Bereitstellung, Implementierung und Betrieb eines Systems zur Unterstützung von Governance-, Risk- und Compliance-Management-Prozessen GRC-Tool als SaaS-Lösung

1. Eigenerklärung, dass eine Eintragung im Berufs- oder Handelsregister oder ein anderer, ver-gleichbarer Nachweis für die erlaubte Berufsausübung vorliegt. Hinweis: Die GMSH wird ggf. den entsprechenden Nachweis vor Zuschlagserteilung abfordern.

3. Eigenerklärung über den Nachweis einer entsprechend bestehenden Betriebshaftpflichtversicherung oder dass diese im Falle eines Vertragsabschlusses entsprechend abgeschlossen wird (gem. § 45 Abs. 1 Nr. 3 VgV).

11. Eigenerklärung, dass das Wettbewerbsregister keine negativen Eintragungen enthält. Hinweis: Die GMSH wird einen Wettbewerbsregisterauszug vor Zuschlagserteilung einholen.

12. Eigenerklärung (Formblatt) zu Aufträgen und Konzessionen oberhalb der EU-Schwellenwerte zur Umsetzung von Artikel 5k der Verordnung (EU) Nr. 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren, eingefügt mit der Verordnung (EU) 2022/576 des Rates vom 08. April 2022. Das Formblatt ist Bestandteil der Vergabeunterlagen.

5. Es ist eine Beschreibung eines produktiv eingesetzten Referenzsystems vorzulegen. Die Darstellung dient der technischen und beruflichen Leistungsfähigkeit und soll die Vergleichbarkeit mit dem ausgeschriebenen Beschaffungsgegenstand ermöglichen. Die Beschreibung soll insbesondere folgende Aspekte beinhalten: - Referenzprojekt: Darstellung der Branche, Projektlaufzeit, Produktivsetzung, Anzahl der Nutzer, Rolle des Auftragnehmers - Systembeschreibung: Funktionsumfang des Referenzsystems, Beschreibung eines Betriebs- und Hostingkonzeptes, wesentliche technische Architektur, Systemsprache - Integration: Beschreibung der angebundenen Schnittstellen, Integrationsumfang, Datenaustausch (z.B. API) - Betrieb: Releaseverfahren, Wartung, Support, Fehlerbehebungsprozesse - Sicherheit und Compliance: Sicherheitsmechanismen, Datenschutz, Berechtigungskonzept, Umgang mit regulatorischen und gesetzlichen Änderungen - Projekterfahrung: Besonderheiten bei der Einführung, Datenmigration, Schulungen, Testdokumentation

2. Auf Grundlage des (Konzern-) Jahresabschlusses des letzten abgeschlossenen Geschäftsjahres (2025) des Unternehmens sowie ggf. (Konzern-) Jahresabschlusses des letzten Geschäftsjahres des Mutterkonzerns (wenn der bewerbende Unternehmensteil eine Tochtergesellschaft darstellt) erfolgt ein Rating der Anbieter gem. dem offiziellen DSGV- oder RSU-Corporate-Ratingverfahren durch den Kreditbereich der IB.SH. Die Ratingnoten werden anschließend kategorisiert. Anbieter mit einer DSGV-/ RSU Corporate-Ratingnote von 12 oder schlechter werden im Verfahren nicht weiter berücksichtigt = Ausschluss von Verfahren.

10. Gestaltung der Teilnahmeunterlagen und aussagekräftige Unternehmensdarstellung inkl. Leistungsportfolio (Name, Anschrift, Rechtsform, Eigentümerstruktur, organisatorischer Aufbau, Unternehmensgröße im relevanten Segment, Personal, Standorte, Gründungsdatum, Historie, Telefon und E-Mail Adresse, Umsatzsteueridentifikationsnummer, Bankverbindung, Beschreibung des Unternehmenszweiges, der die ausgeschriebene Dienstleistung erbringen wird, Gründungsdatum für diesen Unternehmenszweig, Kunden in Deutschland, weitere aussagekräftige Unterlagen, die es der Auftraggeberschaft ermöglichen, ein Gesamtbild vom Unternehmen zu erhalten). --------------------------------------------------------------------------------------------------------------------------------------------------------------- Ein wesentlicher Faktor für eine zukünftige Partnerschaft / Zusammenarbeit ist insbesondere die Fragestellung der Positionierung eines Dienstleisters ggü. seinem Kunden. Dabei spielt insbesondere das Eingehen auf den Kunden bzw. den Kundenwunsch eine ausschlaggebende Rolle. In der Auftragsbekanntmachung werden Unterlagen vom Dienstleister zur Erfahrung und zum Leistungsspektrum des Dienstleisters abgefordert, die dem Auftraggeber ermöglichen sollen, einen ersten Gesamteindruck über den Dienstleister und sein Portfolio zu erlangen. --------------------------------------------------------------------------------------------------------------------------------------------------------------- Die Form der zur Verfügung gestellten Unterlagen wird hinsichtlich des Eingehens auf den Auftraggeber gesichtet und dabei insbesondere hinsichtlich folgender Indikatoren geprüft: - Übersichtlichkeit; - Transparenz, Struktur, Aufbau, Gestaltung; - verständliche Beschreibung; - Vollständigkeit; - Eingehen auf Kunden versus Standardfolien. - Darstellung der Nachhaltigkeit im Unternehmen (z.B. Arbeitswege von Mitarbeitern, Maßnahmen in Bezug auf Fortbildung, Flexible Arbeitsmodelle, Mobilität im Unternehmen, Energiesparmaßnahmen).

6. Aussagekräftige Beschreibung der Maßnahmen zur Qualitätssicherung und zum Qualitätsmanagement. --------------------------------------------------------------------------------------------------------------------------------------------------------------- Die Teilnahmeunterlagen werden gesichtet bzgl. der klaren und nachvollziehbaren Maßnahmen zur Qualitätssicherung hinsichtlich, z.B.: - interne Organisationsrichtlinien, dokumentiertes Qualitätssicherungssystem - Optimierung von Kommunikationsstrukturen innerhalb des Unternehmens - Gestaltung von Arbeitsabläufen in der Organisation des Unternehmens - internes Qualitäts(management)handbuch - interne Schulungsveranstaltungen - obligatorische und fakultative Fachausbildung, train-to-the-job"

7. Eigenerklärung, dass die Anforderungen, die im Lastenheft als Muss-Kriterien gekennzeichnet sind, erfüllt werden.

4. Fachliche Qualifikation des Bewerbers (Know-how und Kundenreferenzen) Beschreibung des Leistungsspektrums, Know-How und Erfahrung des Bewerbers bei der Bereitstellung und dem Betrieb des geforderten Systems; Darstellung der relevanten Referenzen (mind. 3 Referenzen über mit dem Ausschreibungsgegenstand vergleichbare, bereits beim Kunden implementierte und betriebene Systeme aus den letzten 3 Jahren, darunter mind. 1 Finanzinstitut), die die umfassende Erfahrung des Bewerbers belegen (Kontaktdaten von Ansprechpartnern zu den benannten Referenzen sind mindestens auf Nachfrage zu benennen).

9. Ein gültiges Testat zum Nachweis der Sicherheitsmaßnahmen gem. BSI Kriterienkatalog Cloud Computing C 5 (Basiskriterien) (spätestens vor dem Zuschlag einreichen).

8. Eine gültige Zertifizierung nach ISO/IEC 27001 oder über eine gleichwertige Zertifizierung muss eingereicht werden (die Zertifizierung muss den Betrieb der angebotenen SaaS Lösung für das GRC Tool umfassen und mindestens Hosting, Betrieb, Wartung sowie technischen Support der produktiven SaaS Umgebung abdecken).