I documenti da richiedere prima di inserire un fornitore, un provider SaaS o un partner di outsourcing: azienda, solidità finanziaria, sicurezza delle informazioni, protezione dei dati, compliance e condizioni contrattuali.
La due diligence su terze parti (fornitori) viene svolta da un cliente prima di affidarsi a un fornitore: una banca che integra un processore di pagamenti, un'azienda che sceglie un cloud provider, un produttore che firma con un fornitore di componenti chiave. L'obiettivo è confermare che il fornitore sia chi dichiara di essere, che abbia la solidità finanziaria per adempiere, che rispetti la legge e gli obblighi regolamentari del cliente e che sia abbastanza sicuro da potergli affidare dati o processi critici.
La profondità deve essere commisurata al rischio. Per un fornitore a basso rischio senza accesso ai dati possono bastare identità, screening sanzionatorio e assicurazione. Un fornitore critico che tratta dati personali o gestisce un processo core richiede l'elenco completo qui sotto, un security assessment e un diritto di audit. Molti settori regolamentati – in particolare i servizi finanziari – richiedono anche un monitoraggio continuo: mettete quindi in conto di aggiornare certificati e report almeno una volta l'anno. (Nota: nell'M&A, "vendor due diligence" indica un report che il venditore commissiona sulla propria società; in quel caso consultate la checklist M&A.)
Per il fornitore, il modo più rapido per superare queste verifiche è un trust package pronto: certificati e report di audit aggiornati, un questionario standard compilato, le policy e un modello di accordo sul trattamento dei dati, condivisi tramite un unico link ad accesso controllato con NDA anziché allegati alle e-mail su richiesta.
Numerata come un indice di data room: usi le sezioni come cartelle e mantenga i numeri nei nomi dei file.
Il CSV si apre in Excel, Numbers o Google Sheets. Un punto di partenza pratico: lo adatti alla sua operazione e alla sua giurisdizione con i suoi consulenti.
Lato cliente: procurement, sicurezza delle informazioni, ufficio legale e privacy; nelle realtà regolamentate anche compliance e third-party risk management. Per le esternalizzazioni critiche, le autorità di vigilanza possono aspettarsi che la documentazione sia disponibile su richiesta.
Da pochi giorni per i fornitori a basso rischio a diverse settimane per quelli critici; da ripetere al rinnovo e almeno una volta l'anno per le terze parti ad alto rischio.
Le verifiche che un'azienda svolge su un fornitore o prestatore di servizi prima della firma e durante il rapporto: identità e assetto proprietario, solidità finanziaria, sicurezza, protezione dei dati, compliance e condizioni contrattuali.
Visura camerale e assetto proprietario, bilanci, certificati assicurativi, certificazioni di sicurezza o report SOC 2, un questionario di sicurezza compilato, un accordo sul trattamento dei dati con l'elenco dei sub-responsabili, le policy e lo SLA.
Al rinnovo e secondo una cadenza basata sul rischio – di solito ogni anno per i fornitori critici o ad alto rischio e meno spesso per quelli a basso rischio – oltre che ogni volta che cambiano il servizio o l'assetto proprietario.
Nell'M&A la vendor due diligence è un report che il venditore commissiona sulla propria azienda da consegnare ai potenziali acquirenti. Negli acquisti e nel third-party risk management indica invece la verifica dei fornitori da parte di un cliente.
Tramite una data room o un link tracciato con accettazione dell'NDA, filigrana e scadenza dell'accesso, così che i report SOC 2 e le sintesi dei penetration test non vengano inoltrati liberamente.