De documenten die je opvraagt voordat je een leverancier, SaaS-aanbieder of outsourcingpartner aanneemt – bedrijf, financiële gezondheid, informatiebeveiliging, gegevensbescherming, compliance en contractvoorwaarden.
Due diligence op derden (leveranciers) voert een klant uit voordat hij op een leverancier gaat vertrouwen: een bank die een betaalverwerker aansluit, een bedrijf dat een cloudprovider kiest, een fabrikant die met een leverancier van een cruciaal onderdeel tekent. Het doel is vast te stellen dat de leverancier is wie hij zegt te zijn, financieel in staat is te leveren, voldoet aan de wet en aan de eigen regelgevingsverplichtingen van de klant, en veilig genoeg is om data of kritieke processen aan toe te vertrouwen.
De diepgang moet passen bij het risico. Voor een leverancier met een laag risico en zonder toegang tot data volstaan soms identiteit, sanctiescreening en verzekering. Een kritieke leverancier die persoonsgegevens verwerkt of een kernproces uitvoert, heeft de volledige lijst hieronder nodig, plus een security assessment en een auditrecht. Veel gereguleerde sectoren – met name de financiële sector – vereisen ook doorlopende monitoring; reken er dus op dat certificaten en rapporten minstens één keer per jaar worden vernieuwd. (Let op: bij fusies en overnames betekent "vendor due diligence" een rapport dat de verkoper over zijn eigen bedrijf laat opstellen; zie daarvoor de M&A-checklist.)
Voor de leverancier is de snelste manier om deze reviews te doorstaan een kant-en-klaar trustpakket: actuele certificaten en auditrapporten, een ingevulde standaardvragenlijst, beleidsdocumenten en een model-verwerkersovereenkomst, gedeeld via één link met toegangscontrole en NDA in plaats van op verzoek als e-mailbijlage.
Genummerd als een dataroomindex: gebruik de secties als mappen en behoud de nummers in de bestandsnamen.
De CSV opent in Excel, Numbers of Google Sheets. Een praktisch vertrekpunt – stem het met uw adviseurs af op uw deal en jurisdictie.
Aan klantzijde inkoop, informatiebeveiliging, juridische zaken en privacy; bij gereguleerde organisaties ook compliance en third-party risk management. Bij kritieke uitbesteding kunnen toezichthouders verwachten dat het dossier op verzoek beschikbaar is.
Van enkele dagen voor leveranciers met een laag risico tot enkele weken voor kritieke leveranciers; herhaal bij verlenging en minstens jaarlijks voor derden met een hoog risico.
De controles die een bedrijf uitvoert op een leverancier of dienstverlener vóór de ondertekening en tijdens de relatie: identiteit en eigendom, financiële gezondheid, beveiliging, gegevensbescherming, compliance en contractvoorwaarden.
Uittreksel handelsregister en eigendomsstructuur, jaarrekeningen, verzekeringsbewijzen, beveiligingscertificeringen of een SOC 2-rapport, een ingevulde beveiligingsvragenlijst, een verwerkersovereenkomst en lijst van subverwerkers, beleidsdocumenten en de SLA.
Bij verlenging en volgens een risicogebaseerd schema – doorgaans jaarlijks voor kritieke of risicovolle leveranciers en minder vaak voor leveranciers met een laag risico – en daarnaast telkens wanneer de dienst of de eigendomsstructuur verandert.
Bij M&A is vendor due diligence een rapport dat de verkoper over zijn eigen bedrijf laat opstellen om aan kopers te verstrekken. Bij inkoop en third-party risk management betekent het dat een klant zijn leveranciers controleert.
Via een dataroom of gevolgde link met NDA-acceptatie, watermerken en een vervaldatum voor de toegang, zodat SOC 2-rapporten en samenvattingen van penetratietests niet vrij worden doorgestuurd.