Nabavka aplikacije za upravljanjem operativnim rizicima, praćenje preporuka revizije i eksternalizacije za potrebe Razvojne banke

CEJN ID

106199

Поступак

Једноставна набавка

Врста уговора

Роба

PARTIJE 1. Partija 1 Procijenjena vrijednost: 24999 EUR USLOVI UČEŠĆA 1. Ponuđač mora imati iskustvo u implementaciji ili održavanju softverskog rješenja za upravljanje operativnim rizikom, eksternalizacijom i/ili praćenje preporuka interne i eksterne revizije (ili funkcionalno ekvivalentnih rješenja), koje je u produkcionoj upotrebi kod najmanje jedne finansijske institucije, u periodu od posljednjih pet godina, računajući i 2025. godinu. Kao dokaz ispunjenosti ovog uslova, ponuđač je dužan da dostavi najmanje jednu potvrdu/referencu izdatu od strane finansijske institucije, koja sadrži sljedeće elemente: • naziv i kratak opis softverskog rješenja i njegov funkcionalni obuhvat; • period realizacije ugovora, odnosno period produkcionog korišćenja rješenja; • konstataciju da je ugovor izvršen blagovremeno i kvalitetno; • Potvrda/referenca se dostavlja kao sastavni dio ponude. 2. Izjava ponuđača o ispunjenosti uslova utvrđenih zahtjevom i nepostojanju sukoba interesa, elektronski potpisana od strane ovlašćenog lica ponuđača, data na Obrascu 2. 3. Sertifikat ISO/IEC 27001 za sistem menadžmenta bezbednošću informacija. - sertifikat ISO 20000-1 za menadžment uslugama. - Sertifikat ISO 9001 za sistem menadžmenta kvalitetom. 4. Ponuđač snosi troškove naknade korišćenja patenta i odgovoran je za povredu zaštićenih prava intelektualne svojine trećih lica. 5. Ponuđač je dužan dostaviti bezuslovnu i na prvi poziv naplativu garanciju ponude u iznosu od 2 % procijenjene vrijednosti javne nabavke, kao garanciju ostajanja u obavezi prema ponudi u periodu važenja ponude i 5 dana nakon isteka važenja ponude. 6. Rok važenja ponude najmanje 20 (dvadeset) dana 7. RBCG, Podgorica 8. 20 (dvadeset) dana za implementaciju poslovnog softvera i obuku korisnika i 12 (dvanaest) mjeseci za održavanje, od dana zaključenja ugovora. KRITERIJUMI ZA IZBOR Partija 1: cijena 100 bodova; kvalitet 0 bodova. 1. Cijena TEHNIČKA SPECIFIKACIJA 1. Predmet nabavke je isporuka, instalacija, konfiguracija, parametrizacija, testiranje i puštanje u rad aplikacije za: • upravljanje operativnim rizicima (potencijalni rizici, nastali događaji, sudski sporovi), evidencija indikatora rizika i mjera za smanjenje rizika; • registar i praćenje revizorskih preporuka/nalaza; • registar eksternalizovanih poslova i procjenu rizika eksternalizacije (uključujući reprocjene i izlazne strategije za kritične eksternalizacije); • izvještavanje i audit trail; Rješenje mora obuhvatiti sve potrebne softverske komponente i licence (osim sistemskog softvera Naručioca: OS, virtuelizacija, backup). Predmet nabavke je isporuka, instalacija, konfiguracija, parametrizacija, testiranje i puštanje u rad aplikacije za: • upravljanje operativnim rizicima (potencijalni rizici, nastali događaji, sudski sporovi), evidencija indikatora rizika i mjera za smanjenje rizika; • registar i praćenje revizorskih preporuka/nalaza; • registar eksternalizovanih poslova i procjenu rizika eksternalizacije (uključujući reprocjene i izlazne strategije za kritične eksternalizacije); • izvještavanje i audit trail; Rješenje mora obuhvatiti sve potrebne softverske komponente i licence (osim sistemskog softvera Naručioca: OS, virtuelizacija, backup). 1.1. Princip “ključ u ruke” Ponuđač je obavezan da isporuči rješenje po principu “ključ u ruke”, što podrazumijeva da RBCG dobija funkcionalan sistem u produkciji, spreman za operativni rad, uključujući: • analizu i finalizaciju zahtjeva na osnovu specifikacije, • konfiguraciju i parametrizaciju šifrarnika, tokova procesa i uloga, • instalaciju u okruženju Naručioca (on-premise), • integraciju sa Active Directory (autentifikacija), • inicijalno punjenje šifrarnika i početnih podataka koje RBCG dostavi (npr. iz Excel-a), • obuku korisnika i administratora, • korisničku i tehničku dokumentaciju, • testiranje (UAT) i otklanjanje uočenih nedostataka, • produkciono puštanje i stabilizacioni period. 2. Funkcionalni zahtjevi (uopšteno, ali obavezno) 2.1 Upravljanje operativnim rizicima Sistem za unos operativnih rizika mora podržati: • evidenciju najmanje tri tipa zapisa: potencijalni rizik, nastali događaj, sudski spor; • unos, izmjenu, verifikaciju, dodjelu rizika drugoj organizacionoj jedinici, komentarisanje, prikaz detalja, pregled istorijata promjena (audit trail) i zatvaranje/arhiviranje u skladu sa ovlašćenjima; • definisanje i korišćenje matrice rizika (učestalost × uticaj) i automatski obračun ocjene u skladu sa parametrima koje RBCG definiše u šifrarniku; • za svaki rizik omogućiti dodavanje jedne ili više mjera za samanjenje rizika, sa rokovima, odgovornim licima, statusima i evidencijom rezultata (po potrebi u više vremenskih tačaka); • dodavanje dokumentacije (dodaci) uz rizik i/ili uz mjeru, uz validaciju formata i veličine fajla; • notifikacija isteka rokova, verifikacije, izmjene statusa i sl. Za KRI – indikatore rizika sistem mora omogućiti: • vođenje evidencije indikatora (ključnih i internih), evidenciju događaja/čekiranja i automatsku eskalaciju (notifikacije) kada je dostignut definisani prag/tačka eskalacije; • čuvanje istoriju čekiranja (ko, kad, vrijednost/datum štete, komentar). 2.2. Praćenje preporuka revizije (minimalni obavezni obuhvat) • Ponuđač mora obezbijediti razvoj, implementaciju i puštanje u produkciju modula za reviziju; • modul mora biti usklađen sa važećim profesionalnim standardima interne revizije i relevantnim nacionalnim propisima; • modul mora omogućiti potpuni životni ciklus revizije: unos revizije, unos nalaza i preporuka (mogućnost povezivanja jednog nalaza sa više preporuka), praćenje realizacije, dodavanje dokaza, komentari, izvještavanje i revizorski trag; • modul mora podržavati rad više korisnika istovremeno; • sistem mora podržavati određene korisničke role i omogućiti upravljanje pravima pristupa; • sistem treba omogućiti lako prilagođavanje rola bez dodatnog razvoja; • sistem mora omogućiti povezivanje preporuke sa rizikom; • sistem mora automatski slati notifikacije u svakoj fazi procesa; • modul treba biti prilagodljiv budućim regulatornim i organizacionim zahtjevima. 2.3. Modul eksternalizacije Sistem mora da omogući: • registraciju eksternalizovanog posla i vođenje procesa procjene rizika po sektorima, uz mogućnost da različiti sektori imaju različite forme/polja; • zbirni obračun ukupnog nivoa rizika i generisanje izvještaja (Excel/PDF); • reprocjenu po definisanoj dinamici (npr. 1 ili 2 godine) i čuvanje svih ciklusa procjene; • za kritične eksternalizacije sistem mora podržati unos i vođenje izlazne strategije uz dokumentaciju. 2.4. Pretraga, filteri i izvještaji za sva tri modula Sistem mora da podrži i obezbijedi: • naprednu pretragu i filtriranje po ključnim poljima (status, tip, OJ, period, ocjena, kategorija, proces, vlasnik); • standardne tabelarne izvještaje definisane projektnim zadatkom, sa eksportom u Excel i PDF; • osnovne grafičke prikaze (trendovi, distribucija po kategorijama, matrica/heatmap) na nivou dashboard-a i izvještaja. 2.5. Uloge, ovlašćenja i administracija Sistem mora biti role-based i omogućiti: • administraciju korisnika i rola, • administraciju organizacione strukture (OJ), • administraciju šifrarnika i matrice rizika, • kontrolisan pristup podacima po roli i organizacionoj jedinici, • jednom korisniku mora biti moguće dodijeliti više rola, uz jasno definisana kumulativna prava. 2.6 Parametrizacija metodologija i regulatorna usklađenost Softversko rješenje mora omogućiti potpunu parametrizaciju i automatizaciju metodologija koje se primjenjuju u okviru: • upravljanja operativnim rizicima, • praćenja revizorskih nalaza i preporuka, • upravljanja rizicima eksternalizacije. Metodologije se moraju implementirati kroz konfiguraciju sistema, bez potrebe za izmjenama programskog koda. Sistem mora omogućiti najmanje: • definisanje i izmjenu matrice operativnih rizika (učestalost × uticaj); • definisanje skala, pragova, nivoa rizika i pripadajućih oznaka; • automatski obračun ocjene rizika na osnovu parametara definisanih metodologijom; • definisanje statusa i tokova (life-cycle) za rizike, mjere, revizorske preporuke i eksternalizacije; • definisanje pravila verifikacije, odobravanja, odbijanja i zatvaranja zapisa po korisničkim ulogama; • automatsko generisanje notifikacija i eskalacija u skladu sa pravilima metodologije; • vođenje potpunog revizorskog traga (audit trail) za sve promjene. U dijelu eksternalizacije, sistem mora biti usklađen sa važećim propisima i odlukama Centralne banke Crne Gore koje uređuju minimalne standarde za upravljanje rizicima, u dijelu koji se odnosi na eksternalizaciju poslova. Sistem mora omogućiti prilagođavanje metodologija u slučaju izmjena internih akata ili regulatornog okvira, bez dodatnih troškova razvoja osnovnih funkcionalnosti. Ponuđač je obavezan da u okviru implementacije izvrši konfiguraciju sistema u skladu sa važećim metodologijama Naručioca. 3. Nefunkcionalni zahtjevi Sigurnost: • HTTPS/TLS, kontrola pristupa, audit trail, logovanje grešaka i događaja, validacija inputa, kontrola upload-a (format/veličina). Arhitektura: • web rješenje zasnovano na savremenim standardima i REST principima, pogodno za on-premise instalaciju. Tehnologija/okruženje: • instalacija na infrastrukturi Naručioca (CentOS 7, Docker/Docker Compose), uz podršku za Windows/Linux serverske komponente gdje je relevantno. Baza: • podrška za standardne RDBMS (PostgreSQL/MySQL/Oracle/MSSQL ili ekvivalent), pri čemu trošak DB licence snosi Ponuđač ako nije open-source. Lokalizacija: • crnogorski kao podrazumijevani jezik i engleski kao drugi jezik. Dostupnost i stabilnost: • ponuđač je obavezan da navede minimalne preporučene resurse i ograničenja, te da obezbijedi stabilan rad u produkciji. 5. Isporuka i obavezna dokumentacija Ponuđač mora isporučiti najmanje: • instalacionu i administrativnu dokumentaciju, • korisničko uputstvo, • opis konfiguracije rola/šifrarnika/statusa, • plan backup/restore za bazu i aplikaciju (na nivou procedura), • opis logovanja i audit trail-a, • test plan i izvještaj o rezultatima UAT. 6. Testiranje, prihvat i primopredaja • RBCG sprovodi UAT testiranje, a ponuđač je obavezan da obezbijedi podršku i ispravke. • Primopredaja se vrši nakon uspješnog prolaska definisanih ključnih tokova (rizik → verifikacija → mjere → zatvaranje, KRI eskalacija, preporuke revizije → mjere → zatvaranje, eksternalizacija → procjene → izvještaj → reprocjena), i nakon otklanjanja kritičnih i visokih grešaka. • 7. Održavanje i SLA • Održavanje i podrška najmanje 12 mjeseci od primopredaje, u radnom vremenu 08–16 radnim danima. • Ponuđač mora dostaviti SLA sa nivoima prioriteta (kritično/visoko/srednje/nisko), vremenom odziva Količina: 1 kom DOKUMENTI 1. 20251224160356_Pregled_postupka_106199.pdf https://cejn.gov.me/api/common/downloadFile/2877607 2. Obavjestenje.pdf https://cejn.gov.me/api/common/downloadFile/2935202 3. Ugovor Amplitudo.pdf https://cejn.gov.me/api/common/downloadFile/2964639

Уплате из трезора не можемо да повежемо са овим уговором: CEJN није објавио ПИБ добављача, а уплате повезујемо по ПИБ-у. Зато овде нема износа ни покривености.