Praktisk guide

Slik vurderer du en ny leverandør

Aktsomhetsvurderingen er lettest å gjøre før kontrakten er signert – da har dere fortsatt forhandlingskort. Her er oppskriften vi bruker med kunder: hva du undersøker, hvilke spørsmål du stiller, og hvor grundig vurderingen bør være for akkurat denne leverandøren.

Oppdatert 20–40 minutter for en lavrisikoleverandør

Kort fortalt

  • Gjør vurderingen før signering. Etter kontraktsinngåelse har dere langt mindre innflytelse, og innflytelse er selve virkemiddelet i aktsomhetsvurderingen.
  • Start med land, bransje og hva dere faktisk kjøper. Disse tre avgjør hvor grundig resten av jobben må være.
  • Bruk samme spørsmålssett til alle. Ulike spørsmål til hver leverandør gir svar som ikke kan sammenliknes eller følges opp.
  • Dokumenter vurderingen samtidig som du gjør den – ikke i juni når redegjørelsen skal skrives.
  • «Ingen funn» er også et resultat, men bare hvis det er begrunnet og datert.

Når i innkjøpsprosessen hører vurderingen hjemme?

Den vanligste feilen er ikke at virksomheter hopper over leverandørvurderingen – det er at de gjør den for sent. Når kontrakten er signert, leveransen er i gang og alternativene er borte, er «vi stiller krav til deg» en langt svakere posisjon enn «vi stiller krav for å inngå avtale».

Legg vurderingen inn i innkjøpsprosessen som et eget steg mellom tilbudsevaluering og kontraktsignering. For små, gjentakende kjøp holder det med en forenklet variant, men den skal fortsatt være dokumentert.

Kravet i loven

Åpenhetsloven §4 krever at aktsomhetsvurderingene er løpende og står i forhold til virksomhetens størrelse og risikoen i leverandørkjeden. Loven sier ingenting om at nye leverandører skal vurderes på et bestemt tidspunkt – men en vurdering som gjøres etter at skaden er skjedd, oppfyller ikke formålet om å forebygge.

Seks steg fra første kontakt til beslutning

  1. 1

    Registrer grunndata og hva dere kjøper

    Navn, organisasjonsnummer eller LEI, land der varen eller tjenesten faktisk produseres, bransje og forventet årlig innkjøpsvolum. Produksjonsland er viktigere enn fakturaadressen: en norsk grossist kan levere varer produsert et helt annet sted.

  2. 2

    Sett en foreløpig risikoprofil på land og bransje

    Bruk anerkjente kilder framfor magefølelse – for eksempel Transparency Internationals korrupsjonsindeks for land, og kjente høyrisikobransjer som tekstil, bygg og anlegg, landbruk, elektronikk, gruvedrift og renhold. Profilen bestemmer hvor dypt dere går videre.

  3. 3

    Screen mot sanksjonslister

    Sjekk selskapet og sentrale eiere mot sanksjons- og PEP-lister. Et treff betyr ikke automatisk at leverandøren er uaktuell, men det må undersøkes og begrunnes før dere går videre.

  4. 4

    Send ut et standardisert aktsomhetsskjema

    Bruk det samme skjemaet til alle: etiske retningslinjer, varslingskanal, menneskerettighetspolicy, egen oppfølging av underleverandører og hvem som er kontaktperson. Sett en svarfrist og si hva som skjer hvis skjemaet ikke besvares.

  5. 5

    Vurder svarene mot risikoprofilen

    Et tynt svar fra en norsk regnskapsleverandør er sjelden et problem. Det samme svaret fra en tekstilprodusent i et høyrisikoland er det. Konkluder med et risikonivå, og skriv én til tre setninger om hvorfor – det er begrunnelsen, ikke tallet, som har verdi senere.

  6. 6

    Beslutt, dokumenter og sett neste kontrollpunkt

    Godkjenn, godkjenn med vilkår, eller avslå. Ved vilkår: skriv hvilket tiltak som gjelder, hvem som er ansvarlig og når det skal være gjennomført. Sett samtidig dato for når vurderingen skal fornyes – typisk etter tolv måneder, tidligere ved høy risiko.

I ProAktsom er dette ett løp

Leverandøren registreres med land, bransje og volum, skjemaet sendes på e-post med automatisk purring, og når svaret kommer beregnes risikonivået med sporbar begrunnelse per regel – inkludert landrisiko og eventuelle sanksjonstreff. Foreslåtte tiltak kan godkjennes rett inn i tiltaksregisteret.

Se hvordan leverandørskjemaet fungerer

Spørsmålene som faktisk avdekker risiko

Skjemaer som spør «overholder dere alle relevante lover?» gir alltid ja. Spørsmål som ber om et konkret dokument, en beskrivelse eller et tall, gir informasjon dere kan bruke.

  • Har dere etiske retningslinjer, og kan vi få dem tilsendt? Etterspør dokumentet – ikke bare bekreftelsen.
  • Hvordan kan deres ansatte varsle om kritikkverdige forhold? Be om kanalen konkret: telefonnummer, e-postadresse, tillitsvalgtordning.
  • Hvem er deres underleverandører for denne leveransen, og i hvilke land produseres varene? Dette er spørsmålet som oftest avdekker ny risiko.
  • Har dere selv gjennomført aktsomhetsvurderinger, og hva fant dere? Et ærlig «vi har funnet avvik og retter dem» er et bedre svar enn et blankt «ingen problemer».
  • Er dere omfattet av åpenhetsloven, og har dere publisert redegjørelse? Er svaret ja, kan dere lese den – den er offentlig.

Dette ser vi ofte

Virksomheter lager et grundig skjema på 40 spørsmål, sender det til de ti første leverandørene, får tre svar – og gir opp. Et kortere skjema som alle faktisk svarer på, gir bedre grunnlag enn et grundig skjema med lav svarprosent. Start med 5–8 spørsmål og utvid der risikoen er høy.

Hvor grundig må vurderingen være?

Loven krever at innsatsen står i forhold til risikoen. Det betyr at de fleste leverandører skal vurderes raskt, og at noen få skal vurderes grundig. Tabellen under er utgangspunktet vi anbefaler kunder å starte med, og som kan justeres etter egen bransje.

RisikoprofilTypisk omfangFornyes
Lav – norsk/nordisk leverandør, lavrisikobransjeGrunndata, sanksjonsscreening og standardskjemaHvert år, eller ved vesentlig endring
Middels – EU/EØS eller middels risikoland, eller kritisk leveranseSom over, pluss oppfølgingsspørsmål om underleverandører og kontraktsvilkår om aktsomhetHvert år
Høy – høyrisikoland, høyrisikobransje eller sanksjonstreffDokumentgjennomgang, konkrete tiltak med frist, vurdering av revisjon eller stedlig besøk, og eventuelt dialog med lokale interessenterHver 6.–12. måned, og ved hendelser

To forhold trekker en leverandør oppover uavhengig av land og bransje: hvor kritisk leveransen er for dere, og hvor stor andel av leverandørens omsetning dere står for. Det siste avgjør hvor stor innflytelse dere faktisk har til å kreve endring.

Hva må være dokumentert etterpå?

Testen er enkel: kan en person som ikke var med på vurderingen, forstå hva dere gjorde og hvorfor – ett år senere? Da holder dokumentasjonen både for redegjørelsen, for styret og for et eventuelt tilsyn.

  • Hvilken informasjon dere innhentet, og fra hvem
  • Hvilket risikonivå dere kom fram til, med en kort begrunnelse
  • Hvilke tiltak som eventuelt ble besluttet, med ansvarlig og frist
  • Dato for vurderingen og dato for neste gjennomgang
  • Hvem som besluttet – navn, ikke bare «innkjøp»

Regnearket som ikke tåler tilsyn

Et Excel-ark der cellene overskrives ved hver oppdatering, kan ikke vise hva dere visste da beslutningen ble tatt. Historikken er det som gjør vurderingen etterprøvbar – sørg for at gamle vurderinger blir liggende, ikke erstattet.

Fire feil som koster tid senere

  • Vurderer fakturaadressen i stedet for produksjonslandet. Importørens norske adresse sier ingenting om forholdene der varen faktisk lages.
  • Behandler alle likt. Samme dybde på alle leverandører gir enten for mye arbeid på lav risiko eller for lite på høy.
  • Stopper ved «leverandøren har code of conduct». Et signert dokument er et utgangspunkt, ikke et resultat. Se hvordan du dokumenterer at tiltak virker.
  • Lagrer vurderingen i en e-posttråd. Den finnes ikke igjen når den trengs, og den kan ikke telles i redegjørelsen.

Ofte stilte spørsmål

Spørsmål og svar

Må vi vurdere alle nye leverandører, også små innkjøp?

Aktsomhetsvurderingene skal være risikobaserte og stå i forhold til virksomhetens størrelse og risikoen i leverandørkjeden. Det betyr at alle leverandører bør inn i registeret med grunndata, men at dybden varierer. Små, gjentakende kjøp fra lavrisikoleverandører kan håndteres med en forenklet, dokumentert standardvurdering.

Hvor lang tid tar det å vurdere én leverandør?

En lavrisikoleverandør tar typisk 20–40 minutter når grunndata og et standardisert skjema er på plass. En høyrisikoleverandør med dokumentgjennomgang, oppfølgingsspørsmål og tiltak tar vesentlig mer, og bør planlegges som et eget arbeid.

Kan vi kreve at leverandøren svarer på aktsomhetsskjemaet?

Åpenhetsloven gir ingen svarplikt for leverandøren. Innflytelsen ligger i kontrakten: legg inn plikt til å svare på aktsomhetsspørsmål, til å opplyse om underleverandører og til å rette avvik. For eksisterende leverandører tas dette inn ved neste fornyelse.

Hva gjør vi hvis vurderingen avdekker alvorlig risiko?

Utgangspunktet etter OECDs modell er å bruke innflytelse for å stanse eller redusere skaden, ikke å avslutte forholdet umiddelbart. Sett konkrete tiltak med frist, følg opp at de gjennomføres, og vurder å avslutte samarbeidet først hvis leverandøren ikke retter forholdene eller risikoen er uakseptabel.

Hvor ofte må vurderingen fornyes?

Vurderingen skal holdes oppdatert og fornyes ved vesentlige endringer i leverandørkjeden. I praksis setter de fleste tolv måneders gyldighet på lav og middels risiko, og kortere intervall på høy risiko eller etter hendelser.

Alle ressurser

Kilder

Vil dere ha samme vurdering på hver leverandør?

ProAktsom gir ett standardisert skjema, automatisk purring og sporbar risikoscore med begrunnelse – slik at vurderingene blir like, daterte og mulige å telle i redegjørelsen.