“Kunnen jullie deze security vragenlijst invullen?” Een paar jaar geleden kwam deze vraag vooral vanuit grote organisaties en overheidsinstanties. Tegenwoordig ontvangen ook steeds meer MKB-organisaties vragen over hun informatiebeveiliging, privacybeleid en complianceprocessen en dit kunnen we toetsen door middel van een leveranciersaudit.

Klanten willen namelijk steeds beter weten met wie zij zaken doen. Niet alleen wat je levert, maar ook hoe veilig je werkt en dat is pas het begin.

Van certificeringsaudit naar leveranciersaudit

Waar organisaties vroeger vooral werden beoordeeld door certificerende instanties, zien we een duidelijke verschuiving in de markt. Klanten beoordelen hun leveranciers steeds vaker zelf. Denk bijvoorbeeld aan vragen zoals:

• • Zijn jullie ISO 27001 gecertificeerd?

• • Hoe gaan jullie om met persoonsgegevens?

• • Hebben jullie een incidentmanagementproces?

• • Is multifactor-authenticatie ingericht?

• • Hoe beoordelen jullie leveranciers?

• • Welke beveiligingsmaatregelen zijn getroffen?

• • Kunnen jullie een risicoanalyse overleggen?

Deze vragen komen allang niet meer alleen van enterprise-organisaties. Ook binnen het MKB wordt informatiebeveiliging steeds vaker onderdeel van commerciële trajecten.

Een leverancier wordt onderdeel van jouw risico

Klanten kijken steeds kritischer naar hun leveranciers. En dat is niet zonder reden. Een cyberincident bij een leverancier kan namelijk grote gevolgen hebben voor:

• • Bedrijfscontinuïteit

• • Vertrouwelijke informatie

• • Privacygevoelige gegevens

• • Reputatieschade

• • Contractuele verplichtingen

• • Compliance-eisen

Organisaties willen daarom steeds vaker aantoonbaar kunnen maken dat hun gehele keten voldoende beveiligd is.

De audit begint vaak vóór de offerte

Veel organisaties denken dat een audit pas plaatsvindt nadat een overeenkomst is ondertekend. In werkelijkheid begint deze vaak al veel eerder, bijvoorbeeld wanneer:

• • een security questionnaire wordt verstuurd;

• • aanvullende documentatie wordt opgevraagd;

• • certificeringen moeten worden aangeleverd;

• • processen worden beoordeeld;

• • leveranciersrisico’s in kaart worden gebracht.

Compliance verschuift daarmee steeds vaker van een wettelijke verplichting naar een commerciële noodzaak.

Kun jij deze vragen direct beantwoorden?

Stel jezelf eens de volgende vragen:

• • Weten wij welke beveiligingsmaatregelen zijn ingericht?

• • Hebben wij onze risico’s periodiek beoordeeld?

• • Zijn onze procedures actueel?

• • Hebben wij inzicht in onze leveranciersrisico’s?

• • Kunnen wij een klant direct voorzien van de juiste documentatie?

• • Zijn onze medewerkers voldoende bewust van cyberrisico’s?

Wanneer je voor meerdere vragen moet zoeken naar antwoorden, is dat vaak een signaal dat bestaande processen nog onvoldoende zijn geborgd.

Compliance levert meer op dan alleen een certificaat

Veel organisaties zien compliance nog altijd als een verplicht nummer. In de praktijk levert het vaak veel meer op. Goede compliance helpt organisaties namelijk om:

• • sneller commerciële trajecten te doorlopen;

• • vertrouwen uit te stralen naar klanten;

• • audits eenvoudiger voor te bereiden;

• • cyberrisico’s te beperken;

• • en beter voorbereid te zijn op toekomstige wet- en regelgeving.

Compliance is daarmee steeds vaker een investering in groei.

Wacht niet op die ene grote klant

Een veelgemaakte fout is wachten totdat een grote klant om aanvullende beveiligingseisen vraagt. Op dat moment ontstaat vaak tijdsdruk:

• • Documentatie ontbreekt.

• • Processen moeten nog worden ingericht.

• • Risicoanalyses zijn niet actueel.

• • Verantwoordelijkheden zijn onduidelijk.

Juist daarom loont het om vooruit te denken.

Goede compliance begint met inzicht

Je hoeft niet direct gecertificeerd te zijn om stappen te zetten richting betere informatiebeveiliging. Goede compliance begint vaak met het beantwoorden van een aantal eenvoudige vragen:

• • Waar liggen onze grootste risico’s?

• • Welke eisen stellen onze klanten?

• • Kunnen wij aantonen hoe wij met informatie omgaan?

• • Zijn onze processen toekomstbestendig ingericht?

Door hier tijdig mee aan de slag te gaan, voorkom je verrassingen tijdens commerciële trajecten.

De vraag van morgen wordt vandaag al gesteld

Misschien is de grootste ontwikkeling van dit moment wel dat klanten steeds kritischer kijken naar hun leveranciers.

Het gaat daarbij steeds minder om de vraag:

“Wat kost jullie dienstverlening?”

En steeds vaker om:

“Kunnen wij jullie vertrouwen met onze informatie?”

Een leveranciersaudit hoeft daarbij niet letterlijk een audit te zijn. Soms begint deze simpelweg met een vragenlijst van tien minuten, maar de uitkomst ervan kan wel bepalen of jouw organisatie de volgende stap in het commerciële traject zet.

Dus misschien is de belangrijkste vraag niet of jouw organisatie ooit een leveranciersaudit krijgt, maar of je er vandaag al klaar voor bent. Heb jij moeite met bepalen of jouw organisatie klaar is voor een leveranciersaudit? Neem dan vrijblijvend contact op met één van onze experts.