Asiakirjat, jotka kannattaa pyytää ennen toimittajan, SaaS-palveluntarjoajan tai ulkoistuskumppanin käyttöönottoa – yritys, taloudellinen tilanne, tietoturva, tietosuoja, vaatimustenmukaisuus ja sopimusehdot.
Kolmansien osapuolten (toimittajien) due diligencen tekee asiakas ennen kuin se alkaa luottaa toimittajaan: pankki ottaa käyttöön maksunvälittäjän, yritys valitsee pilvipalveluntarjoajan, valmistaja tekee sopimuksen avainkomponentin toimittajan kanssa. Tavoitteena on varmistaa, että toimittaja on se, joka se sanoo olevansa, kykenee taloudellisesti suoriutumaan velvoitteistaan, noudattaa lakeja ja asiakkaan omia sääntelyvelvoitteita sekä on riittävän turvallinen, jotta sille voi uskoa dataa tai kriittisiä prosesseja.
Laajuuden tulee vastata riskiä. Matalan riskin toimittaja, jolla ei ole pääsyä dataan, voi tarvita vain tunnistamisen, pakoteseulonnan ja vakuutuksen. Kriittinen toimittaja, joka käsittelee henkilötietoja tai pyörittää ydinprosessia, tarvitsee alla olevan täyden listan, tietoturva-arvioinnin ja auditointioikeuden. Monet säännellyt alat – erityisesti finanssiala – edellyttävät myös jatkuvaa seurantaa, joten varautukaa päivittämään sertifikaatit ja raportit vähintään kerran vuodessa. (Huom.: yrityskaupoissa ”vendor due diligence” tarkoittaa raporttia, jonka myyjä teettää omasta yhtiöstään; katso siihen M&A-tarkistuslista.)
Toimittajalle nopein tapa läpäistä nämä arvioinnit on valmis luottamuspaketti: voimassa olevat sertifikaatit ja tarkastusraportit, valmiiksi täytetty vakiokysely, toimintaperiaatteet ja tietojenkäsittelysopimuksen malli, jaettuna yhden käyttöoikeuksin hallitun linkin kautta NDA:n kanssa sen sijaan, että ne liitettäisiin sähköposteihin pyynnöstä.
Numeroitu kuten datahuoneen hakemisto: käytä osioita kansioina ja säilytä numerot tiedostonimissä.
CSV aukeaa Excelissä, Numbersissa tai Google Sheetsissä. Käytännöllinen lähtökohta – mukauta se neuvonantajiesi kanssa omaan kauppaasi ja lainkäyttöalueeseesi.
Asiakkaan hankinta-, tietoturva-, laki- ja tietosuojatiimit; säännellyissä yrityksissä myös compliance ja kolmansien osapuolten riskienhallinta. Kriittisessä ulkoistuksessa valvojat voivat edellyttää, että aineisto on saatavilla pyynnöstä.
Muutamasta päivästä matalan riskin toimittajilla useisiin viikkoihin kriittisillä toimittajilla; toistetaan sopimusta jatkettaessa ja vähintään vuosittain korkean riskin kolmansille osapuolille.
Tarkastuksia, joita yritys tekee toimittajalle tai palveluntarjoajalle ennen sopimuksen allekirjoittamista ja yhteistyön aikana: tunnistaminen ja omistus, taloudellinen tila, tietoturva, tietosuoja, compliance ja sopimusehdot.
Kaupparekisteriote ja omistustiedot, tilinpäätökset, vakuutustodistukset, tietoturvasertifioinnit tai SOC 2 -raportti, täytetty tietoturvakysely, tietojenkäsittelysopimus ja alikäsittelijäluettelo, toimintaperiaatteet sekä SLA.
Sopimusta jatkettaessa ja riskiperusteisen aikataulun mukaan – tyypillisesti vuosittain kriittisille tai korkean riskin toimittajille ja harvemmin matalan riskin toimittajille – sekä aina, kun palvelu tai omistus muuttuu.
Yrityskaupoissa vendor due diligence on raportti, jonka myyjä teettää omasta liiketoiminnastaan ostajille annettavaksi. Hankinnoissa ja kolmansien osapuolten riskienhallinnassa se tarkoittaa asiakkaan tekemää toimittajiensa tarkastusta.
Datahuoneen tai seurattavan linkin kautta NDA:n hyväksynnällä, vesileimalla ja vanhenevalla käyttöoikeudella, jotta SOC 2 -raportteja ja tunkeutumistestauksen yhteenvetoja ei välitetä eteenpäin vapaasti.