Procediment del pla de gestió de riscos del venedor

 

introducció

TEl seu Pla de gestió de riscos de proveïdors té com a objectiu establir un marc per gestionar i mitigar de manera eficaç els riscos associats amb proveïdors de tercers a l'Hudson County Community College. El procediment descriu els processos i procediments per a l'avaluació, la selecció i el seguiment continu dels proveïdors per garantir la seguretat, el compliment i la fiabilitat de les relacions amb els proveïdors. El procediment se centra principalment a recopilar i revisar informació sobre la idoneïtat i la seguretat del venedor i avaluar els termes i condicions i el llenguatge del contracte durant la signatura i renovació inicial del contracte.

  1. Procés de selecció de venedors
    1. Identificació de venedors: identifiqueu possibles venedors en funció dels requisits i necessitats de la universitat.
    2. Avaluació inicial del proveïdor: avalueu els possibles venedors mitjançant els criteris següents:
      1. Qualificacions i experiència
      2. Reputació i referències
      3. Estabilitat financera
      4. Normes de seguretat i compliment
      5. Acords de nivell de servei
    3. Sol·licitud de proposta (RFP): prepareu i emeteu una sol·licitud de proposta, si cal, als proveïdors seleccionats que descriguin les expectatives, els requisits i els criteris d'avaluació de la universitat.
    4. Avaluació de proveïdors: avalueu les propostes dels venedors en funció de criteris predefinits i realitzeu les entrevistes o presentacions necessàries.
    5. Selecció de proveïdors: seleccioneu els venedors en funció dels resultats de l'avaluació, tenint en compte factors com ara el cost, les capacitats i el perfil de risc.
  1. Recollida i revisió del conjunt d'eines d'avaluació de proveïdors de la comunitat d'educació superior (HECVAT).
    1. Requisit del formulari HECVAT: tots els venedors potencials han d'enviar el seu HECVAT emplenat; Les conclusions de l'auditoria SOC 2 es poden substituir per un HECVAT.
    2. Revisió inicial: reviseu l'HECVAT per avaluar les pràctiques de seguretat dels proveïdors, les mesures de protecció de dades i el compliment de la normativa rellevant.
    3. Avaluació de riscos: realitzeu una avaluació de riscos basada en la informació proporcionada a l'HECVAT per identificar els possibles riscos associats a la relació amb el proveïdor.
    4. Accions de mitigació: desenvolupar accions de mitigació per abordar els riscos identificats, com ara sol·licitar informació addicional, realitzar auditories de seguretat o establir obligacions contractuals de seguretat i privadesa.
  2. Revisió de Termes i Condicions
    1. Revisió del contracte: reviseu els termes i condicions del contracte del proveïdor proposat, centrant-vos en àrees relacionades amb la privadesa de dades, la seguretat, el compliment i la propietat intel·lectual.
    2. Revisió legal: contracteu un assessor legal, si cal, per garantir que el llenguatge del contracte protegeixi adequadament els interessos de la universitat i s'ajusti a les lleis i regulacions aplicables.
    3. Negociació i modificació: Col·laborar amb el venedor per negociar i modificar el llenguatge del contracte per abordar qualsevol preocupació o buit identificada.
    4. Aprovació i signatura: obtenir les aprovacions necessàries per al contracte i signar l'acord un cop totes les parts estiguin satisfetes amb els termes i condicions.
  3. Gestió de venedors en curs
    1. Supervisió periòdica: superviseu contínuament el rendiment del proveïdor, les pràctiques de seguretat i el compliment durant tota la durada del contracte.
    2. Revisió de la renovació del contracte: les renovacions del contracte depenen dels estatuts de la llei de contractes dels col·legis comunitaris. Realitzeu una revisió exhaustiva de les relacions amb els proveïdors, inclosa la reavaluació del nou HECVAT, els termes i condicions i el llenguatge del contracte, durant el procés de renovació del contracte.
    3. Avaluació del rendiment del proveïdor: avalueu periòdicament el rendiment del proveïdor en funció dels acords i expectatives de nivell de servei establerts.
    4. Resposta a incidents: seguiu el procediment de resposta a incidents per abordar ràpidament qualsevol incompliment de seguretat o incident de dades que involucre els proveïdors.
    5. Desenvolupament de proveïdors: desenvolupeu un procés per garantir l'exclusió adequada dels proveïdors, inclosa la devolució d'informació sensible i la finalització de l'accés al sistema.
  4. Documentació i Informes
    1. documentació
      1. Dipòsit de contractes: tots els contractes de proveïdors, inclosos els seus termes i condicions, esmenes i documents relacionats, s'han d'emmagatzemar al sistema de gestió de contractes de la universitat. Assegureu-vos que el dipòsit de contractes estigui organitzat, de fàcil accés i actualitzat periòdicament.
      2. Documentació de seguretat i HECVAT completada: mantingueu un registre de tots els HECVAT i auditories de seguretat rebudes dels proveïdors, inclosa qualsevol documentació de suport o aclariments proporcionats pels venedors.
      3. Avaluacions de riscos: documenteu els resultats de les avaluacions de riscos realitzades a partir de l'HECVAT i qualsevol avaluació o auditoria addicional realitzada.
      4. Informes d'incidències: Mantingueu un registre de qualsevol incident de seguretat o incompliment de proveïdors, juntament amb les accions de resposta a incidents corresponents.
    2. Informes
      1. Informes executius: proporcioneu informes periòdics a la direcció executiva, inclòs el director d'informació (CIO) i el gabinet, resumint el panorama de riscos del proveïdor, els esforços de mitigació i els incidents o preocupacions notables.
      2. Informe de renovació del contracte: prepareu un informe complet que destaqui les conclusions de la revisió de la renovació del contracte, inclosos els canvis o millores recomanats a les relacions amb els proveïdors.
      3. Informes de compliment: Genereu informes periòdics sobre el compliment dels proveïdors amb la normativa aplicable, les obligacions contractuals i els estàndards de seguretat acordats.
    3. Retenció de registres
      1. Període de retenció: la documentació d'avaluació del risc del proveïdor seguirà els horaris de retenció de registres per a la documentació relacionada amb el proveïdor, assegurant el compliment dels requisits legals, reglamentaris i interns.
      2. Protecció i privadesa de dades: compliu les normatives de protecció i privadesa de dades aplicables quan emmagatzemeu i manipuleu documents relacionats amb el proveïdor, assegurant-vos que hi ha les garanties adequades.

Aprovat pel Consell de Ministres: maig de 2023
Política de la Junta relacionada: Serveis de Tecnologia de la Informació

Tornar a Policies and Procedures