Dokumen yang perlu diminta sebelum menerima pemasok, penyedia SaaS, atau mitra outsourcing – profil perusahaan, kesehatan keuangan, keamanan informasi, perlindungan data, kepatuhan, dan ketentuan kontrak.
Due diligence pihak ketiga (vendor) dilakukan oleh pelanggan sebelum mengandalkan suatu pemasok: bank yang melakukan onboarding penyedia pemrosesan pembayaran, perusahaan yang memilih penyedia cloud, atau produsen yang mengikat kontrak dengan pemasok komponen utama. Tujuannya adalah memastikan pemasok memang sesuai dengan klaimnya, mampu secara finansial untuk memenuhi kewajibannya, patuh pada hukum dan kewajiban regulasi pelanggan sendiri, serta cukup aman untuk dipercaya mengelola data atau proses penting.
Kedalaman pemeriksaan harus sebanding dengan risikonya. Pemasok berisiko rendah tanpa akses data mungkin hanya memerlukan verifikasi identitas, penyaringan sanksi, dan asuransi. Vendor kritis yang memproses data pribadi atau menjalankan proses inti memerlukan seluruh daftar di bawah ini, penilaian keamanan, dan hak audit. Banyak sektor yang diatur – terutama jasa keuangan – juga mewajibkan pemantauan berkelanjutan, jadi bersiaplah memperbarui sertifikat dan laporan setidaknya setahun sekali. (Catatan: dalam M&A, "vendor due diligence" berarti laporan yang dipesan penjual atas perusahaannya sendiri; untuk itu, lihat checklist M&A.)
Bagi vendor, cara tercepat untuk lolos tinjauan ini adalah paket kepercayaan (trust package) yang siap pakai: sertifikat dan laporan audit terkini, kuesioner standar yang sudah diisi, kebijakan, dan templat perjanjian pemrosesan data, yang dibagikan melalui satu tautan dengan kontrol akses dan NDA, bukan dilampirkan ke e-mail setiap kali diminta.
Bernomor seperti indeks data room: gunakan setiap bagian sebagai folder dan pertahankan nomornya di nama file.
CSV dapat dibuka di Excel, Numbers, atau Google Sheets. Titik awal yang praktis – sesuaikan dengan transaksi dan yurisdiksi Anda bersama penasihat Anda.
Tim pengadaan, keamanan informasi, hukum, dan privasi di pihak pelanggan; di perusahaan yang diatur, juga tim kepatuhan dan manajemen risiko pihak ketiga. Untuk alih daya yang kritis, regulator dapat mengharapkan berkas tersebut tersedia saat diminta.
Mulai dari beberapa hari untuk pemasok berisiko rendah hingga beberapa minggu untuk vendor kritis; diulang saat perpanjangan kontrak dan setidaknya setiap tahun untuk pihak ketiga berisiko tinggi.
Pemeriksaan yang dilakukan perusahaan terhadap pemasok atau penyedia layanan sebelum penandatanganan dan selama hubungan berlangsung: identitas dan kepemilikan, kesehatan keuangan, keamanan, pelindungan data, kepatuhan, dan ketentuan kontrak.
Ekstrak registrasi dan struktur kepemilikan, laporan keuangan, sertifikat asuransi, sertifikasi keamanan atau laporan SOC 2, kuesioner keamanan yang telah diisi, perjanjian pemrosesan data dan daftar subprosesor, kebijakan, serta SLA.
Saat perpanjangan kontrak dan sesuai jadwal berbasis risiko – biasanya setiap tahun untuk vendor kritis atau berisiko tinggi dan lebih jarang untuk pemasok berisiko rendah – ditambah setiap kali layanan atau kepemilikan berubah.
Dalam M&A, vendor due diligence adalah laporan yang dipesan penjual atas bisnisnya sendiri untuk diberikan kepada calon pembeli. Dalam pengadaan dan manajemen risiko pihak ketiga, istilah ini berarti pelanggan yang memeriksa pemasoknya.
Melalui data room atau tautan terlacak dengan persetujuan NDA, watermark, dan masa berlaku akses, sehingga laporan SOC 2 dan ringkasan penetration test tidak diteruskan secara bebas.