelen, terwijl ze volledig verantwoordelijk blijven voor het tweede.
De organisatie heeft de huidige leverancier niet goedgekeurd. Ze heeft de leverancier goedgekeurd zoals die bij onboarding was. Dat zijn steeds vaker verschillende bedrijven.
De algemene gedachte hierachter, dat risico niet ophoudt zodra een relatie begint, wordt hier uitgewerkt. Leverancierscompliance is hetzelfde probleem in een andere gedaante.
Hoe je leverancierscompliance beoordeelt
Een goede leveranciersbeoordeling volgt een vrij vaste opbouw. Het loont om die expliciet vast te leggen, in plaats van voor elke leverancier opnieuw te improviseren.
Begin met het indelen van de leverancier. Waar heeft deze toegang toe, hoe cruciaal is deze en hoeveel schade zou uitval veroorzaken? Dat bepaalt hoe diepgaand de volgende stappen moeten zijn. Een leverancier met een laag risico vraagt niet om dezelfde grondigheid als een cruciale leverancier. Behandel je ze gelijk, dan verspil je aandacht die juist voor de cruciale leveranciers nodig is.
Verzamel vervolgens het bewijsmateriaal dat bij die risicoklasse past: certificeringen, beveiligingsdocumentatie, financiële positie, vergunningen, verzekeringen en referenties. Voor een leverancier in een hoge risicoklasse doe je dat grondig; bij een lage risicoklasse houd je de inspanning evenredig.
Controleer het bewijs ook echt, in plaats van het alleen te verzamelen. Een opgeslagen certificaat bewijst dat er een document bestaat, niet dat de onderliggende beheersmaatregel werkt. Bij de leveranciers die ertoe doen, moet de beoordeling de inhoud bevestigen. Alleen afvinken dat de documenten zijn ontvangen, is niet genoeg.
Beoordeel de leverancier aan de hand van de vastgelegde eisen van de organisatie, documenteer de tekortkomingen en besluit per tekortkoming wat je doet: accepteren, herstel eisen of afwijzen. De vastlegging is even belangrijk als het besluit. Kunnen aantonen dat de beoordeling heeft plaatsgevonden, vormt namelijk een groot deel van wat een toezichthouder of auditor daadwerkelijk controleert.
Leg bovendien vast hoe de doorlopende beoordeling eruitziet voordat je verdergaat. Juist die stap onderscheidt een echt programma van compliance voor de bühne. Hoe wordt deze leverancier gemonitord, hoe vaak en wat is aanleiding voor een nieuwe beoordeling? Door dat tijdens de beoordeling te bepalen, in plaats van nooit, voorkom je dat de beoordeling een snel verouderende momentopname wordt.
Hoe je een proces voor leverancierscompliance opzet
Om dit alles om te zetten in een herhaalbaar proces, in plaats van een eenmalige krachtsinspanning die daarna verwatert, volstaat een overzichtelijke reeks stappen.
Maak eerst het leveranciersregister, want zonder dat werkt niets. Neem iedere leverancier op, ook partijen die buiten een centraal proces om zijn ingeschakeld. Declaraties zijn meestal de snelste manier om de leveranciers te vinden die niemand heeft geregistreerd.
Deel ze in naar risico, zodat de inspanning terechtkomt waar uitval het hardst zou aankomen. Een uniform proces dat elke leverancier identiek behandelt, put het team uit met onbeduidende leveranciers of onderzoekt risicovolle leveranciers te weinig. Meestal gebeurt allebei.
Standaardiseer de due diligence bij onboarding, zodat iedere nieuwe leverancier dezelfde beoordeling doorloopt die bij de risicoklasse past. De beoordeling mag niet afhangen van wie de leverancier toevallig heeft aangebracht.
Voeg doorlopende monitoring toe voor de leveranciers die ertoe doen. Zo komen veranderingen tussen beoordelingen, zoals datalekken, verlopen certificeringen, financiële problemen, sancties en eigendomswijzigingen, aan het licht wanneer ze plaatsvinden. Anders gebeurt dat pas bij de volgende geplande beoordeling, als ze dan al worden ontdekt.
Leg vast hoe je op signalen reageert, zodat ze ergens terechtkomen en iemand ermee aan de slag gaat. Een gemonitorde leverancier met een melding waarvoor niemand verantwoordelijk is, wordt feitelijk niet beter bewaakt dan een leverancier die helemaal niet wordt gevolgd.
Plan ook een evaluatie van het proces zelf. Een proces voor leverancierscompliance verwatert namelijk net zo ongemerkt als risicobeleid. Door in een rustige periode alvast een datum in de agenda te zetten, merk je die achteruitgang op voordat het gevolgen heeft.
Welke soorten tools helpen bij leverancierscompliance
De hulpmiddelen vallen uiteen in een aantal afzonderlijke categorieën. Net als bij risicosoftware in het algemeen kunnen die categorieën elkaar niet vervangen. Dat moet duidelijk zijn voordat je iets aanschaft.
Platforms voor risicobeheer van derden ondersteunen het proces: vragenlijsten versturen, certificeringen verzamelen en opslaan, de status van beoordelingen volgen en de hele leveranciersrelatie beheren. Dit is de categorie die de meeste mensen bedoelen met “software voor leverancierscompliance”. Voor het beheer van vragenlijsten en verklaringen is dit het juiste hulpmiddel.
Diensten voor beveiligingsbeoordelingen geven doorlopend een score aan het van buitenaf zichtbare beveiligingsniveau van een leverancier. Ze laten zien hoe kwetsbaar een leverancier lijkt, zonder dat medewerking van die leverancier nodig is.
Tools voor betalings- en leveranciersverificatie richten zich specifiek op fraude. Ze bevestigen dat betaalgegevens daadwerkelijk bij de opgegeven leverancier horen en bieden zo bescherming tegen aanvallen met vervalste facturen.
Daarnaast is er doorlopende risk intelligence over entiteiten, de categorie waartoe Beady AI behoort. Die bewaakt de externe risico’s rond entiteiten: sancties, negatieve media, bedrijfs- en eigendomswijzigingen, rechtszaken en identiteitsmisbruik bij leveranciers en andere entiteiten waarmee een organisatie te maken heeft. Elk signaal is herleidbaar tot een bron die je kunt openen en controleren.
Deze categorieën vullen elkaar aan en concurreren niet met elkaar. Een gedegen leveranciersprogramma gebruikt er vaak meer dan één. Welke plaats ze elk innemen en waarvoor ze precies dienen, wordt hier in kaart gebracht.
Waar Beady wel en niet past
Hier is nauwkeurigheid nodig. Leverancierscompliance is breed en de indruk is snel gewekt dat een oplossing meer afdekt dan werkelijk het geval is.
Beady dekt één onderdeel af: de externe risico’s rond entiteiten. Sancties, negatieve media, bedrijfs- en eigendomswijzigingen, rechtszaken en identiteitsmisbruik worden doorlopend gemonitord bij leveranciers en andere entiteiten. Elk signaal is herleidbaar tot een verifieerbare bron. Juist dit onderdeel blijft tussen onboarding en verlenging vaak zonder toezicht.
Beady is geen volledig pakket voor risicobeheer van derden. Het verstuurt geen beveiligingsvragenlijsten, verzamelt en beheert geen SOC 2-verklaringen en verzorgt het onboardingproces voor leveranciers niet. Heeft een organisatie behoefte aan beoordeling van het beveiligingsniveau en beheer van vragenlijsten, dan is voor die specifieke taak een gespecialiseerd TPRM-platform of de leveranciersrisicomodule van een groter GRC-pakket geschikt.
De juiste voorstelling van zaken is dat de twee elkaar aanvullen. Vragenlijsttools leggen vast hoe een leverancier er bij de beoordeling voorstond. Doorlopende monitoring van entiteiten volgt wat er daarna verandert. De meeste ondernemingen die wezenlijke leveranciersrisico’s lopen, hebben uiteindelijk beide nodig.
Een eerste stap in tien minuten
Je kunt vanmiddag al een eerste beeld krijgen van de tekortkomingen in je eigen leverancierscompliance, zonder enige tool.
Zet de tien belangrijkste leveranciers op een rij, gerangschikt naar de schade die hun uitval zou veroorzaken. Het gaat om de grootste afhankelijkheden, niet om de hoogste facturen.
Beantwoord voor elk van hen twee vragen. Wanneer is voor het laatst daadwerkelijk gecontroleerd of de leverancier aan de eisen voldoet, los van het certificaat in het dossier? En hoe zou de organisatie er morgen achter komen als er iets wezenlijks verandert, zoals een datalek, een verlopen vergunning, een overname of een sanctiehit?
Tel vervolgens bij hoeveel van de tien je niet beide vragen kon beantwoorden.
Dat aantal laat zien waar je leverancierscompliance tekortschiet. Het valt meestal hoger uit dan verwacht, want een certificaat in het dossier voelt als kennis. Tot iemand vraagt wat er sinds de afgifte is gebeurd.
Veelgestelde vragen
Leveranciersbeheer omvat de hele relatie: leveranciers selecteren, contracten uitonderhandelen, prestaties en kosten beheren en uiteindelijk de relatie beëindigen. Leverancierscompliance is het onderdeel dat specifiek draait om de vraag of de leverancier voldoet aan de verplichtingen waarvoor de opdrachtgevende organisatie verantwoordelijk blijft. Compliance valt onder leveranciersbeheer en is het onderdeel waarop toezichthouders kunnen handhaven.
Nee, al wordt het heel vaak zo uitgevoerd. Dat is precies het centrale probleem. De verantwoordelijkheid voor een leverancier duurt de hele relatie, niet alleen tijdens onboarding. Certificeringen, subverwerkers, financiële gezondheid, eigendom en sanctiestatus kunnen allemaal veranderen tussen beoordelingen. Een eenmalige controle signaleert geen van die veranderingen.
De organisatie die de leverancier heeft ingeschakeld. Bij uitbesteding wordt het werk overgedragen, maar de verantwoordelijkheid blijft bij de opdrachtgever. Toezichthouders benoemen dit principe uitdrukkelijk. Intern ligt de verantwoordelijkheid meestal bij compliance, inkoop of een aangewezen relatiebeheerder. De aansprakelijkheid rust echter bij de opdrachtgevende organisatie, ongeacht hoe het werk intern is verdeeld.
Een datalek bij een leverancier, waarbij de opdrachtgevende organisatie de meldplichten en reputatieschade draagt. Een sanctie van een toezichthouder doordat een leverancier de regels niet naleeft. Operationeel en financieel verlies wanneer een cruciale leverancier uitvalt. En fraude, vooral aanvallen met vervalste facturen die door gebrekkige leveranciersverificatie slagen. Onder al deze risico’s ligt het langzaam afbrokkelende vertrouwen van klanten en toezichthouders.
Een formele herbeoordeling vindt doorgaans jaarlijks plaats, afgestemd op de risicoklasse. Cruciale leveranciers worden vaker en grondiger beoordeeld dan leveranciers met een laag risico. Maar formele herbeoordeling is niet hetzelfde als monitoring. De gebeurtenissen die daadwerkelijk tot leveranciersincidenten leiden, zoals datalekken, verlopen vergunningen of certificeringen, sancties en overnames, volgen hun eigen tijdschema. Ze houden zich niet aan de beoordelingskalender. Daarom verdienen cruciale leveranciers doorlopende monitoring naast periodieke beoordeling.
Het geheel van onderdelen dat leverancierscompliance herhaalbaar maakt in plaats van geïmproviseerd: beleid dat eisen en verantwoordelijkheden vastlegt, een volledig leveranciersregister, een indeling in risicoklassen, due diligence bij onboarding, doorlopende monitoring en contractuele bepalingen met een vastgelegde aanpak bij problemen. De meeste organisaties hebben enkele van deze onderdelen. Waar onderdelen ontbreken, ontstaan meestal de incidenten.
Er zijn verschillende categorieën die elkaar niet vervangen: platforms voor risicobeheer van derden voor het verwerken van vragenlijsten en verklaringen, diensten voor beveiligingsbeoordelingen die het beveiligingsniveau van buitenaf scoren, tools voor betalingsverificatie om fraude te voorkomen en doorlopende risk intelligence over entiteiten om sancties, negatieve media, eigendomswijzigingen en identiteitsmisbruik bij leveranciers te monitoren. Een gedegen programma combineert er meestal meer dan één.
Ja, en “evenredig” is het sleutelwoord, al werkt dat twee kanten op. Een klein bedrijf heeft minder inrichting nodig: geen platform voor grote ondernemingen en geen apart team voor leveranciersrisico’s. De verantwoordelijkheid is echter niet kleiner, en de gevolgen wanneer een cruciale leverancier uitvalt evenmin. Een kleine onderneming heeft immers minder mogelijkheden om de klap op te vangen. Het begint met weten welke paar leveranciers het bedrijf daadwerkelijk ten onder kunnen laten gaan.
Conclusie
Hier komt het op neer. Een leverancier valt onder jouw verantwoordelijkheid zodra je werk overdraagt. Dat blijft zo tot de relatie eindigt. Je kunt je daar niet aan onttrekken door niet te kijken.
Het certificaat in je dossier vertelt hoe een leverancier ervoor stond op de dag van onboarding. Het zegt niets over het bedrijf van nu. Alles wat sindsdien is veranderd, zoals een nieuwe eigenaar, een verlopen vergunning, een datalek of een sanctiehit, ligt in de ruimte tussen die twee momenten. En die ruimte vormt het risico dat de organisatie al heeft aanvaard.
Volgen wat er gebeurt is beter dan het pas bij verlenging ontdekken. Plan een sessie, dan laat Beady het zien met een actuele leverancierslijst. De meeste ondernemingen ontdekken bij de eerste controle al iets wat ze nog niet wisten.
