Documentele de solicitat înainte de integrarea unui furnizor, a unui furnizor SaaS sau a unui partener de outsourcing – companie, sănătate financiară, securitatea informațiilor, protecția datelor, conformitate și condiții contractuale.
Due diligence-ul asupra terțelor părți (furnizorilor) este efectuat de un client înainte de a se baza pe un furnizor: o bancă ce preia un procesator de plăți, o companie care alege un furnizor cloud, un producător care semnează cu furnizorul unei componente cheie. Scopul este de a confirma că furnizorul este cine pretinde că este, că are capacitatea financiară de a-și îndeplini obligațiile, că respectă legea și obligațiile de reglementare ale clientului și că este suficient de sigur pentru a i se încredința date sau procese critice.
Profunzimea trebuie să corespundă riscului. Un furnizor cu risc redus, fără acces la date, poate necesita doar verificarea identității, screening de sancțiuni și asigurare. Un furnizor critic care prelucrează date cu caracter personal sau derulează un proces de bază necesită lista completă de mai jos, o evaluare de securitate și un drept de audit. Multe sectoare reglementate – în special serviciile financiare – impun și monitorizare continuă, așa că vă puteți aștepta să actualizați certificatele și rapoartele cel puțin o dată pe an. (Notă: în M&A, „vendor due diligence” înseamnă un raport pe care vânzătorul îl comandă asupra propriei companii; pentru acesta, consultați lista de verificare M&A.)
Pentru furnizor, cea mai rapidă cale de a trece aceste evaluări este un pachet de încredere pregătit dinainte: certificate și rapoarte de audit actuale, un chestionar standard completat, politici și un model de acord de prelucrare a datelor, partajate printr-un singur link cu acces controlat și NDA, în loc să fie atașate la e-mailuri la cerere.
Numerotată ca un index de cameră de date: folosiți secțiunile ca dosare și păstrați numerele în numele fișierelor.
Fișierul CSV se deschide în Excel, Numbers sau Google Sheets. Un punct de plecare practic – adaptați-l tranzacției și jurisdicției dumneavoastră împreună cu consultanții.
Echipele de achiziții, securitatea informațiilor, juridic și confidențialitate ale clientului; în firmele reglementate, și conformitatea și managementul riscului terțelor părți. Pentru externalizările critice, autoritățile de reglementare se pot aștepta ca dosarul să fie disponibil la cerere.
De la câteva zile pentru furnizorii cu risc redus la câteva săptămâni pentru furnizorii critici; se repetă la reînnoire și cel puțin anual pentru terțele părți cu risc ridicat.
Verificările pe care o companie le efectuează asupra unui furnizor sau prestator de servicii înainte de semnare și pe durata relației: identitate și acționariat, sănătate financiară, securitate, protecția datelor, conformitate și condiții contractuale.
Extras de la registrul comerțului și acționariat, situații financiare, certificate de asigurare, certificări de securitate sau raport SOC 2, un chestionar de securitate completat, un acord de prelucrare a datelor și lista subîmputerniciților, politici și SLA-ul.
La reînnoire și după un calendar bazat pe risc – de regulă anual pentru furnizorii critici sau cu risc ridicat și mai rar pentru cei cu risc redus – plus ori de câte ori se schimbă serviciul sau acționariatul.
În M&A, vendor due diligence este un raport pe care vânzătorul îl comandă asupra propriei afaceri pentru a-l pune la dispoziția cumpărătorilor. În achiziții și în managementul riscului terțelor părți, înseamnă verificarea furnizorilor de către un client.
Printr-o cameră de date sau un link urmărit cu acceptarea NDA, filigran și expirarea accesului, astfel încât rapoartele SOC 2 și rezumatele testelor de penetrare să nu fie redirecționate liber.