Dokumenty, o które warto poprosić przed wdrożeniem dostawcy, usługodawcy SaaS lub partnera outsourcingowego – dane firmy, kondycja finansowa, bezpieczeństwo informacji, ochrona danych, compliance i warunki umowy.
Due diligence stron trzecich (dostawców) przeprowadza klient, zanim zacznie polegać na dostawcy: bank wdrażający operatora płatności, firma wybierająca dostawcę chmury, producent podpisujący umowę z dostawcą kluczowego komponentu. Celem jest potwierdzenie, że dostawca jest tym, za kogo się podaje, ma zdolność finansową do realizacji umowy, przestrzega prawa i obowiązków regulacyjnych samego klienta oraz jest na tyle bezpieczny, by powierzyć mu dane lub krytyczne procesy.
Głębokość badania powinna odpowiadać ryzyku. Dostawcy niskiego ryzyka bez dostępu do danych może wystarczyć weryfikacja tożsamości, sprawdzenie list sankcyjnych i ubezpieczenia. Krytyczny dostawca przetwarzający dane osobowe lub obsługujący kluczowy proces wymaga pełnej listy poniżej, oceny bezpieczeństwa i prawa do audytu. Wiele sektorów regulowanych – zwłaszcza usługi finansowe – wymaga też stałego monitoringu, więc licz się z aktualizacją certyfikatów i raportów co najmniej raz w roku. (Uwaga: w M&A „vendor due diligence” oznacza raport zlecany przez sprzedającego na temat własnej spółki; w tym celu zajrzyj do checklisty M&A.)
Dla dostawcy najszybszy sposób na przejście tych weryfikacji to gotowy pakiet zaufania (trust package): aktualne certyfikaty i raporty z audytów, wypełniony standardowy kwestionariusz, polityki i wzór umowy powierzenia przetwarzania danych – udostępnione przez jeden link z kontrolą dostępu i NDA, zamiast wysyłania załączników mailem przy każdej prośbie.
Numeracja jak w indeksie data roomu: użyj sekcji jako folderów i zachowaj numery w nazwach plików.
Plik CSV otworzysz w Excelu, Numbers lub Arkuszach Google. To praktyczny punkt wyjścia – dostosuj go do swojej transakcji i jurysdykcji wspólnie z doradcami.
Po stronie klienta: zakupy, bezpieczeństwo informacji, dział prawny i ochrona danych; w firmach regulowanych także compliance i zarządzanie ryzykiem stron trzecich. Przy krytycznym outsourcingu regulatorzy mogą oczekiwać udostępnienia dokumentacji na żądanie.
Od kilku dni w przypadku dostawców niskiego ryzyka do kilku tygodni w przypadku dostawców krytycznych; powtarzaj przy przedłużeniu umowy i co najmniej raz w roku dla stron trzecich wysokiego ryzyka.
To weryfikacje, które firma przeprowadza wobec dostawcy lub usługodawcy przed podpisaniem umowy i w trakcie współpracy: tożsamość i struktura właścicielska, kondycja finansowa, bezpieczeństwo, ochrona danych, compliance i warunki umowy.
Odpis z rejestru i strukturę właścicielską, sprawozdania finansowe, potwierdzenia ubezpieczenia, certyfikaty bezpieczeństwa lub raport SOC 2, wypełniony kwestionariusz bezpieczeństwa, umowę powierzenia przetwarzania danych i listę podmiotów podprzetwarzających, polityki oraz SLA.
Przy przedłużeniu umowy i zgodnie z harmonogramem opartym na ryzyku – zwykle co roku dla dostawców krytycznych lub wysokiego ryzyka, rzadziej dla dostawców niskiego ryzyka – a także przy każdej zmianie usługi lub struktury właścicielskiej.
W M&A vendor due diligence to raport, który sprzedający zleca na temat własnego biznesu, aby przekazać go kupującym. W zakupach i zarządzaniu ryzykiem stron trzecich oznacza weryfikację dostawców przez klienta.
Przez data room lub śledzony link z akceptacją NDA, znakami wodnymi i wygasaniem dostępu – dzięki temu raporty SOC 2 i podsumowania testów penetracyjnych nie są swobodnie przekazywane dalej.