Normity

Supplier management (leveranciersmanagement) is het systematisch beheren van relaties met externe leveranciers — van selectie en beoordeling tot contracten, prestaties en beëindiging. Voor ISO-normen is supplier management een verplicht onderdeel: een organisatie is verantwoordelijk voor de keten, inclusief fouten van leveranciers.

Steeds meer organisaties doen meer uit — en dragen zo risico's, kwaliteit en compliance over aan leveranciers. Incidenten bij leveranciers (datalekken, veiligheidsincidenten, leveringsproblemen) raken jouw organisatie direct. Goed supplier management voorkomt verrassingen en is essentieel voor NIS2-naleving (ketenbeveiliging).

Een leveranciersbeoordeling is de periodieke evaluatie van de prestaties van een leverancier — op kwaliteit, tijdigheid, prijs, samenwerking, compliance en (voor ICT) informatiebeveiliging. ISO 9001 eist periodieke beoordeling; voor kritieke leveranciers typisch jaarlijks, voor andere om de twee of drie jaar.

Een verwerkersovereenkomst (VWO) is een verplicht contract onder de AVG tussen verwerkingsverantwoordelijke en verwerker (leverancier die persoonsgegevens verwerkt namens jou). De VWO regelt beveiligingsmaatregelen, sub-verwerkers, datalek-melding, rechten van betrokkenen en beëindiging. Zonder VWO is de verwerking formeel onrechtmatig.

NIS2 verplicht organisaties in kritieke sectoren om de informatiebeveiliging van hun leveranciers te beoordelen en af te dwingen. Dat betekent audits, contractuele eisen en monitoring van leveranciers. Softwareleveranciers moeten kwaliteit en veiligheid van hun software aantoonbaar borgen. Ketenbeveiliging is een van de belangrijkste NIS2-thema's.

Leveranciersgegevens blijven in het leveranciersregister zolang de relatie bestaat, plus een retentieperiode (typisch 7 jaar voor financiële transacties, Belastingdienst-eis). Evaluaties, audits en prestatiedata worden meestal 3 tot 5 jaar bewaard. Persoonsgegevens (contactpersonen) volgen AVG-bewaartermijnen.

Een goedgekeurd leveranciersbestand (Approved Vendor List, AVL) is een lijst van leveranciers die voldoen aan de eisen van de organisatie en beschikbaar zijn voor inzet. ISO 9001 en andere normen moedigen dit aan: je werkt alleen met leveranciers die zijn beoordeeld. Voor inkoop buiten de AVL geldt vaak een goedkeuringsprocedure.

Cloud-leveranciers zijn een speciale categorie: je ziet geen infrastructuur, dus je moet vertrouwen op contractuele afspraken, certificeringen (ISO 27001, SOC 2, ISO 27701) en onafhankelijke assurance-rapporten (ISAE 3000, ISAE 3402). Voor kritieke cloud-diensten vraag je expliciet naar exit-strategie en data-portabiliteit.