Public procurement notice: Prior Information Notice With Call For Competition
Published: 2018-05-31
Buyer: KfW Bankengruppe
Country: DE
Contract type: Services
Procedure: Competitive procedure with negotiation
CPV classification: 48490000
Submission deadline: 2018-06-18

Technical requirements: Beschafft werden soll ein Vendor Management System (VMS), welches den gesamten Beschaffungszyklus von externen Leistungserbringungen unterstützt. Es wird nur ein VMS beschafft, es werden keine zusätzlichen Leistungen wie „managed services“ vom Auftragnehmer gefordert.
Für beide Module werden Schnittstellen zu dem bestehenden SAP SRM System benötigt wie nachstehend beschrieben.
Vorgesehener High-Level-Prozess SoW: Im VMS wird vom Bedarfsträger zunächst die Leistungsbeschreibung erstellt. Hierbei werden auch Rahmenbedingungen wie Anforderungen des Onboardings, Zuverlässigkeitsprüfungen und der vorgesehene Beschaffungsweg spezifiziert (Hinweis: im VMS werden keine EU-Ausschreibungen abgebildet, jedoch Mini-Wettbewerbe unter Rahmenverträgen mit mehreren Vertragspartnern, eine entsprechende Vertragsdatenbank ist im VMS darzustellen oder anzubinden).
Die Leistungsbeschreibungen müssen verschiedene Prüfvorgänge und Genehmigungen durchlaufen bevor sie als Anfrage zu den ausgewählten Lieferanten im VMS vorliegen. Die Lieferanten können Fragen zur Anfrage stellen. Antworten können nach Wahl der KfW an alle Lieferanten der Anfrage oder nur an Einen zurück geschickt werden. Die Angebote müssen jeweils bis zu einer definierten Frist eingehen und dürfen bis dahin nicht von der KfW gesichtet werden. Nach der Frist darf der Lieferant sein Angebot nicht mehr verändern, sondern nur noch zurückziehen.
Die Entscheidungsfindung der KfW für ein Angebot muss im VMS abbildbar und für die Anbieter sichtbar sein. Bewertungen für Preise und Qualität können individuell bei der Anfrage festgelegt und später vom Einkauf bzw. Bedarfsträger im VMS ausgefüllt werden.
Vorgesehener High-Level-Prozess contigent labor: Im VMS wird vom Bedarfsträger zunächst eine von vorher definierten Rollen ausgewählt, dazu der gewünschte Zeitraum und Standort. Die KfW-Personalabteilung (HR) prüft den Vorgang und übermittelt die Anfrage im VMS an den definierten „master vendor“ für Zeitarbeit. Nach der Angebotslegung des master vendors und der Auswahl der Ressource durch den Fachbereich gibt HR den Vorgang – außerhalb des VMS – zur Freigabe an die Personalvertretung und nach erteilter Freigabe im VMS die Entscheidung frei.
Nach der Entscheidung in beiden Prozessabläufen für ein Angebot werden definierte Daten vom VMS nach SAP SRM über eine Schnittstelle übertragen. In SAP SRM wird daraus ein Einkaufswagen generiert, der nach Anreicherung von weiteren Daten in SAP SRM fertig gestellt, freigegeben und in eine SRM Bestellung umgewandelt wird. Nach diesem Prozess werden definierte Daten über eine Schnittstelle in das VMS Tool zur Vervollständigung einer „work order“ übertragen.
Im VMS werden nach Bestätigung der work order durch den Lieferanten verschiedene onboarding Prozesse gestartet. Infomails gehen z. B. an die Zugangskontrolle zur Erstellung von Ausweisen (hier sind keine Schnittstellen vorgesehen sondern nur Mails und Rückbestätigungen, kein Austausch von Daten. Der Lieferant bestätigt auch Vervollständigung von Zuverlässigkeitsprüfungen oder Zertifikaten (wenn gefordert).
Die Zeit bzw. Aufwandserfassung erfolgt im VMS, gleichfalls die Freigabe durch den Bedarfsträger. Die Daten werden dann durch eine Schnittstelle nach SAP SRM als Wareneingang übermittelt, da die Rechnungsbezahlung über SAP erfolgen wird.
Die Vertragssteuerung im VMS erfolgt durch Mails im Fall von auslaufenden Budgets oder Vertragszeiten. Anpassungen von work ordern führen unter Umständen zur Notwendigkeit der Erstellung von neuen SAP-Einkaufswagen (siehe oben). Nach Beendigung des Vertrages wird eine Rückabwicklung des Onboardings dokumentiert. Erst nach Komplettierung des „Offboardings“ wird die letzte Zeit- oder Aufwandserfassung nach SAP zur Rechnungszahlung übermittelt.
1) Es werden personenbezogene Daten verarbeitet. Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet grundsätzlich ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union (nachfolgend: „EU“) oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (nachfolgend: „EWR“) statt.
Jede Verlagerung in ein Drittland bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO und auch die sonstigen datenschutzrechtlichen Bestimmungen erfüllt sind. Die diesbezüglichen datenschutzrechtlichen Anforderungen sind vom Auftragnehmer sicherzustellen und gegenüber dem Auftraggeber auf Verlangen nachzuweisen.
2) Der Cloud Dienst wird als SaaS (Software as a Service) angeboten, mit dem Service sind keine weiteren Dienstleistungen verknüpft.
Grundlage hierzu sind die bankaufsichtlichen Anforderungen an die IT (BAIT) von der BAFIN (vom 3.11.2017) die die 5. Novelle der MaRisk (Endfassung erschienen am 27.10.2017) bzgl. der Anforderungen an die IT spezifizieren und der neu erschienene Anforderungskatalog Cloud Computing (C5) des BSI (vom November 2017).
Der Anforderungskatalog Cloud Computing des BSI wiederum basiert auf den marktüblichen internationalen Standards wie z. B. ISO/IEC 27001: 2013, CSA Cloud Controls Matrix 3.01, AICPA – Trust Services Principles Criteria 2014, IDW ERS FAIT 5 4.11.2014, BSI IT-Grund-schutz 14. EL 2014 und BSI SaaS Sicherheitsprofile 2014.