Wat is een vragenlijst-response?

Een vragenlijst-response (in het Engels questionnaire response) wordt vraag per vraag samengesteld: elk antwoord komt van de persoon die het weet, of uit een al goedgekeurde formulering. Bij leveranciers gaat de response terug naar een koper tijdens een verkooptraject, bij onboarding of verlenging, of in de prekwalificatiefase van een openbare aanbesteding. In enquêteonderzoek staat dezelfde term voor de antwoorden van één deelnemer op de vragen van een studie.

Wat een vragenlijst-response bevat

Elke vragenlijst bepaalt welk soort antwoord een vraag verwacht. Een vragenlijst-response combineert daarom meerkeuzeantwoorden, ja-neeantwoorden die een toelichting nodig hebben, antwoorden in vrije tekst en bijgevoegde bewijsstukken. Het onderwerp verschilt naargelang het type vragenlijst. Een security questionnaire peilt naar hoe de leverancier gegevens beschermt, een ESG-vragenlijst naar zijn staat van dienst op het vlak van milieu, maatschappij en bestuur, en een compliancevragenlijst naar hoe hij voldoet aan de regels waaraan de koper gebonden is.

Bij een meerkeuzeantwoord kiest de leverancier uit de opties die de koper opgeeft, zoals een keuzelijst in een cel van een spreadsheet. Een ja-neeantwoord lijkt even eenvoudig, maar het eerlijke antwoord is soms een gedeeltelijk ja. Een beheersmaatregel geldt misschien voor het ene product en niet voor het andere, of een beleid bestaat wel maar wordt herzien. In het opmerkingenveld naast het vakje vermeldt de leverancier die beperking, zodat dat ene woord niet meer beweert dan klopt.

Antwoorden in vrije tekst beschrijven hoe iets wordt gedaan, bijvoorbeeld hoe de leverancier een beveiligingsincident afhandelt. Een bewijsstuk is het document dat een antwoord onderbouwt, zoals een beleidsdocument, een certificaat of een auditrapport.

De ILPA DDQ 2.0 toont die combinatie in één formulier. Het is de standaard due-diligence-vragenlijst (DDQ) die de Institutional Limited Partners Association (ILPA), de sectororganisatie voor investeerders in private-equityfondsen, publiceert om fondsbeheerders te beoordelen. De vragenlijst koppelt korte ja-neevragen aan vragen die een uitgebreid antwoord vereisen. Een bijlage somt vervolgens de documenten en datapunten op die bij de antwoorden moeten worden gevoegd.

Hoe een vragenlijst-response verschilt van verwante termen

De koper, of de organisatie die een standaardvragenlijst publiceert, bepaalt elke vraag en het formaat van elk antwoord. De leverancier stelt geen oplossing of prijs voor en beantwoordt de vragen in de opgegeven volgorde.

RFP-response

Een RFP (request for proposal) vraagt een leverancier hoe die in een behoefte zou voorzien en tegen welke prijs. De RFP-response is de offerte van de leverancier en laat dus ruimte voor diens aanpak en commerciële voorwaarden. Een vragenlijst-response heeft die ruimte niet.

De Consensus Assessment Initiative Questionnaire (CAIQ), een security questionnaire voor de cloud van de Cloud Security Alliance, laat zien hoe beperkt die ruimte kan zijn. Het is een reeks ja-neevragen over beveiligingsmaatregelen. Een RFP-response wordt bovendien geschreven voor één opportuniteit, terwijl vragenlijstvragen bij koper na koper terugkomen.

De vragenlijst zelf

De vragenlijst is het document van de koper: de vragen en de vorm waarin ze binnenkomen. De response is wat de leverancier terugstuurt. Eén vragenlijst, zoals de CAIQ, kan veel leveranciers bereiken, terwijl elke response bij één koper op één bepaald moment hoort. Een response van vorig jaar beschrijft de leverancier mogelijk niet meer correct, ook als de vragenlijst niet is gewijzigd.

Hoe een vragenlijst-response tot stand komt

Neem een kleine, fictieve softwareleverancier die tijdens het verkooptraject een CAIQ-spreadsheet van een potentiële koper ontvangt. De response komt in zes stappen tot stand, van het doornemen van het bestand tot het beantwoorden van de vervolgvragen van de koper.

De coördinator neemt eerst door wat het bestand vraagt en wanneer het moet worden ingediend. Dat omvat de indieningsdatum, het vereiste formaat en alle documenten die de koper als bijlage wil ontvangen.

Vervolgens gaat elke vraag naar de persoon die het antwoord kent. Vragen over hosting gaan naar de engineer die de infrastructuur beheert, en beleidsvragen naar de eigenaar van het beveiligingsbeleid. Deze collega’s zijn de vakexperts of SME’s (subject matter experts): op hun kennis steunen de antwoorden.

Het schrijfwerk begint bij antwoorden die de onderneming al goedkeurde voor eerdere vragenlijsten, aangepast aan de formulering van deze koper. Steunt een antwoord op een document, dan gaat dat document mee. Een leverancier met een ISO 27001-certificaat (de internationale certificering voor informatiebeveiligingsbeheer) of een SOC 2-rapport (het verslag van een onafhankelijke auditor over zijn beheersmaatregelen) voegt dat toe. Het STAR-programma van de Cloud Security Alliance koppelt precies dit soort bewijs aan een CAIQ-indiening op Level 2.

Voor er iets teruggaat, leest een aangewezen persoon die bevoegd is om de onderneming te verbinden de volledige response en keurt die goed. In een bidteam is dat de bidmanager. In een kleine onderneming zonder bidmanager is dat bijvoorbeeld de zaakvoerder.

Daarna gaat het ingevulde bestand terug in het formaat van de koper, met de structuur van de spreadsheet intact, via e-mail of via het portaal van de koper. Heeft die vervolgvragen over een antwoord of een bewijsstuk, dan antwoordt de vakexpert van wie dat antwoord komt. Hoe u deze stappen over veel deals heen uitvoert, leest u in het proces voor het beantwoorden van vragenlijsten.

Wat de koper met de antwoorden doet

De koper toetst de antwoorden aan zijn eigen vereisten en controleert of het bewijs de claims in de antwoorden onderbouwt. Een certificaat geldt alleen voor wat het dekt, dus de koper vergelijkt het toepassingsgebied ervan met de dienst die hij daadwerkelijk zal gebruiken.

In de selectiefase van een aanbesteding beslist de koper welke leveranciers in aanmerking komen voordat hij hun offertes beoordeelt. De PQQ-response, de antwoorden op een prekwalificatievragenlijst (PQQ), is de vragenlijst-response van de aanbestedingsfase: daar bepalen de antwoorden de selectie.

Waarom leveranciers een bibliotheek met goedgekeurde antwoorden bijhouden

Leveranciers houden een bibliotheek met goedgekeurde antwoorden bij omdat dezelfde vragen terugkomen bij veel kopers die dezelfde standaardvragenlijsten gebruiken. ILPA stelt dat zijn DDQ bedoeld is om de belangrijkste onderwerpen te standaardiseren waarover investeerders vragen stellen wanneer ze fondsbeheerders beoordelen. Een fondsbeheerder die dat formulier voor een tweede investeerder invult, krijgt vragen die hij al eens beantwoordde.

Met deze bibliotheek kan de onderneming elke terugkerende vraag één keer beantwoorden, het antwoord valideren en het hergebruiken. Elk antwoord heeft een eigenaar, de persoon die verantwoordelijk is voor de juistheid ervan. Het heeft ook een reviewdatum, waarna het vóór hergebruik opnieuw wordt gecontroleerd.

Een antwoord raakt verouderd wanneer de situatie die het beschrijft verandert, bijvoorbeeld door een vernieuwd certificaat, een herschreven beleidsdocument of een nieuwe hostingoplossing. Zonder bibliotheek start elke vragenlijst vanaf een leeg bestand en kunnen antwoorden op dezelfde vraag per koper uiteenlopen. In de praktijk begint het beantwoorden van vragenlijsten met zo’n bibliotheek.