Seminar OSS – Due Diligence bei Anbietern

Eine Anbieterprüfung muss über Referenzen und Zertifikate hinausgehen. Das Seminar verbindet finanzielle, organisatorische, technische, sicherheitsbezogene und OSS-spezifische Kriterien zu einer nachvollziehbaren Due Diligence.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Prüfungsumfang nach Kritikalität und Beschaffungsmodell festlegen
• Anbieter, Unterauftragnehmer und Schlüsselpersonen strukturiert bewerten
• Technische und organisatorische Nachweise belastbar prüfen
• Risiken in Auflagen, Vertragsbedingungen und Überwachungsmaßnahmen überführen

Zielgruppe

Einkauf, Vendor Management, Informationssicherheit, Compliance, Architektur, Rechtsabteilung, Projektleitung und Fachverantwortliche.

Voraussetzungen

Grundkenntnisse in Lieferantenauswahl oder IT-Beschaffung. Ein konkreter Anbieterfall kann als Übungsgrundlage dienen.

Seminarinhalte

1. Schritt 1: Prüfungsprofil erstellen

   Leistungsumfang, Kritikalität, Datenzugriff, Betriebsverantwortung, Vertragswert, Laufzeit und Exit-Auswirkung bestimmen Tiefe und Fachdisziplinen der Prüfung.

2. Schritt 2: Unternehmensstabilität bewerten

   Eigentümerstruktur, Finanzierung, Umsatzabhängigkeiten, Versicherungen, Rechtsstreitigkeiten, Standorte und Kontinuitätsplanung werden untersucht.

3. Schritt 3: Leistungsorganisation prüfen

   Rollen, Qualifikationen, Vertretungen, Kapazität, Supportmodell, Rufbereitschaft, Unterauftragnehmer und Wissenssicherung werden bewertet.

4. Schritt 4: OSS-Kompetenz nachweisen

   Upstream-Beiträge, Maintainer-Beziehungen, Release-Erfahrung, Patch-Pflege, Fork-Kompetenz und Umgang mit Community-Konflikten werden anhand konkreter Nachweise geprüft.

5. Schritt 5: Security und Compliance prüfen

   Secure Development, Schwachstellenprozess, SBOM, Patchzeiten, Zugriffsschutz, Logging, Datenschutz und Auditfähigkeit werden bewertet.

6. Schritt 6: Technische Lieferfähigkeit testen

   Architektur, Automatisierung, Build, Test, Deployment, Monitoring, Backup, Skalierung und Wiederherstellung werden anhand von Demonstrationen oder Pilotaufgaben geprüft.

7. Schritt 7: Referenzen verifizieren

   Vergleichbare Größe, Kritikalität, Technologie, Laufzeit und Leistungsergebnisse werden mit strukturierten Referenzfragen überprüft.

8. Schritt 8: Risikoentscheidung vorbereiten

   Feststellungen werden nach Schwere und Behebbarkeit klassifiziert. Auflagen, Sicherheiten, Meilensteine und Ausschlussgründe werden formuliert.

9. Schritt 9: Nachprüfung planen

   Änderungen bei Eigentum, Personal, Unterauftragnehmern, Security-Lage und Leistungsfähigkeit lösen regelmäßige oder anlassbezogene Re-Assessments aus.

Praxisübungen

• Erstellung eines risikobasierten Due-Diligence-Fragebogens
• Bewertung widersprüchlicher Lieferantennachweise
• Formulierung von Vertragsauflagen
• Vorbereitung einer Auswahlentscheidung

Methodik

Fachinput, moderierte Analyse, Gruppenarbeit und realitätsnahe Fallstudien wechseln sich ab. Jeder Themenblock endet mit einer überprüfbaren Arbeitsunterlage für den betrieblichen Einsatz.