サプライヤー、SaaS プロバイダー、アウトソーシング先を迎える前に請求すべき書類 – 会社情報、財務健全性、情報セキュリティ、データ保護、コンプライアンス、契約条件。
サードパーティ（ベンダー）・デューデリジェンスは、顧客企業がサプライヤーに依存する前に行う調査です。たとえば銀行が決済代行業者を受け入れる場合、企業がクラウドプロバイダーを選定する場合、メーカーが重要部品のサプライヤーと契約する場合などです。目的は、サプライヤーが名乗るとおりの事業者であること、履行に足る財務力があること、法令および顧客自身の規制上の義務を遵守していること、そしてデータや重要なプロセスを任せられるだけのセキュリティを備えていることを確認することです。
調査の深さはリスクに見合ったものにします。データへのアクセスがない低リスクのサプライヤーであれば、本人確認、制裁リストのスクリーニング、保険の確認だけで足りる場合もあります。個人データを処理する、または中核業務を担う重要なベンダーには、以下のリスト一式、セキュリティ評価、監査権が必要です。多くの規制業種、特に金融サービスでは継続的なモニタリングも求められるため、証明書やレポートは少なくとも年1回の更新を見込んでおきましょう。（注：M&Aにおける「ベンダー・デューデリジェンス」とは、売主が自社について依頼して作成するレポートを指します。これについてはM&Aチェックリストをご覧ください。）
ベンダーにとって、こうした審査を最も速く通過する方法は、すぐに提示できるトラストパッケージを用意しておくことです。最新の認証書と監査報告書、記入済みの標準質問票、各種ポリシー、データ処理契約のひな形を、依頼のたびにメールに添付するのではなく、NDA付きでアクセス制御された1つのリンクで共有します。
データルームの目次と同様の番号付け：各セクションをフォルダとして使い、ファイル名に番号を残してください。
CSV は Excel、Numbers、Google Sheets で開けます。実務的な出発点としてご利用いただき、アドバイザーとともに案件や法域に合わせて調整してください。
顧客側の調達、情報セキュリティ、法務、プライバシーの各チーム。規制対象の企業ではコンプライアンス部門やサードパーティリスク管理部門も加わります。重要な外部委託については、規制当局が求めに応じた記録の提出を期待する場合があります。
低リスクのサプライヤーでは数日、重要なベンダーでは数週間。高リスクのサードパーティについては、契約更新時および少なくとも年1回実施します。
企業が契約前および取引期間中にサプライヤーやサービスプロバイダーに対して行う確認のことです。本人確認と株主構成、財務健全性、セキュリティ、データ保護、コンプライアンス、契約条件が対象となります。
登記事項証明書と株主構成、財務諸表、保険証明書、セキュリティ認証またはSOC 2レポート、記入済みのセキュリティ質問票、データ処理契約と再委託先一覧、各種ポリシー、そしてSLAです。
契約更新時と、リスクに応じたスケジュールで実施します。重要または高リスクのベンダーは通常年1回、低リスクのサプライヤーはそれより低い頻度で行い、加えてサービス内容や株主構成が変わった際にも実施します。
M&Aにおけるベンダー・デューデリジェンスは、売主が自社の事業について依頼して作成し、買主に提供するレポートです。調達やサードパーティリスク管理では、顧客が自社のサプライヤーを確認することを意味します。
NDAへの同意、透かし（ウォーターマーク）、アクセス期限を設定したデータルームや追跡リンクを使って共有すれば、SOC 2レポートやペネトレーションテストの概要が自由に転送されることはありません。