Os documentos a solicitar antes de contratar um fornecedor, provedor de SaaS ou parceiro de outsourcing – empresa, saúde financeira, segurança da informação, proteção de dados, compliance e condições contratuais.
A due diligence de terceiros (fornecedores) é feita por um cliente antes de passar a depender de um fornecedor: um banco que integra um processador de pagamentos, uma empresa que escolhe um provedor de nuvem, um fabricante que contrata um fornecedor de componentes críticos. O objetivo é confirmar que o fornecedor é quem diz ser, tem capacidade financeira para entregar, cumpre a lei e as obrigações regulatórias do próprio cliente e é seguro o bastante para receber dados ou processos críticos.
A profundidade deve corresponder ao risco. Um fornecedor de baixo risco sem acesso a dados pode precisar apenas de identificação, verificação em listas de sanções e seguro. Um fornecedor crítico que trata dados pessoais ou opera um processo essencial precisa da lista completa abaixo, de uma avaliação de segurança e de direito de auditoria. Muitos setores regulados – em especial o financeiro – também exigem monitoramento contínuo, portanto conte com a atualização de certificados e relatórios pelo menos uma vez por ano. (Observação: em M&A, "vendor due diligence" é um relatório que o vendedor encomenda sobre a própria empresa; nesse caso, consulte o checklist de M&A.)
Para o fornecedor, a forma mais rápida de passar por essas avaliações é um pacote de confiança pronto: certificados e relatórios de auditoria atualizados, um questionário padrão já preenchido, políticas e um modelo de acordo de tratamento de dados, compartilhados por um único link com controle de acesso e NDA, em vez de anexados a e-mails a cada pedido.
Numerado como um índice de data room: use as seções como pastas e mantenha os números nos nomes dos arquivos.
O CSV abre no Excel, Numbers ou Google Sheets. Um ponto de partida prático – adapte-o à sua transação e jurisdição com seus assessores.
Do lado do cliente, as equipes de compras, segurança da informação, jurídico e privacidade; em empresas reguladas, também compliance e gestão de riscos de terceiros. Em terceirizações críticas, os reguladores podem esperar que o dossiê esteja disponível mediante solicitação.
De alguns dias para fornecedores de baixo risco a várias semanas para fornecedores críticos; repita na renovação e pelo menos anualmente para terceiros de alto risco.
As verificações que uma empresa faz sobre um fornecedor ou prestador de serviços antes da contratação e durante o relacionamento: identidade e controle societário, saúde financeira, segurança, proteção de dados, compliance e termos contratuais.
Certidão da junta comercial e estrutura societária, demonstrações financeiras, comprovantes de seguro, certificações de segurança ou relatório SOC 2, um questionário de segurança preenchido, um acordo de tratamento de dados e a lista de suboperadores, políticas e o SLA.
Na renovação e conforme um cronograma baseado em risco – normalmente uma vez por ano para fornecedores críticos ou de alto risco e com menos frequência para os de baixo risco –, além de sempre que o serviço ou o controle societário mudar.
Em M&A, a vendor due diligence é um relatório que o vendedor encomenda sobre o próprio negócio para entregar aos compradores. Em compras e na gestão de riscos de terceiros, significa um cliente avaliando seus fornecedores.
Por meio de um data room ou link rastreado com aceite de NDA, marca d'água e expiração do acesso, para que relatórios SOC 2 e resumos de testes de intrusão não sejam encaminhados livremente.