Los documentos que debe solicitar antes de incorporar a un proveedor, un proveedor de SaaS o un socio de outsourcing: empresa, salud financiera, seguridad de la información, protección de datos, cumplimiento normativo y condiciones contractuales.
La due diligence de terceros (proveedores) la realiza un cliente antes de depender de un proveedor: un banco que da de alta a un procesador de pagos, una empresa que elige un proveedor cloud, un fabricante que firma con un proveedor de un componente clave. El objetivo es confirmar que el proveedor es quien dice ser, que tiene capacidad financiera para cumplir, que respeta la ley y las obligaciones regulatorias del propio cliente, y que es lo bastante seguro como para confiarle datos o procesos críticos.
La profundidad debe ajustarse al riesgo. A un proveedor de bajo riesgo sin acceso a datos puede bastarle con la identificación, el control de sanciones y el seguro. Un proveedor crítico que trata datos personales o gestiona un proceso esencial necesita la lista completa que figura a continuación, una evaluación de seguridad y un derecho de auditoría. Muchos sectores regulados –en particular, los servicios financieros– exigen además un seguimiento continuo, así que cuente con renovar certificados e informes al menos una vez al año. (Nota: en M&A, «vendor due diligence» designa un informe que el vendedor encarga sobre su propia empresa; para ello, consulte la checklist de M&A).
Para el proveedor, la forma más rápida de superar estas revisiones es un paquete de confianza preparado de antemano: certificados e informes de auditoría vigentes, un cuestionario estándar cumplimentado, las políticas y un modelo de contrato de encargo del tratamiento, compartidos mediante un único enlace con control de acceso y NDA, en lugar de adjuntarlos a e-mails cada vez que se soliciten.
Numerada como un índice de sala de datos: use las secciones como carpetas y mantenga los números en los nombres de archivo.
El CSV se abre en Excel, Numbers o Google Sheets. Es un punto de partida práctico: adáptelo a su operación y jurisdicción con sus asesores.
Los equipos de compras, seguridad de la información, legal y privacidad del cliente; en entidades reguladas, también cumplimiento normativo y gestión del riesgo de terceros. En externalizaciones críticas, los supervisores pueden esperar que el expediente esté disponible a petición.
Desde unos pocos días para proveedores de bajo riesgo hasta varias semanas para proveedores críticos; se repite en cada renovación y, como mínimo, anualmente para terceros de alto riesgo.
Las comprobaciones que realiza una empresa sobre un proveedor o prestador de servicios antes de firmar y durante la relación: identidad y titularidad, solvencia financiera, seguridad, protección de datos, cumplimiento normativo y condiciones contractuales.
Nota registral y estructura de propiedad, cuentas anuales, certificados de seguro, certificaciones de seguridad o informe SOC 2, un cuestionario de seguridad cumplimentado, un contrato de encargo del tratamiento y la lista de subencargados, las políticas y el SLA.
En cada renovación y según un calendario basado en el riesgo –normalmente cada año para proveedores críticos o de alto riesgo y con menos frecuencia para los de bajo riesgo–, además de siempre que cambien el servicio o la titularidad.
En M&A, la vendor due diligence es un informe que el vendedor encarga sobre su propio negocio para entregarlo a los compradores. En compras y en la gestión del riesgo de terceros, se refiere a un cliente que revisa a sus proveedores.
A través de una sala de datos o un enlace con seguimiento que exija aceptar un NDA, con marcas de agua y caducidad del acceso, para que los informes SOC 2 y los resúmenes de pruebas de penetración no se reenvíen libremente.