دائرہ کار کا مسئلہ
زیادہ تر ادارے وینڈر کے دائرہ کار کا 3-5 گنا کم اندازہ لگاتے ہیں۔ خریداری کے شعبے کی رکھی ہوئی 'سرکاری' وینڈر فہرست شاید اصل پروسیسرز کے ایک تہائی کا احاطہ کرتی ہے۔ باقی وہ اوزار ہیں جو الگ الگ ٹیموں نے جوڑے، خریداری کے بغیر خریدے گئے نقطہ انضمام، شعبوں کے استعمال کردہ SaaS کے مفت درجے، ٹھیکیدار کے لائے ہوئے ذیلی وینڈر۔
ایک عام درمیانے درجے کی B2C کمپنی میں مکمل فہرست بنانے پر 80-150 پروسیسر ہوتے ہیں۔ عام B2B SaaS کمپنی میں 30-80۔ دونوں مشق کے آغاز میں اپنی 'سرکاری' فہرست میں 20-30 گنیں گے۔
ترتیب
آپ سب کچھ ایک ساتھ درست نہیں کر سکتے۔ 12 ماہ کے پروگرام کے لیے درست ترتیب:
مہینے 1-2: تلاش
ہر ٹیم کا سروے کریں۔ نیٹ ورک ایگریس، OAuth ایپس، SaaS سبسکرپشنز کی اخراجات رپورٹس، ادائیگی ایگریگیٹر لین دین کی فہرستوں کا آڈٹ کریں۔ نتیجہ: ایک مکمل وینڈر فہرست۔
مہینے 2-4: درجہ بندی
وینڈرز کو خطرے (ڈیٹا حساسیت × مقدار × اہمیت) کے مطابق درجہ بند کریں۔ اعلیٰ درجہ: سب سے بڑے، سب سے حساس ڈیٹا سیٹ رکھنے والے 10-20 وینڈر۔ انہیں گہرا DPA، مکمل سیکیورٹی جائزہ، اور اہم ہونے پر موقع پر آڈٹ۔
مہینے 3-9: اعلیٰ درجے کی اصلاح
اعلیٰ درجے کے وینڈرز کے ساتھ DPA اپڈیٹ کریں۔ ہر ایک کے لیے Vendor DDQ (Template 08)۔ ذیلی پروسیسر بہاؤ، خلاف ورزی کی ذمہ داری، ہرجانہ درج کریں۔ فی اعلیٰ درجہ وینڈر اوسط سائیکل وقت: 4-8 ہفتوں کی قانونی اور خریداری کی آمد و رفت۔
مہینے 6-12: درمیانی درجہ
درمیانی درجے کے وینڈرز کو معیاری DPA ضمیمہ۔ ہلکا DDQ۔ ایک وقت میں 5-10 کے بیچ میں مکمل۔
مہینے 9-12: لمبی دم
نچلے درجے کے وینڈرز کے لیے (کم ڈیٹا حساسیت، کم مقدار) سادہ طریقہ: ایک صفحے کی DPDP تصدیق، کلک ریپ DPA، یا آپ کی معیاری شرائط کا حوالہ دینے والی معاہدے کی شق۔ جو واقعی کم خطرے والا ہے، اس پر قانونی سائیکل وقت کم کریں۔
Master DPA
ہماری لائبریری میں Template 07 ایک 14 شقوں والا Master DPA ہے جو Section 8(2) سے ہم آہنگ ہے۔ یہ مقصد کی حد، سیکیورٹی، خلاف ورزی کی اطلاع، ذیلی پروسیسرز، آڈٹ کے حقوق، اختتام پر واپسی / تلفی، اور معاون شیڈول کا احاطہ کرتا ہے۔ اعلیٰ درجے کی اصلاح کے لیے اسے اپنی بنیاد بنائیں۔
پروسیسر فہرست کی دستاویز
ایک ہی پروسیسر فہرست برقرار رکھیں: وینڈر کا نام، ذاتی ڈیٹا کے زمرے، مقصد، آپ کو معلوم ذیلی پروسیسر، DPA حیثیت (دستخط شدہ / زیرِ التوا / میعاد ختم)، DDQ اسکور، آخری جائزے کی تاریخ۔ پروسیسر سے متعلق کسی بھی خلاف ورزی کی تفتیش کے وقت ریگولیٹر سب سے پہلے یہی دستاویز مانگے گا۔
'DPA نہیں، گو لائیو نہیں' پالیسی
نئے وینڈر شامل کرنے کے لیے سادہ ترین کنٹرول: DPA نہیں، پروڈکشن رسائی نہیں۔ خریداری کے گیٹ کو نفاذ کا نقطہ بنائیں۔ آپ جتنی رفتار سے اصلاح کر سکتے ہیں، اس سے تیز فہرست بڑھنے سے یہ روکتا ہے۔