A bekérendő dokumentumok egy beszállító, SaaS-szolgáltató vagy kiszervezési partner bevonása előtt – cégadatok, pénzügyi helyzet, információbiztonság, adatvédelem, megfelelőség és szerződési feltételek.
A harmadik felek (beszállítók) átvilágítását az ügyfél végzi, mielőtt egy beszállítóra támaszkodna: egy bank, amely fizetési szolgáltatót von be, egy cég, amely felhőszolgáltatót választ, egy gyártó, amely kulcsfontosságú alkatrész beszállítójával szerződik. A cél annak megerősítése, hogy a beszállító az, akinek mondja magát, pénzügyileg képes teljesíteni, megfelel a jogszabályoknak és az ügyfél saját szabályozói kötelezettségeinek, és elég biztonságos ahhoz, hogy adatokat vagy kritikus folyamatokat bízzanak rá.
Az átvilágítás mélysége igazodjon a kockázathoz. Egy alacsony kockázatú, adatokhoz nem hozzáférő beszállítónál elegendő lehet az azonosítás, a szankciós szűrés és a biztosítás. Egy személyes adatokat kezelő vagy kulcsfolyamatot működtető kritikus beszállítónál az alábbi teljes lista, biztonsági értékelés és auditjog szükséges. Számos szabályozott ágazat – különösen a pénzügyi szolgáltatások – folyamatos monitoringot is előír, ezért számíts arra, hogy a tanúsítványokat és jelentéseket legalább évente frissíteni kell. (Megjegyzés: M&A-ügyletekben a „vendor due diligence” az eladó által a saját cégéről megrendelt jelentést jelenti; ehhez lásd az M&A ellenőrzőlistát.)
A beszállító számára ezeken az átvilágításokon a leggyorsabban egy előre összeállított bizalmi csomaggal (trust package) lehet átjutni: aktuális tanúsítványok és auditjelentések, egy kitöltött szabványos kérdőív, szabályzatok és egy adatfeldolgozási szerződésminta – egyetlen, hozzáférés-szabályozott, NDA-val védett linken megosztva, nem pedig kérésre e-mail-mellékletként küldözgetve.
Adatszoba-indexként számozva: használd a szakaszokat mappaként, a számokat pedig tartsd meg a fájlnevekben.
A CSV megnyitható Excelben, Numbersben vagy Google Táblázatokban. Gyakorlati kiindulópont – tanácsadóiddal igazítsd az ügyletedhez és a joghatósághoz.
Az ügyfél oldalán a beszerzés, az információbiztonság, a jogi osztály és az adatvédelem; szabályozott cégeknél a megfelelőség (compliance) és a harmadik feles kockázatkezelés is. Kritikus kiszervezésnél a felügyeleti hatóságok elvárhatják, hogy a dokumentáció kérésre rendelkezésre álljon.
Alacsony kockázatú beszállítóknál néhány nap, kritikus beszállítóknál több hét; szerződésmegújításkor, magas kockázatú harmadik feleknél pedig legalább évente ismételd meg.
Azok az ellenőrzések, amelyeket egy cég egy beszállítón vagy szolgáltatón a szerződéskötés előtt és az együttműködés során elvégez: azonosítás és tulajdonosi háttér, pénzügyi stabilitás, biztonság, adatvédelem, megfelelőség és szerződési feltételek.
Cégkivonatot és tulajdonosi szerkezetet, pénzügyi kimutatásokat, biztosítási igazolásokat, biztonsági tanúsítványokat vagy SOC 2 jelentést, kitöltött biztonsági kérdőívet, adatfeldolgozási szerződést és alfeldolgozói listát, szabályzatokat, valamint az SLA-t.
Szerződésmegújításkor és kockázatalapú ütemezés szerint – kritikus vagy magas kockázatú beszállítóknál jellemzően évente, alacsony kockázatúaknál ritkábban –, továbbá minden alkalommal, amikor a szolgáltatás vagy a tulajdonosi szerkezet megváltozik.
M&A-ügyletekben a vendor due diligence az eladó által a saját vállalkozásáról megrendelt jelentés, amelyet a vevőknek ad át. A beszerzésben és a harmadik feles kockázatkezelésben azt jelenti, hogy az ügyfél átvilágítja a beszállítóit.
Adatszobán vagy követett linken keresztül, NDA-elfogadással, vízjelezéssel és lejáró hozzáféréssel, így a SOC 2 jelentések és a penetrációs tesztek összefoglalói nem kerülnek szabadon továbbításra.