दायराको समस्या
धेरैजसो संस्थाले विक्रेता दायरालाई 3-5 गुणा कम आकलन गर्छन्। खरिद विभागले राखेको 'आधिकारिक' विक्रेता सूचीले सम्भवतः वास्तविक प्रोसेसरको एक-तिहाइ समेट्छ। बाँकी ती उपकरण हुन् जुन छुट्टै टोलीले जोडे, खरिद विभाग बिना किनिएका बिन्दु एकीकरण, विभागहरूले प्रयोग गरेका SaaS का नि:शुल्क तह, ठेकेदारले ल्याएका उप-विक्रेता।
एउटा सामान्य मध्यम आकारको B2C कम्पनीमा पूर्ण सूची बनाउँदा 80-150 प्रोसेसर हुन्छन्। सामान्य B2B SaaS कम्पनीमा 30-80। दुवैले अभ्यासको सुरुमा आफ्नो 'आधिकारिक' सूचीमा 20-30 गन्नेछन्।
क्रम
तपाईं सबै कुरा एकैचोटि सुधार्न सक्नुहुन्न। 12-महिने कार्यक्रमका लागि सही क्रम:
महिना 1-2: खोज
प्रत्येक टोलीको सर्वेक्षण गर्नुहोस्। नेटवर्क इग्रेस, OAuth एप, SaaS सदस्यताका खर्च प्रतिवेदन, भुक्तानी-एग्रिगेटर कारोबार सूचीको लेखापरीक्षण गर्नुहोस्। नतिजा: एउटा पूर्ण विक्रेता सूची।
महिना 2-4: वर्गीकरण
विक्रेताहरूलाई जोखिम (डेटा संवेदनशीलता × परिमाण × निर्णायकता) अनुसार वर्गीकृत गर्नुहोस्। शीर्ष तह: सबैभन्दा ठूला, सबैभन्दा संवेदनशील डेटा सेट राख्ने 10-20 विक्रेता। यिनलाई गहिरो DPA, पूर्ण सुरक्षा समीक्षा, र महत्त्वपूर्ण भए स्थलगत लेखापरीक्षण।
महिना 3-9: शीर्ष-तहको उपचार
शीर्ष-तहका विक्रेतासँग DPA अद्यावधिक गर्नुहोस्। प्रत्येकका लागि Vendor DDQ (Template 08)। उप-प्रोसेसर प्रवाह, उल्लङ्घन दायित्व, क्षतिपूर्ति लेख्नुहोस्। प्रति शीर्ष-तह विक्रेता औसत चक्र समय: 4-8 हप्ताको कानुनी-र-खरिद आदानप्रदान।
महिना 6-12: मध्य-तह
मध्य-तहका विक्रेतालाई मानक DPA अनुसूची। हल्का DDQ। एकपटकमा 5-10 को समूहमा पूरा।
महिना 9-12: लामो पुच्छर
तल्लो-तहका विक्रेताका लागि (कम डेटा संवेदनशीलता, कम परिमाण) सरल तरिका: एक-पृष्ठको DPDP प्रमाणीकरण, क्लिकर्याप DPA, वा तपाईंका मानक सर्तलाई सन्दर्भ दिने सम्झौता दफा। जुन वास्तवमै कम-जोखिमको छ, त्यसमा कानुनी चक्र समय घटाउनुहोस्।
Master DPA
हाम्रो पुस्तकालयमा Template 07 एउटा 14-दफाको Master DPA हो जुन Section 8(2) सँग मिल्छ। यसले उद्देश्य सीमा, सुरक्षा, उल्लङ्घन सूचना, उप-प्रोसेसर, लेखापरीक्षण अधिकार, समाप्तिमा फिर्ता / नष्ट, र सहायक तालिका समेट्छ। शीर्ष-तहको उपचारका लागि यसलाई आफ्नो आधार बनाउनुहोस्।
प्रोसेसर सूची कागजात
एउटै प्रोसेसर सूची राख्नुहोस्: विक्रेताको नाम, व्यक्तिगत डेटाका वर्ग, उद्देश्य, तपाईंलाई थाहा भएका उप-प्रोसेसर, DPA स्थिति (हस्ताक्षरित / बाँकी / म्याद सकिएको), DDQ अङ्क, अन्तिम-समीक्षा मिति। प्रोसेसर संलग्न कुनै पनि उल्लङ्घनको अनुसन्धान गर्दा नियामकले सबैभन्दा पहिले यही कागजात माग्नेछ।
'DPA छैन, गो-लाइभ छैन' नीति
नयाँ विक्रेता जोड्नका लागि सरलतम नियन्त्रण: DPA छैन, उत्पादन पहुँच छैन। खरिद गेटलाई कार्यान्वयन बिन्दु बनाउनुहोस्। तपाईंले उपचार गर्न सक्ने गतिभन्दा छिटो सूची बढ्नबाट यसले रोक्छ।