Dokumenty, které si vyžádat před onboardingem dodavatele, poskytovatele SaaS nebo outsourcingového partnera – údaje o firmě, finanční zdraví, bezpečnost informací, ochrana dat, compliance a smluvní podmínky.
Due diligence třetích stran (dodavatelů) provádí zákazník dříve, než se na dodavatele začne spoléhat: banka napojující zpracovatele plateb, firma vybírající poskytovatele cloudu, výrobce uzavírající smlouvu s dodavatelem klíčové komponenty. Cílem je ověřit, že dodavatel je tím, za koho se vydává, je finančně schopen plnit, dodržuje zákony i regulatorní povinnosti samotného zákazníka a je dostatečně bezpečný, aby mu bylo možné svěřit data nebo kritické procesy.
Hloubka prověrky by měla odpovídat riziku. U dodavatele s nízkým rizikem bez přístupu k datům může stačit ověření totožnosti, kontrola sankčních seznamů a pojištění. Kritický dodavatel, který zpracovává osobní údaje nebo provozuje klíčový proces, potřebuje celý seznam níže, bezpečnostní posouzení a právo na audit. Mnoho regulovaných odvětví – zejména finanční služby – navíc vyžaduje průběžný monitoring, počítejte tedy s obnovou certifikátů a zpráv alespoň jednou ročně. (Poznámka: v M&A znamená „vendor due diligence“ zprávu, kterou si prodávající nechá zpracovat o vlastní společnosti; pro ni viz checklist M&A.)
Pro dodavatele je nejrychlejší cestou, jak těmito prověrkami projít, připravený trust balíček: aktuální certifikáty a auditní zprávy, vyplněný standardní dotazník, politiky a vzor smlouvy o zpracování osobních údajů – sdílené přes jediný odkaz s řízeným přístupem a NDA, místo posílání příloh e-mailem na každou žádost.
Číslováno jako index datové místnosti: použijte sekce jako složky a čísla ponechte v názvech souborů.
CSV otevřete v Excelu, Numbers nebo Tabulkách Google. Praktický výchozí bod – se svými poradci jej přizpůsobte své transakci a jurisdikci.
Na straně zákazníka nákup, informační bezpečnost, právní oddělení a ochrana osobních údajů; v regulovaných firmách také compliance a řízení rizik třetích stran. U kritického outsourcingu mohou regulátoři očekávat, že dokumentace bude na vyžádání k dispozici.
Od několika dnů u dodavatelů s nízkým rizikem po několik týdnů u kritických dodavatelů; opakujte při obnovení smlouvy a u třetích stran s vysokým rizikem alespoň jednou ročně.
Prověrky, které firma provádí u dodavatele nebo poskytovatele služeb před podpisem smlouvy a v průběhu spolupráce: totožnost a vlastnictví, finanční zdraví, bezpečnost, ochrana osobních údajů, compliance a smluvní podmínky.
Výpis z obchodního rejstříku a vlastnickou strukturu, účetní závěrky, doklady o pojištění, bezpečnostní certifikace nebo zprávu SOC 2, vyplněný bezpečnostní dotazník, smlouvu o zpracování osobních údajů a seznam dalších zpracovatelů, politiky a SLA.
Při obnovení smlouvy a podle harmonogramu založeného na riziku – u kritických nebo rizikových dodavatelů obvykle ročně, u dodavatelů s nízkým rizikem méně často – a navíc vždy, když se změní služba nebo vlastnictví.
V M&A je vendor due diligence zpráva, kterou si prodávající nechá zpracovat o vlastním podniku, aby ji předal kupujícím. V nákupu a řízení rizik třetích stran znamená prověřování dodavatelů zákazníkem.
Přes datovou místnost nebo sledovaný odkaz s přijetím NDA, vodoznaky a vypršením přístupu, aby se zprávy SOC 2 a shrnutí penetračních testů volně nepřeposílaly.