Så jämför du leverantörsalternativ utifrån kapacitet och risk

Inledning: Kapacitet och risk i leverantörsvalet

Ett kapacitetskrav svarar på om leverantören har tillräcklig erfarenhet eller ekonomisk möjlighet att utföra uppdraget. Upphandlingsmyndigheten anger att syftet med kvalificeringskrav är att identifiera just de leverantörer som har tillräcklig erfarenhet eller ekonomisk möjlighet, så att ett kontrakt inte tilldelas någon som inte kan förväntas fullfölja det. Men svaret är ett ögonblicksvärde: det säger något om förmågan vid anbudstillfället, inte om vad som händer med leveransen under kontraktstiden.

Cyberattacker, IT-haverier, översvämningar, bränder, större problem med leveranskedjan och pandemier kan enligt DNV utgöra betydande hot mot den fortsatta verksamheten i alla företag. En leverantör som klarar samtliga kapacitetskrav kan alltså ändå slås ut eller försämras kraftigt av en händelse utanför den ursprungliga bedömningen. Jämförelsen behöver därför två separata mått: hur stark leverantörens kapacitet är, och hur motståndskraftig den är mot störningar.

Utgå från uppdragets krav och utvärderingskriterier

Vid direktivstyrd upphandling får kvalificeringskrav enligt Upphandlingsmyndigheten bara avse behörighet att utöva yrkesverksamhet, viss ekonomisk och finansiell ställning samt viss teknisk och yrkesmässig kapacitet. Kraven ska vara kopplade till föremålet för kontraktet, nivån ska stå i proportion till detta och kraven vara förenliga med de grundläggande upphandlingsrättsliga principerna. Det finns ingen skyldighet att ställa kvalificeringskrav – men ställs de måste de rymmas inom dessa kategorier.

Bygg en matris med en rad per krav och kolumner för kravtyp, vad kravet avser att säkerställa, vilket bevis som efterfrågas, leverantörens svar och din bedömning. Skilj på kvalificeringskrav, som ska vara uppfyllda för att leverantören alls ska utvärderas, och utvärderingskriterier, som rangordnar dem som kvalificerat sig. Svenskt Näringsliv lyfter fram att uppdraget, kraven och utvärderingskriterierna bör beskrivas kortfattat och lättbegripligt, så att en företagare snabbt ser vilken upphandling det gäller. Samma princip gör matrisen jämförbar: varje krav ska ha ett tydligt efterfrågat underlag, inte ett allmänt intryck av leverantören.

Kartlägg leverantörens kapacitet – egen och via andra

En leverantör som av olika anledningar inte ensam kan uppfylla ett kvalificeringskrav har enligt Upphandlingsmyndigheten rätt att åberopa andra företags kapacitet. Rätten gäller ekonomisk och finansiell ställning samt krav på teknisk och yrkesmässig kapacitet. Det åberopade företaget kan vara helt fristående från leverantören – det behöver inte tillhöra samma koncern.

En jämförelse som bara tittar på anbudsgivarens eget organisationsnummer kan därför bli missvisande. Kartlägg i stället, per kapacitetsområde, vem som faktiskt bidrar med resursen: leverantören själv, ett fristående företag eller ett koncernbolag. För varje åberopad resurs behöver du veta vilket företag det gäller, vilken kapacitet som åberopas och hur den kopplas till det som ska levereras. Utan den kartan går det inte att bedöma om kapaciteten är knuten till uppdraget eller bara finns någonstans i en företagsgrupp.

Jämför ekonomisk och finansiell ställning

Bedöm om leverantören kan fullfölja kontraktet över tid, inte bara vid avtalets början. Använd samma dokument för alla anbudsgivare: årsredovisningar för flera år, nyckeltal för soliditet och likviditet, kreditbedömning, omsättning i förhållande till kontraktsvärdet, uppgifter om pågående och nyligen genomförda uppdrag samt beroende av enskilda kunder eller intäktskällor. Eftersom kvalificeringskraven ska vara kopplade till kontraktets föremål och proportionerliga mot detta, blir kontraktsvärdets storlek relativt leverantörens omsättning en konkret jämförelsepunkt.

Även ekonomisk och finansiell ställning får enligt Upphandlingsmyndigheten åberopas från ett annat företag. Jämför därför den ekonomiska styrkan hos den part som faktiskt står bakom åtagandet, inte enbart hos den formella anbudsgivaren. Kommer en stor del av kapaciteten från ett åberopat företag, ställ samma frågor om dess stabilitet som du skulle ställa om leverantören själv.

Jämför teknisk och yrkesmässig kapacitet

Jämför erfarenhet, kompetens och yrkeskvalifikationer mot uppdragets art och komplexitet: liknande uppdrag, jämförbar storlek, jämförbara tekniska eller regulatoriska förutsättningar och relevanta referenser. Kartlägg också bemanningen – vilka personer eller funktioner som ska utföra arbetet, hur nyckelkompetens säkras och i vilken utsträckning underleverantörer används.

Utbildnings- och yrkeskvalifikationer omfattas av en begränsning när annans kapacitet åberopas: enligt Upphandlingsmyndigheten får leverantören inte åberopa ett annat företags kvalifikationer på samma fria sätt som för ekonomisk ställning och teknisk kapacitet. Frågan om vem som faktiskt bidrar med kompetensen blir därför avgörande för jämförelsen. Kontrollera särskilt vilket företag eller vilka personer som står bakom de kvalifikationer som presenteras, i stället för att bara räkna dem till anbudsgivarens kapacitet.

Identifiera risker och sårbara områden

Jämför leverantörerna ur ett kontinuitetsperspektiv: vilka händelser kan avbryta leveransen, och hur påverkas respektive leverantör? DNV räknar cyberattacker, IT-haverier, översvämningar, bränder, större problem med leveranskedjan och pandemier som betydande hot mot fortsatt verksamhet. ISO 22301-arbete ger enligt DNV en bättre förståelse för kritiska frågor och sårbara områden, vilket ger dig ett underlag att jämföra just de punkterna mellan leverantörer.

Kartlägg kritiska beroenden: enskilda anläggningar, system, nyckelleverantörer, geografisk koncentration och personberoende. Komplettera med leveransmätning över tid. Slimstock lyfter fram mätbara leverantörs-KPI:er som On-Time In-Full (OTIF), ledtidsvarians och felfrekvens – mått som visar om leveransförmågan är stabil eller varierar, och som därmed ger en grund för att jämföra risknivå snarare än bara kapacitet.

Riskfaktorer i leveranskontinuitet

Top 5 leverantörs-KPI:er för riskbedömning

Granska leverantörens kontinuitetsarbete

ISO 22301 är standarden för ledningssystem för kontinuitet i verksamheten. Enligt DNV ställer den krav på ett sådant ledningssystem och samlar internationella bästa metoder som hjälper organisationer att reagera och återhämta sig effektivt från störningar. Standarden är relevant för alla organisationer, stora som små, i alla branscher, och kan vara särskilt relevant i högriskmiljöer som försörjningsföretag, finansiella tjänster, transport, telekom samt livsmedels- och dryckesproduktion, liksom där fortsatt drift är kritisk, exempelvis i offentlig sektor. RISE beskriver att ett ledningssystem för kontinuitet enligt ISO 22301 ger organisationer, oavsett storlek, stöd för systematiskt arbete i kontinuitetsplaneringen.

Granska fyra konkreta delar mot standardens innehåll så som DNV beskriver det: att en kontinuitetsplan upprätthålls, att beredskapsnivån övervakas och testas, att organisationen kan reagera och återhämta sig effektivt samt att arbetet kopplas till riskhantering, hantering av leveranskedjan och resurshantering. DNV anger också att arbetet kan ge en tydligare bild av hur organisationen fungerar och minska kostnaden för försäkringar mot avbrott. Advania beskriver ISO 22301 som standarden för ledningssystem för verksamhetskontinuitet och att den stödjer arbetet med NIS2 och DORA – relevant om leverantören omfattas av eller arbetar mot sådana regelverk.

Fördelar och nackdelar med ISO 22301-certifiering

• Nackdelar — Inte garanti för fungerande leverans – kräver egen granskning av planer, testresultat och mätdata

Värdera certifiering och verifierbarhet

Verifierbarhet kan jämföras precis som andra kriterier: vilket underlag kan leverantören visa, vem har tagit fram det och hur aktuellt är det? DNV beskriver att ett ackrediterat tredjepartscertifieringsorgan kan tillhandahålla utbildning, självbedömningar, analys av brister och certifiering, och att en certifiering börjar med att förstå standarden och implementera ett ledningssystem som uppfyller kraven. Det ger fyra nivåer av underlag att väga mot varandra: självbedömning, gapanalys, oberoende tredjepartsgranskning och certifiering.

Ett certifikat är ett stöd i bedömningen, inte en garanti för att leveransen fungerar under just detta kontrakt. Väg därför certifieringen mot uppdragets krav och mot övriga delar av matrisen: täcker den de processer och platser som uppdraget omfattar, hur länge har ledningssystemet varit i drift, och finns andra uppgifter – kontinuitetsplan, testresultat eller leveransmätning – som bekräftar eller motsäger bilden?

Väg samman kapacitet och risk

Använd en beslutsmodell i fem steg. Först: kontrollera kravuppfyllelsen – kvalificerar leverantören sig alls, och är de åberopade resurserna knutna till uppdraget? Sedan: gradera kapacitetsstyrkan inom ekonomi, teknik och yrkesmässig kapacitet, gärna i nivåer i stället för ja/nej. Därefter: kartlägg beroenden som kan bryta leveransen. Sedan: bedöm kontinuitetsförmågan utifrån plan, övervakning, testning och återhämtning. Sist: värdera verifierbarheten – hur mycket av det leverantören påstår kan styrkas med dokument, certifiering eller mätdata?

Skilj på de två typerna av utfall. Kravuppfyllelse är i praktiken binär: antingen uppfylls kvalificeringskravet eller inte, och åberopad kapacitet ska räknas med. Kapacitetsstyrka, beroenden, kontinuitetsförmåga och verifierbarhet är däremot graderade och kan vägas mot varandra. En leverantör med stark kapacitet men svag kontinuitetsförmåga och låg verifierbarhet är ett annat risktagande än en något mindre leverantör med dokumenterad kontinuitetsplan, testad beredskap och stabila leveransmått – och valet bör spegla vilket risktagande uppdraget tål.

Jämförelse av leverantörsalternativ: kapacitet vs risk

Beslutsmodell för jämförelse av leverantörer