> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/module-overview/third-party-management.md). # Tredjepartshåndtering ### Introduksjon Håndtering av Tredjepart i CERRIX hjelper deg med å registrere og overvåke eksterne leverandører, underleverandører og tjenesteleverandører. Denne modulen gir sentralisert oversikt over leverandørrelasjoner og sikrer riktig risikostyring og etterlevelse. #### Hvorfor bruke Tredjepart i CERRIX? Tredjepart introduserer risikoer—operasjonelle avhengigheter, bekymringer knyttet til databeskyttelse og forpliktelser til etterlevelse. CERRIX Tredjepart-håndtering gir: * Sentralisert leverandørregister * Kontraktsforvaltning med fornyelsessporing * Planlegging av revisjoner med automatiske påminnelser * Kobling mellom risiko og kontroll * Håndtering av GDPR-databehandlere * Fullstendig revisjonsspor #### Hvordan det henger sammen Tredjeparter integreres med: * **Risikoer** – Dokumenter leverandørrelaterte risikoer * **Kontroll** – Vis kontroller for leverandøroppfølging * **Databehandling** – Spor GDPR-databehandlere * **MoIs** – Håndter leverandørproblemer * **Dokumenter** – Lagre kontrakter, DPA-er, sertifiseringer *** ### Tredjepart Workspace Workspace viser alle tredjepartene med deres revisjonsskårer, datoer og ansvarlige parter.
The Third Party workspace with presets, search and review scores
#### Indikatorer for revisjonsskår * 🔴 **Rød** – Dårlig (krever umiddelbar oppmerksomhet) * 🟡 **Gul** – Akseptabel (må overvåkes) * 🟢 **Grønn** – God/utmerket (fungerer godt) #### Filtrering Bruk filtre for å fokusere på: * Leverandører med dårlige revisjonsskårer * Leverandører som skal revideres * Avdelingens leverandører * Leverandører med høy kritikalitet * Databehandlere (GDPR) *** ### Opprette en ny tredjepart #### Slik finner du frem 1. Gå til **Tredjepart** workspace 2. Klikk **Legg til ny tredjepart** 3. Fyll ut skjemaet #### Generell informasjon **Navn** – Offisielt firmanavn (f.eks. "Microsoft Corporation", "AWS") **Grunnleggende detaljer** – Adresse, by, land, e-post, telefon, nettsted **Beskrivelse** – Hvilke tjenester leverandøren tilbyr og hvorfor du bruker dem **EU-medlem** – Viktig for vurderinger av overføring av data under GDPR **Ytterligere identifikasjonsfelter:** * **Kommentar** – Et ekstra felt for kommentarer om tredjeparten. * **D-U-N-S-nummer** – Tredjepartens nummer i Data Universal Numbering System. * **Handelsregister** – Nummeret i handelsregisteret. * **Merverdiavgift (MVA)** – Tredjepartens MVA-nummer. * **Signaturberettiget** – Medarbeideren som er ansvarlig for å signere tredjepartskontraktene. * **Ansvarlig for Tredjepart** – Den ansvarlige medarbeideren hos tredjeparten. #### Tjenestedetaljer **Involveringsstatus** – Aktiv, avsluttet, satt på vent, under vurdering **Tjenester** – Velg tjenestene som tilbys (IT-tjenester, HR-tjenester, rådgivning, Databehandling, osv.) **Start-/sluttdato for tjenestelevering** – Kontraktperiode **Relasjon** – Leverandør, forhandler, partner, entreprenør, konsulent, Databehandler **Kritikalitet** – Høy/middels/lav (avgjør revisjonsfrekvensen) #### Intern virksomhet **Ansvarlig organisasjon** – Hvilken avdeling som forvalter denne leverandøren (obligatorisk) **Ansvarlig** – Personen som forvalter denne relasjonen **Organisasjoner (i bruk)** – Alle avdelinger som bruker denne leverandøren **Forretnings-/rammeverksdimensjoner** – Knytter til prosesser og rammeverk for etterlevelse #### Roller for databehandling (GDPR) **Databehandler** – Leverandøren behandler personopplysninger på dine vegne. **Vanligst for leverandører som håndterer kunde-/ansattdata.** > ⚠️ **Viktig:** Databehandlere krever en databehandlingsavtale (DPA) i henhold til artikkel 28 i GDPR. **Behandlingsansvarlig** – Leverandøren bestemmer formål og midler for behandlingen (sjeldent) **Datamottaker** – Leverandøren mottar data til egne formål **Tredjepart** – En avkrysningsboks for å merke leverandøren som tilsynsmyndighet. #### Kontakter Legg til nøkkelkontakter hos leverandøren (klikk **Legg til**): * Primærkontakt for daglig drift * Eskaleringskontakt for presserende saker #### Revisjonsinformasjon **Reviewer** – Hvem som gjennomfører periodiske leverandørrevisjoner **Revisjonsfrekvens** – Hvor ofte det skal revideres: * Månedlig – leverandører med høy kritikalitet * Kvartalsvis – middels kritikalitet * Halvårlig / årlig – leverandører med lavere risiko **Startdato** – Når revisjonene starter **Neste revisjonsdato** – Beregnes automatisk ut fra frekvensen #### Lagring Klikk **Lagre tredjeparten** for å opprette leverandørposten. *** ### Tredjepart-detaljer Når du åpner en tredjepart, gir menyen til venstre tilgang til: **🔹 Detaljer** – Vis/rediger all informasjon **📄 Kontrakter** – Administrer kontrakter og fornyelser **🔗 Koblinger** – Koble til Risikoer, Kontroller, MoI-er og dokumenter **🔄 Historikk** – Vis fullstendig revisjonsspor *** ### Håndtering av kontrakter #### Slik finner du frem 1. Åpne en tredjepart 2. Klikk **Kontrakter** i menyen til venstre 3. Klikk **Legg til**
The Contracts tab of a third party with the left side menu
#### Nøkkelfelter **Kontraktnr.** – Referansenummer (f.eks. "MSA-2025-001") **Tjenester** – Hva denne kontrakten omfatter **Status** – Aktiv, utløpt, avventer, avsluttet **Valuta og verdi** – Kontraktbeløp **Datoer** – Signaturdato, kontraktsdato og sluttdato; sluttdatoen vises direkte ved siden av kontraktens startdato. **Oppsigelsestid** – Oppsigelsesfristen for oppsigelse, angitt som et tall med en enhet: **måneder**, **uker** eller **dager**. Velg **Ingen** når ingen oppsigelsestid gjelder; tallet er da ikke påkrevd. Oppsigelsestiden er tilgjengelig som et nøkkelord i tredjepartvarsler og i Direct Data API for kontrakter. **Kontraktsdokumenter** – Legg ved signerte kontrakter, DPA-er, SLA-er > 💡 **Tips:** Angi sluttdatoer nøyaktig for å få påminnelser om fornyelse og unngå å gå glipp av fornyelser. *** **Ytterligere kontraktsfelter:** * **Kontraktsansvarlig** – Eieren av tredjepartskontrakten. * **Årsverdi** – Verdien per år, beregnet ut fra kontraktsverdien og kontraktperioden. * **Rammeavtale** – En avkrysningsboks for å angi om kontrakten er en del av en større avtale. * **Egendefinerte felter** – Ytterligere kontraktsfelter definert av administratoren for Tredjepart, for eksempel en fornyelsesopsjon eller et internt kostnadssted. Definisjonene og verdiene for egendefinerte kontraktsfelter er også tilgjengelige via Direct Data API. ### Kobling til andre moduler #### Kobling av risikoer Koble leverandørrelaterte risikoer for å vise: * Operasjonelle avhengigheter * Personvernrisikoer * Sikkerhetssårbarheter * Forpliktelser knyttet til etterlevelse **Vanlige leverandørrisikoer:** * "Driftsstans hos skyleverandøren forstyrrer tjenestene" * "Sikkerhetsbrudd hos databehandleren" * "Leverandørens konkurs avbryter forsyningskjeden" #### Kobling av kontroller Koble kontroller som håndterer leverandørrisikoer: * Prosesser for leverandørdue diligence * Kontraktsgjennomgang og godkjenning * Kvartalsvise sikkerhetsvurderinger * Ytelsesovervåking #### Kobling av MoI-er Opprett forbedringstiltak når problemer oppstår: * Mislykket sikkerhetsvurdering → MoI for å styrke kontrollene * Uteblitt kontraktsfornyelse → MoI for å innføre sporing * Brudd på SLA → MoI for å håndtere ytelsen #### Kobling av dokumenter Last opp leverandørdokumentasjon: * Kontrakter og tillegg * Databehandlingsavtaler (DPA-er) * Sikkerhetssertifiseringer (ISO 27001, SOC 2) * Forsikringssertifikater * Sikkerhetsvurderinger *** ### Revisjonsprosess #### Gjennomføring av revisjoner **1. Reviewer mottar varsel** når revisjonen forfaller **2. Gjennomfør vurdering:** * Sjekk leverandørens ytelse opp mot SLA-er * Kontroller at sikkerhetssertifiseringene er gyldige * Gjennomgå eventuelle hendelser * Vurder etterlevelse av kontrakter * For Databehandlere: kontroller at DPA-en er gyldig **3. Legg til revisjonsskår:** * Åpne tredjeparten * Bla til **Revisjon** seksjonen * Klikk **Legg til** * Angi dato, skår (Dårlig/Akseptabel/God/Utmerket) og kommentarer * Lagre **4. Systemet beregner neste revisjonsdato** basert på frekvensen **5. Opprett MoI-er** hvis det avdekkes problemer *** ### Brukerroller for Tredjepart #### Nøkkelroller **Ubegrenset administrator for Tredjepart** – Full tilgang, alle organisasjoner, administrer grunndata **Begrenset administrator for Tredjepart** – Full tilgang, kun egen organisasjon **Ubegrenset skribent for Tredjepart** – Opprett/rediger alle tredjeparter **Begrenset skribent for Tredjepart** – Opprett/rediger kun egen organisasjon **Tredjepart Viewer (ubegrenset/begrenset)** – Skrivebeskyttet tilgang **Reviewer for Tredjepart** – Kan bare revidere tildelte tredjeparter *** #### Rettigheter per rolle Alle brukere med begrensede roller har bare rettigheter for egen organisasjon. Tredjepart Reviewer kan bare få tilgang til tredjepartene som revieweren er tildelt, og kan bare redigere revisjonsfeltene. | Rettigheter | Ubegrenset administrator | Begrenset administrator | Ubegrenset skribent | Begrenset skribent | Ubegrenset leser | Begrenset leser | Reviewer | | ----------------------------------------------------- | :----------------------: | :---------------------: | :-----------------: | :----------------: | :--------------: | :-------------: | :------: | | Søk etter tredjeparter | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | | Få tilgang til tredjeparter utenfor egen organisasjon | ✓ | | ✓ | | ✓ | | | | Revider en tredjepart | ✓ | ✓ | | | | | ✓ | | Bli tildelt å revidere en tredjepart | ✓ | ✓ | | | | | ✓ | | Opprett og skriv tredjeparter | ✓ | ✓ | ✓ | ✓ | | | | | Opprett tredjeparts-MoI-er | ✓ | ✓ | ✓ | ✓ | | | | | Legg til og vedlikehold grunndata | ✓ | | | | | | | | Legg inn og gjenopprett slettede elementer | ✓ | | | | | | | Koblede risikoer og kontroller kan bare redigeres når en tredjepartsrolle kombineres med brukerrollene for Risikoer og Kontroller; uten disse rollene vises bare nummeret og tittelen på de koblede elementene. Koblede dokumenter og forbedringstiltak kan legges til og redigeres uten andre brukerroller. ### Etterlevelse av GDPR #### Krav til databehandler Når en leverandør er en **Databehandler**, krever artikkel 28 i GDPR: * ✅ Skriftlig avtale om databehandling (DPA) * ✅ Sikkerhetstiltak dokumentert * ✅ Underdatabehandlere autorisert * ✅ Rutiner for varsling av personvernbrudd * ✅ Tilbakelevering/sletting av data ved kontraktens slutt #### Workflow **I Tredjepart-modulen:** 1. Merk leverandøren som "Databehandler" 2. Legg ved DPA-dokumentet 3. Planlegg regelmessige sikkerhetsrevisjoner 4. Koble til behandlingsaktiviteter i Databehandling **For GDPR-revisjoner:** * Filtrer på alle databehandlere * Kontroller at hver enkelt har gyldig DPA * Vis revisjonshistorikk * Vis sikkerhetsvurderinger *** ### Tredjepart-grunndata Grunndataene i Tredjepart-modulen kan bare åpnes og redigeres av Ubegrenset administrator for Tredjepart, og må defineres før tredjepartene legges til: de fyller utvalgfeltene når detaljene for en tredjepart fylles ut. Følgende grunndata er tilgjengelige: **Kontraktstatus**, **Kritikalitet**, **Relasjon**, **Skår**, **Tjenester** og **Involveringsstatus**. Når ett av grunndataelementene åpnes i grunndata-Workspace, er følgende handlinger mulige: 1. **Legg til ny** – Klikk på **Legg til** ikonet; en meny åpnes der det kan gis et navn. Avhengig av datatypen kan det også angis farge og verdi. 2. **Rediger** – Klikk på tittelen til elementet du vil redigere, og klikk lagre etter endring. 3. **Endre rekkefølge** – Klikk **Endre rekkefølge**, sorter elementene og klikk **Fullfør rekkefølgen** for å lagre den nye rekkefølgen. 4. **Eksporter data** – Klikk på Excel-ikonet for å eksportere per grunndataelement. Avhengig av datatypen eksporteres også fargekoden og verdien. ### Beste praksis #### Registrering **Registrer leverandører som:** * Behandler data på dine vegne (Databehandlere) * Har system-/datatilgang * Leverer kritiske tjenester * Utgjør regulatorisk risiko #### Dokumentasjon **Alltid inkluder:** * Kritikalitetsnivå * Gjennomgangsplan * Minst to kontaktpersoner * Rolle for Databehandling (hvis aktuelt) **Legg ved:** * Kontrakter * DPA-er (for Databehandlere) * Sikkerhetssertifiseringer #### Gjennomgangsfrekvens * **Månedlig** – Kritiske leverandører * **Kvartalsvis** – Viktige leverandører * **Halvårlig** – Standardleverandører * **Årlig** – Leverandører med lav Risiko #### Kontraktstyring * Spor sluttdatoer * Fastsett oppsigelsestid * Gjennomgå 6 måneder før utløp * Legg ved alle kontraktsdokumenter *** ### Øvelser #### Øvelse 1: Opprett en Tredjepart 1. Gå til Tredjepart Workspace 2. Klikk "Legg til ny Tredjepart" 3. Opprett oppføring: * Navn: "Microsoft Corporation" * Kritikalitet: "Høy" * Ansvarlig organisasjon: Din avdeling * Databehandler: Avkrysset * Gjennomgangsfrekvens: "Kvartalsvis" 4. Lagre #### Øvelse 2: Legg til en kontrakt 1. Åpne din tredjepart 2. Kontrakter → Legg til 3. Fyll ut: * Kontraktsnr.: "MS-365-2026" * Status: "Aktiv" * Sluttdato: Ett år fra i dag 4. Lagre #### Øvelse 3: Gjennomfør en gjennomgang 1. Åpne din tredjepart 2. Gjennomgangsseksjon → Legg til 3. Skriv inn: * Dato: I dag * Poengsum: "Bra" * Kommentarer: "Tjenestene presterer godt" 4. Lagre 5. Merk at neste gjennomgangsdato er oppdatert --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/module-overview/third-party-management.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.