Så skriver ni om ICT-avtalet innan kunden ber er om det

Ett IKT-avtal som skrevs för tre år sedan togs sannolikt fram innan DORA fanns med i bilden. Det betyder inte att avtalet är fel, bara att det saknar de delar en finansiell kund idag förväntar sig att hitta där. Att vänta med att uppdatera avtalsmallen tills en kund efterfrågar det är den dyraste ordningen att göra det i.

De sex punkterna nedan är inte uttömmande för varje enskild kundrelation, men de täcker de frågor som återkommer oftast i förhandlingar med finansiella kunder just nu, och de utgör en rimlig grund att bygga vidare på när mer specifika krav dyker upp längre fram.

Det första som behöver in i avtalet är tydliga tidsramar för incidentrapportering. DORA kräver att finansiella bolag snabbt kan rapportera vidare om en incident hos en leverantör. Ett avtal som bara säger att leverantören ska informera “utan onödigt dröjsmål” duger inte längre. Kunden behöver en konkret tidsram att räkna på, till exempel ett visst antal timmar från upptäckt.

Ordningen på de sex punkterna speglar sällan hur en förhandling faktiskt går till. En kund kan lyfta punkt fyra först och aldrig komma till punkt ett, beroende på vad som råkar oroa just den kundens interna revision mest. Det är därför bättre att ha svaret klart på samtliga sex i förväg än att gissa vilken som kommer upp först.

Det andra är rätt till granskning. Finansiella bolag måste kunna visa sin tillsynsmyndighet att de har insyn i sina kritiska leverantörers säkerhetsarbete. Ett avtal som helt saknar en granskningsklausul, eller som formulerar den så restriktivt att den i praktiken aldrig går att använda, blir en flaskhals i varje ny affär med en reglerad kund.

Ett bolag som möter de här kraven för första gången mitt i en pågående förhandling förhandlar dessutom från en svagare position än ett bolag som redan har svaren klara. Kundens jurister märker snabbt skillnaden mellan ett avtal som är genomtänkt i förväg och ett som improviseras fram punkt för punkt under mötet, och den skillnaden påverkar hur mycket kunden är villig att kompromissa i övriga delar av förhandlingen.

Det tredje är en exit-plan. DORA ställer krav på att finansiella bolag ska kunna byta leverantör utan att verksamheten står stilla. Ett avtal som saknar en tydlig beskrivning av hur data flyttas tillbaka, hur övergångsperioden ser ut och vilket ansvar leverantören har under den perioden, skapar osäkerhet som en försiktig kund inte vill acceptera.

Det fjärde är en tydlig beskrivning av underleverantörer. Om bolaget i sin tur använder andra leverantörer för delar av sin tjänst, till exempel molninfrastruktur, behöver kunden kunna se den kedjan. En finansiell kund som upptäcker en dold underleverantör sent i processen tappar snabbt förtroende, oavsett hur bra den underliggande tjänsten faktiskt är.

Det femte är en gemensam terminologi. DORA använder specifika begrepp, som kritisk eller viktig funktion, som avtalet bör spegla. Ett avtal skrivet med bolagets egna, äldre begrepp tvingar kundens jurister att tolka om varje mening, vilket förlänger varje förhandling i onödan.

Det sjätte, som ofta glöms bort, är hur avtalet hanterar underleverantörers underleverantörer. En finansiell kund vill i regel se hela kedjan, mer än bara det första ledet. Bolagets egna leverantörsavtal behöver då innehålla motsvarande insyns- och rapporteringskrav för att kedjan ska hålla ihop hela vägen ner.

Ingen av de sex delarna kräver att bolaget bygger om sin tjänst i grunden. Det handlar i de flesta fall om att formulera sådant som redan görs i praktiken, bara på ett sätt som en finansiell kunds egen tillsynsfunktion kan känna igen och acceptera. Skillnaden mellan ett avtal som fastnar i förhandling och ett som går igenom smidigt ligger sällan i den faktiska säkerhetsnivån, utan i hur tydligt den beskrivs i den text kundens jurister faktiskt läser.

Ett bolag som har de här sex delarna klara i sin standardmall, innan nästa förhandling börjar, möter en helt annan säljprocess än ett bolag som improviserar svaren i sista minuten. Skillnaden märks särskilt när flera finansiella kunder förhandlar samtidigt, och varje ny fråga annars måste besvaras från grunden varje gång.

Gör den här övningen den här veckan. Ta fram ert nuvarande standardavtal för IKT-tjänster och gå igenom de sex punkterna ovan, en i taget. Markera vilka som redan finns, vilka som finns men är otydliga, och vilka som saknas helt. Den listan blir underlaget för nästa uppdatering av avtalsmallen.