De dokumenter, du bør bede om, før du onboarder en leverandør, SaaS-udbyder eller outsourcingpartner – virksomhedsoplysninger, økonomisk sundhed, informationssikkerhed, databeskyttelse, compliance og kontraktvilkår.
Due diligence af tredjeparter (leverandører) udføres af en kunde, før den gør sig afhængig af en leverandør: en bank, der onboarder en betalingsudbyder, en virksomhed, der vælger en cloududbyder, en producent, der indgår aftale med leverandøren af en nøglekomponent. Formålet er at bekræfte, at leverandøren er den, den udgiver sig for at være, har den økonomiske styrke til at levere, overholder lovgivningen og kundens egne regulatoriske forpligtelser og er sikker nok til at blive betroet data eller kritiske processer.
Dybden skal svare til risikoen. En lavrisikoleverandør uden adgang til data har måske kun brug for identitetskontrol, sanktionsscreening og forsikring. En kritisk leverandør, der behandler personoplysninger eller driver en kerneproces, kræver hele listen nedenfor, en sikkerhedsvurdering og revisionsret. Mange regulerede sektorer – især den finansielle sektor – kræver også løbende overvågning, så regn med at forny certifikater og rapporter mindst én gang om året. (Bemærk: i M&A betyder „vendor due diligence“ en rapport, som sælger bestiller om sin egen virksomhed; se i så fald M&A-tjeklisten.)
For leverandøren er den hurtigste vej gennem disse gennemgange en færdig tillidspakke: aktuelle certifikater og revisionsrapporter, et udfyldt standardspørgeskema, politikker og en skabelon til databehandleraftale, delt via ét adgangskontrolleret link med NDA i stedet for at blive vedhæftet e-mails efter anmodning.
Nummereret som et datarumsindeks: Brug afsnittene som mapper, og behold numrene i filnavnene.
CSV-filen kan åbnes i Excel, Numbers eller Google Sheets. Et praktisk udgangspunkt – tilpas den til din handel og jurisdiktion sammen med dine rådgivere.
Kundens indkøbs-, informationssikkerheds-, jura- og databeskyttelsesteams; i regulerede virksomheder også compliance og styring af tredjepartsrisiko. Ved kritisk outsourcing kan tilsynsmyndigheder forvente, at dokumentationen er tilgængelig på anmodning.
Fra få dage for lavrisikoleverandører til flere uger for kritiske leverandører; gentag ved fornyelse og mindst årligt for højrisiko-tredjeparter.
De kontroller, en virksomhed foretager af en leverandør eller tjenesteudbyder før kontraktindgåelse og under samarbejdet: identitet og ejerskab, økonomisk sundhed, sikkerhed, databeskyttelse, compliance og kontraktvilkår.
CVR-udskrift og ejerskab, årsregnskaber, forsikringsattester, sikkerhedscertificeringer eller SOC 2-rapport, et udfyldt sikkerhedsspørgeskema, en databehandleraftale og liste over underdatabehandlere, politikker og SLA'en.
Ved fornyelse og efter en risikobaseret plan – typisk årligt for kritiske eller højrisikoleverandører og sjældnere for lavrisikoleverandører – samt hver gang tjenesten eller ejerskabet ændres.
I M&A er vendor due diligence en rapport, som sælger bestiller om sin egen virksomhed for at give den til købere. I indkøb og styring af tredjepartsrisiko betyder det, at en kunde kontrollerer sine leverandører.
Via et datarum eller et sporet link med accept af NDA, vandmærke og udløb af adgang, så SOC 2-rapporter og resuméer af penetrationstests ikke videresendes frit.