Les documents à demander avant de référencer un fournisseur, un prestataire SaaS ou un partenaire d’externalisation – société, santé financière, sécurité de l’information, protection des données, conformité et conditions contractuelles.
La due diligence tiers (fournisseurs) est menée par un client avant de s'appuyer sur un fournisseur : une banque qui référence un prestataire de paiement, une entreprise qui choisit un fournisseur cloud, un industriel qui signe avec un fournisseur de composants clés. L'objectif est de confirmer que le fournisseur est bien celui qu'il prétend être, qu'il a la solidité financière pour exécuter le contrat, qu'il respecte la loi et les obligations réglementaires du client, et qu'il est suffisamment sécurisé pour se voir confier des données ou des processus critiques.
La profondeur doit être proportionnée au risque. Un fournisseur à faible risque sans accès aux données peut ne nécessiter qu'une vérification d'identité, un filtrage sanctions et une attestation d'assurance. Un fournisseur critique qui traite des données personnelles ou opère un processus clé requiert la liste complète ci-dessous, une évaluation de sécurité et un droit d'audit. De nombreux secteurs réglementés – en particulier les services financiers – exigent aussi un suivi continu : prévoyez de renouveler certificats et rapports au moins une fois par an. (Remarque : en M&A, la « vendor due diligence » désigne un rapport que le cédant commande sur sa propre société ; pour cela, consultez la checklist M&A.)
Pour le fournisseur, le moyen le plus rapide de passer ces revues est un trust package prêt à l'emploi : certificats et rapports d'audit à jour, un questionnaire standard déjà rempli, les politiques et un modèle d'accord de traitement des données, partagés via un lien unique à accès contrôlé avec NDA plutôt qu'envoyés en pièces jointes à la demande.
Numérotée comme un index de data room : utilisez les sections comme dossiers et conservez les numéros dans les noms de fichiers.
Le CSV s’ouvre dans Excel, Numbers ou Google Sheets. Un point de départ pratique – adaptez-le à votre opération et à votre juridiction avec vos conseils.
Les équipes achats, sécurité de l'information, juridique et protection des données côté client ; dans les entreprises réglementées, également la conformité et la gestion des risques tiers. Pour les externalisations critiques, les régulateurs peuvent exiger que le dossier soit disponible sur demande.
De quelques jours pour les fournisseurs à faible risque à plusieurs semaines pour les fournisseurs critiques ; à renouveler à chaque reconduction et au moins une fois par an pour les tiers à haut risque.
Les vérifications qu'une entreprise effectue sur un fournisseur ou prestataire avant la signature et pendant la relation : identité et actionnariat, santé financière, sécurité, protection des données, conformité et conditions contractuelles.
Extrait du registre et actionnariat, états financiers, attestations d'assurance, certifications de sécurité ou rapport SOC 2, questionnaire de sécurité rempli, accord de traitement des données et liste des sous-traitants ultérieurs, politiques et SLA.
À chaque renouvellement et selon un calendrier fondé sur le risque – généralement chaque année pour les fournisseurs critiques ou à haut risque, moins souvent pour les fournisseurs à faible risque – ainsi qu'à chaque changement du service ou de l'actionnariat.
En M&A, la vendor due diligence est un rapport que le cédant commande sur sa propre activité pour le remettre aux acquéreurs. Dans les achats et la gestion des risques tiers, il s'agit d'un client qui contrôle ses fournisseurs.
Via une data room ou un lien suivi avec acceptation d'un NDA, filigrane et expiration de l'accès, afin que les rapports SOC 2 et les synthèses de tests d'intrusion ne circulent pas librement.