दायरे की समस्या
अधिकांश संगठन वेंडर दायरे को 3-5 गुना कम आँकते हैं। प्रोक्योरमेंट द्वारा रखी गई 'आधिकारिक' वेंडर सूची शायद वास्तविक प्रोसेसरों के एक तिहाई को कवर करती है। बाक़ी वे उपकरण हैं जो अलग-अलग टीमों द्वारा जोड़े गए, प्रोक्योरमेंट के बिना ख़रीदे गए पॉइंट एकीकरण, विभागों द्वारा उपयोग किए गए SaaS के मुफ़्त स्तर, ठेकेदार द्वारा लाए गए उप-वेंडर।
एक सामान्य मध्यम-आकार की B2C कंपनी में पूरी तरह सूचीबद्ध करने पर 80-150 प्रोसेसर होते हैं। एक सामान्य B2B SaaS कंपनी में 30-80। दोनों अभ्यास की शुरुआत में अपनी 'आधिकारिक' सूची में 20-30 गिनेंगी।
क्रम
आप सब कुछ एक साथ ठीक नहीं कर सकते। 12-महीने के कार्यक्रम के लिए सही क्रम:
महीने 1-2: खोज
हर टीम का सर्वेक्षण करें। नेटवर्क एग्रेस, OAuth ऐप, SaaS सदस्यताओं के लिए व्यय रिपोर्ट, भुगतान-एग्रीगेटर लेन-देन सूचियों का ऑडिट करें। परिणाम: एक पूर्ण वेंडर सूची।
महीने 2-4: छँटाई
वेंडरों को जोखिम (डेटा संवेदनशीलता × मात्रा × महत्वपूर्णता) के अनुसार वर्गीकृत करें। शीर्ष स्तर: 10-20 वेंडर जो सबसे बड़े, सबसे संवेदनशील डेटा सेट रखते हैं। इन्हें गहन DPA, पूर्ण सुरक्षा समीक्षा, और सारवान होने पर ऑन-साइट ऑडिट मिलते हैं।
महीने 3-9: शीर्ष-स्तर उपचार
शीर्ष-स्तर वेंडरों के साथ DPA अद्यतन करें। प्रत्येक के लिए Vendor DDQ (Template 08)। उप-प्रोसेसर फ़्लो-डाउन, उल्लंघन जवाबदेही, क्षतिपूर्ति दस्तावेज़ करें। प्रति शीर्ष-स्तर वेंडर औसत चक्र समय: 4-8 सप्ताह की क़ानूनी-और-प्रोक्योरमेंट आवाजाही।
महीने 6-12: मध्य-स्तर
मध्य-स्तर वेंडरों को मानक DPA परिशिष्ट। हल्का DDQ। एक बार में 5-10 के बैच में किया गया।
महीने 9-12: लंबी पूँछ
निम्न-स्तर वेंडरों (कम डेटा संवेदनशीलता, कम मात्रा) के लिए सरल तरीक़ा: एक-पृष्ठ का DPDP सत्यापन, क्लिकरैप DPA, या आपकी मानक शर्तों का संदर्भ देने वाला अनुबंध खंड। जो वास्तव में कम-जोखिम है उस पर क़ानूनी चक्र समय न्यूनतम करें।
Master DPA
हमारी लाइब्रेरी में Template 07 एक 14-खंड का Master DPA है जो Section 8(2) के अनुरूप है। यह प्रयोजन सीमा, सुरक्षा, उल्लंघन अधिसूचना, उप-प्रोसेसर, ऑडिट अधिकार, समाप्ति पर वापसी / विनाश, और सहायक अनुसूचियों को कवर करता है। शीर्ष-स्तर उपचार के लिए इसे अपनी आधाररेखा के रूप में उपयोग करें।
प्रोसेसर सूची कलाकृति
एकल प्रोसेसर सूची बनाए रखें: वेंडर का नाम, व्यक्तिगत डेटा की श्रेणियाँ, प्रयोजन, आपको ज्ञात उप-प्रोसेसर, DPA स्थिति (हस्ताक्षरित / लंबित / समाप्त), DDQ स्कोर, अंतिम-समीक्षा तिथि। प्रोसेसर से जुड़े किसी भी उल्लंघन की जाँच करते समय नियामक सबसे पहले यही कलाकृति माँगेगा।
'कोई DPA नहीं, कोई गो-लाइव नहीं' नीति
नए वेंडर ऑनबोर्डिंग के लिए सबसे सरल नियंत्रण: कोई DPA नहीं, कोई उत्पादन पहुँच नहीं। प्रोक्योरमेंट गेट को प्रवर्तन बिंदु बनाएँ। यह सूची को उससे तेज़ बढ़ने से रोकता है जितनी तेज़ी से आप उसका उपचार कर सकते हैं।