Je klant stuurt een SIG of een CAIQ. Zo pak je het aan.
Niet elke klant maakt een eigen vragenlijst. Veel inkopers gebruiken een standaardlijst. De twee die je het vaakst tegenkomt zijn de SIG en de CAIQ. Het voordeel: wie ze één keer goed invult, kan het antwoord vaak hergebruiken.
Wat de SIG is
De SIG (Standardized Information Gathering) is de standaardvragenlijst van Shared Assessments, een organisatie die zich richt op leveranciersrisicobeheer. De SIG wordt jaarlijks bijgewerkt en bestaat in een kortere en een uitgebreidere variant. De klant kiest welke variant en welke onderdelen hij gebruikt, afhankelijk van hoe belangrijk jouw dienst voor hem is. De SIG dekt veel meer dan IT: ook bijvoorbeeld privacy, bedrijfscontinuïteit, HR en je eigen leveranciers.
Wat de CAIQ is
De CAIQ (Consensus Assessments Initiative Questionnaire) komt van de Cloud Security Alliance en is bedoeld voor clouddiensten. De vragen zijn ja/nee-vragen die aansluiten op de Cloud Controls Matrix (CCM), het beveiligingsraamwerk van de CSA. Je kunt een ingevulde CAIQ publiceren in het STAR-register van de CSA; dat geldt als zelfbeoordeling (niveau 1), niet als certificering.
Het verschil in het kort
| Kenmerk | SIG en CAIQ |
|---|---|
| Afkomstig van | SIG: Shared Assessments · CAIQ: Cloud Security Alliance |
| Voor wie | SIG: elke leverancier · CAIQ: vooral clouddiensten en SaaS |
| Vorm | SIG: uitgebreide lijst met varianten · CAIQ: ja/nee-vragen met toelichting |
| Basis | SIG: eigen raamwerk, gekoppeld aan veel normen · CAIQ: Cloud Controls Matrix |
| Publiek delen | SIG: niet standaard · CAIQ: kan via het STAR-register |
Zo vul je een standaardlijst goed in
- Controleer de versie. Beide lijsten worden bijgewerkt. Vul in welke versie de klant stuurt, niet een oude die je nog had.
- Lees de toelichting bij een “nee” of “n.v.t.”. Een kaal “nee” roept vragen op. Leg kort uit waarom, en wat je in plaats daarvan doet.
- Koppel elk “ja” aan bewijs. Beleid, instelling of rapport. Inkopers vragen steekproefsgewijs om bewijs.
- Let op de scope. Beantwoord de vragen voor de dienst die de klant afneemt, niet voor je hele bedrijf als dat verschilt.
- Maak er een herbruikbaar antwoord van. Een goed ingevulde, actuele CAIQ of SIG kun je bij de volgende klant vaak proactief meesturen.
Veelgemaakte fouten
- Alles met “ja” beantwoorden, ook als een maatregel maar deels bestaat
- Een oude versie hergebruiken zonder te controleren of je antwoorden nog kloppen
- Een CAIQ in het STAR-register presenteren als certificaat
Hoe Holdvero helpt
Wij vullen de SIG of CAIQ in op basis van jouw eigen documentatie, met bij elk antwoord de bron. Ontbreekt het bewijs, dan schrijven we een open punt in plaats van een “ja”. Standaardlijsten zijn vaak langer dan 150 vragen; dan wordt het een complexe vragenlijst met een vaste prijs vanaf €1.195. Wil je je antwoorden actueel houden voor de volgende klant, dan doen we dat met Evidence Maintenance.
Veelgestelde vragen
Is een ingevulde CAIQ een certificaat?
Nee. Een CAIQ in het STAR-register is een zelfbeoordeling. Voor een hoger niveau is een onafhankelijke certificering of attestatie nodig.
Mag ik een eerder ingevulde SIG of CAIQ naar een nieuwe klant sturen?
Vaak wel, als hij actueel is en de versie overeenkomt met wat de klant vraagt. Controleer vooraf of je antwoorden nog kloppen.
Welke variant van de SIG moet ik invullen?
Die kiest de klant, afhankelijk van hoe belangrijk jouw dienst voor hem is. Vraag het als het niet duidelijk is.
Hoe lang duurt het?
Een uitgebreide standaardlijst kost intern al snel dagen. Het meeste werk zit in het verzamelen van bewijs.
Hulp nodig bij een SIG of CAIQ?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan