Dokumentene du bør be om før du tar inn en leverandør, SaaS-leverandør eller outsourcingpartner – selskapet, finansiell helse, informasjonssikkerhet, personvern, compliance og kontraktsvilkår.
Due diligence av tredjeparter (leverandører) utføres av en kunde før den gjør seg avhengig av en leverandør: en bank som tar inn en betalingsformidler, et selskap som velger en skyleverandør, en produsent som inngår avtale med leverandøren av en nøkkelkomponent. Målet er å bekrefte at leverandøren er den den gir seg ut for å være, har økonomisk evne til å levere, etterlever lover og kundens egne regulatoriske forpliktelser og er sikker nok til å bli betrodd data eller kritiske prosesser.
Dybden bør stå i forhold til risikoen. En lavrisikoleverandør uten tilgang til data trenger kanskje bare identitetskontroll, sanksjonsscreening og forsikring. En kritisk leverandør som behandler personopplysninger eller driver en kjerneprosess, krever hele listen nedenfor, en sikkerhetsvurdering og revisjonsrett. Mange regulerte bransjer – særlig finanssektoren – krever også løpende oppfølging, så regn med å fornye sertifikater og rapporter minst én gang i året. (Merk: i M&A betyr «vendor due diligence» en rapport selgeren bestiller om sitt eget selskap; se i så fall M&A-sjekklisten.)
For leverandøren er den raskeste veien gjennom slike gjennomganger en ferdig tillitspakke: oppdaterte sertifikater og revisjonsrapporter, et utfylt standardspørreskjema, retningslinjer og en mal for databehandleravtale, delt via én tilgangskontrollert lenke med NDA i stedet for å legges ved e-post på forespørsel.
Nummerert som en datarom-indeks: bruk seksjonene som mapper og behold numrene i filnavnene.
CSV-filen åpnes i Excel, Numbers eller Google Sheets. Et praktisk utgangspunkt – tilpass den til din transaksjon og jurisdiksjon sammen med rådgiverne dine.
Kundens innkjøps-, informasjonssikkerhets-, juridiske og personvernteam; i regulerte foretak også compliance og styring av tredjepartsrisiko. Ved kritisk utkontraktering kan tilsynsmyndigheter forvente at dokumentasjonen er tilgjengelig på forespørsel.
Fra noen dager for lavrisikoleverandører til flere uker for kritiske leverandører; gjenta ved fornyelse og minst årlig for høyrisiko-tredjeparter.
Kontrollene et selskap gjør av en leverandør eller tjenesteyter før avtaleinngåelse og gjennom samarbeidet: identitet og eierskap, økonomisk helse, sikkerhet, personvern, compliance og kontraktsvilkår.
Firmaattest og eierskap, årsregnskap, forsikringsbevis, sikkerhetssertifiseringer eller SOC 2-rapport, et utfylt sikkerhetsspørreskjema, en databehandleravtale og liste over underdatabehandlere, retningslinjer og SLA-en.
Ved fornyelse og etter en risikobasert plan – vanligvis årlig for kritiske leverandører eller høyrisikoleverandører og sjeldnere for lavrisikoleverandører – samt hver gang tjenesten eller eierskapet endres.
I M&A er vendor due diligence en rapport selgeren bestiller om sin egen virksomhet for å gi til kjøpere. I innkjøp og styring av tredjepartsrisiko betyr det at en kunde kontrollerer sine leverandører.
Via et datarom eller en sporet lenke med NDA-aksept, vannmerke og utløp av tilgang, slik at SOC 2-rapporter og sammendrag av penetrasjonstester ikke videresendes fritt.