Dokumenti koje treba zatražiti prije uvođenja dobavljača, SaaS pružatelja ili partnera za outsourcing – tvrtka, financijsko zdravlje, informacijska sigurnost, zaštita podataka, usklađenost i ugovorni uvjeti.
Dubinsku analizu trećih strana (dobavljača) provodi kupac prije nego što se osloni na dobavljača: banka koja uvodi pružatelja usluga platnog prometa, tvrtka koja bira pružatelja usluga u oblaku, proizvođač koji ugovara dobavu ključne komponente. Cilj je potvrditi da je dobavljač onaj za koga se predstavlja, da je financijski sposoban izvršiti obveze, da poštuje zakon i regulatorne obveze samog kupca te da je dovoljno siguran da mu se povjere podaci ili kritični procesi.
Dubina analize treba odgovarati riziku. Za dobavljača niskog rizika bez pristupa podacima može biti dovoljna provjera identiteta, sankcijskih popisa i osiguranja. Kritični dobavljač koji obrađuje osobne podatke ili vodi ključni proces zahtijeva cijeli popis u nastavku, sigurnosnu procjenu i pravo na reviziju. Mnogi regulirani sektori – posebno financijske usluge – zahtijevaju i kontinuirano praćenje, pa računajte na obnavljanje certifikata i izvješća barem jednom godišnje. (Napomena: u M&A transakcijama „vendor due diligence“ označava izvješće koje prodavatelj naručuje o vlastitom društvu; za to pogledajte kontrolni popis za M&A.)
Za dobavljača je najbrži način da prođe te provjere unaprijed pripremljen paket povjerenja (trust package): aktualni certifikati i revizijska izvješća, ispunjeni standardni upitnik, politike i predložak ugovora o obradi podataka – podijeljeni putem jedne poveznice s kontrolom pristupa i NDA-om, umjesto da se na zahtjev šalju kao privici e-pošte.
Numerirano kao indeks podatkovne sobe: koristite odjeljke kao mape i zadržite brojeve u nazivima datoteka.
CSV se otvara u Excelu, Numbersu ili Google Sheetsu. Praktično polazište – prilagodite ga svojoj transakciji i jurisdikciji uz pomoć svojih savjetnika.
Na strani kupca nabava, informacijska sigurnost, pravna služba i zaštita podataka; u reguliranim tvrtkama i usklađenost te upravljanje rizicima trećih strana. Kod kritičnog eksternaliziranja regulatori mogu očekivati da dokumentacija bude dostupna na zahtjev.
Od nekoliko dana za dobavljače niskog rizika do nekoliko tjedana za kritične dobavljače; ponovite pri obnovi ugovora i barem jednom godišnje za treće strane visokog rizika.
Provjere koje tvrtka provodi nad dobavljačem ili pružateljem usluga prije potpisivanja ugovora i tijekom suradnje: identitet i vlasništvo, financijsko zdravlje, sigurnost, zaštita podataka, usklađenost i ugovorni uvjeti.
Izvadak iz registra i vlasničku strukturu, financijske izvještaje, potvrde o osiguranju, sigurnosne certifikate ili izvješće SOC 2, ispunjeni sigurnosni upitnik, ugovor o obradi podataka i popis podizvršitelja, politike i SLA.
Pri obnovi ugovora i prema rasporedu temeljenom na riziku – obično godišnje za kritične dobavljače ili one visokog rizika, a rjeđe za dobavljače niskog rizika – te uvijek kad se promijeni usluga ili vlasništvo.
U M&A transakcijama vendor due diligence je izvješće koje prodavatelj naručuje o vlastitom poslovanju kako bi ga predao kupcima. U nabavi i upravljanju rizicima trećih strana to znači da kupac provjerava svoje dobavljače.
Putem podatkovne sobe ili praćene poveznice uz prihvaćanje NDA-a, vodene žigove i istek pristupa, kako se izvješća SOC 2 i sažeci penetracijskih testova ne bi slobodno prosljeđivali.