Leverandøravtale: hva må være med?

Hvorfor leverandøravtalen er viktig

Avtalen er der kravene blir forpliktende. Uten konkrete vilkår har du ingen styringsrett når leverandøren svikter på noe annet enn pris eller tid. En gjennomtenkt leverandøravtale er derfor ikke byråkrati – det er forutsetningen for at den løpende oppfølgingen i det hele tatt har noe å støtte seg på. Et muntlig krav du ikke kan vise til i avtalen, er i praksis ingen kontroll.

Samtidig bør avtalen være proporsjonal. En kritisk leverandør med tilgang til persondata trenger en grundig avtale med flere vilkår; en ukritisk engangsleverandør klarer seg med en enklere standard. Å bruke samme tunge avtale på alle er like uklokt som å bruke en tynn avtale på de kritiske.

Kvalitets- og leveringskrav

Grunnmuren i avtalen: hva skal leveres, til hvilken kvalitet, til hvilken tid, og hva skjer ved avvik. Gjør kravene målbare der det er mulig – leveringsfrister, kvalitetsstandarder, responstid ved feil – og avtal konsekvensene ved brudd, for eksempel prisavslag, retting eller heving. Vage krav er vanskelige å håndheve.

Etiske krav og adferdsnorm

For leverandører med reell risiko bør avtalen inneholde en adferdsnorm (Code of Conduct) som dekker arbeidsforhold, menneskerettigheter, miljø og antikorrupsjon. Dette er særlig viktig hvis din virksomhet er omfattet av åpenhetsloven – da må kravene til leverandøren henge sammen med dine egne aktsomhetsforpliktelser. Adferdsnormen bør følges av rett til oppfølging, dokumentasjon og eventuelt revisjon.

Krav til underleverandører

Risikoen ligger ofte ikke hos din direkte leverandør, men hos leddene under. Derfor bør avtalen kreve at leverandøren stiller tilsvarende krav videre til sine underleverandører – såkalt «back-to-back»-regulering. Dette er ikke et eksplisitt lovkrav, men en praktisk forutsetning for at du skal kunne oppfylle dine egne forpliktelser. Uten det stopper kontrollen ved første ledd, mens den alvorligste tredjepartsrisikoen kan ligge lenger ned i kjeden.

Databehandleravtale (GDPR)

Databehandleravtale henger tett sammen med personvern og GDPR ellers i virksomheten, og bør være en fast sjekk når en leverandør får tilgang til systemer eller data.

Sikkerhetsvilkår

Får leverandøren tilgang til lokaler, systemer eller sensitiv informasjon, bør avtalen ha sikkerhetsvilkår: krav til informasjonssikkerhet, taushetsplikt, tilgangsstyring, og rutiner for å varsle om sikkerhetshendelser. For virksomheter med særlige sikkerhetskrav kan dette være omfattende; for de fleste holder det med tydelige, forholdsmessige vilkår.

Rapporterings- og innsynsrett

For å kunne følge opp må du ha rett til å se. Avtal hvilken dokumentasjon leverandøren skal levere, hvor ofte, og at du har rett til innsyn eller revisjon ved behov. Uten innsynsrett er du henvist til å stole på leverandøren – og tillit er ikke kontroll.

Exit, mislighold og oppsigelse

Avtalen bør regulere hva som skjer når samarbeidet skal avsluttes – planlagt eller ved mislighold. For kritiske leverandører er en ryddig exit-mekanisme spesielt viktig: hvordan sikres overgangen, hvem eier data og dokumentasjon, og hvordan unngår du driftsstans? En leverandør du ikke kan komme deg ut av, er en risiko i seg selv.

Sjekkliste: hva bør avtalen inneholde?

Bruk sjekklisten risikobasert: jo mer kritisk leverandøren er, desto flere av punktene bør avtalen dekke grundig. For å se hvor avtalekravene passer inn i helheten, se pillaren om leverandøroppfølging, og bruk gjerne vurderingsverktøyet vårt til å avklare hvilke leverandører som trenger de strengeste vilkårene.

Denne artikkelen er generell veiledning og ikke juridisk rådgivning. Utformingen av en konkret leverandøravtale bør tilpasses virksomhetens situasjon, og ved tvil bør juridisk kompetanse involveres.