Документы, которые нужно запросить перед подключением поставщика, SaaS-провайдера или аутсорсингового партнёра: сведения о компании, финансовое состояние, информационная безопасность, защита данных, комплаенс и условия договора.
Due diligence третьих сторон (поставщиков) проводит клиент, прежде чем положиться на поставщика: банк, подключающий платёжного процессора, компания, выбирающая облачного провайдера, производитель, заключающий договор с поставщиком ключевого компонента. Цель – подтвердить, что поставщик является тем, за кого себя выдаёт, финансово способен выполнить обязательства, соблюдает законодательство и регуляторные требования клиента и достаточно защищён, чтобы доверить ему данные или критически важные процессы.
Глубина проверки должна соответствовать риску. Поставщику с низким риском без доступа к данным может хватить идентификации, санкционного скрининга и страхования. Критически важному поставщику, который обрабатывает персональные данные или выполняет ключевой процесс, нужен полный перечень ниже, оценка безопасности и право на аудит. Многие регулируемые отрасли – прежде всего финансовые услуги – также требуют постоянного мониторинга, поэтому рассчитывайте обновлять сертификаты и отчёты не реже раза в год. (Примечание: в M&A «vendor due diligence» означает отчёт, который продавец заказывает в отношении собственной компании; для этого см. чек-лист M&A.)
Для поставщика самый быстрый способ пройти такие проверки – готовый пакет доверия: актуальные сертификаты и аудиторские отчёты, стандартная заполненная анкета, политики и шаблон соглашения об обработке данных, предоставленные по одной ссылке с контролем доступа и NDA, а не вложениями в письма по запросу.
Пронумеровано как индекс комнаты данных: используйте разделы как папки и сохраняйте номера в именах файлов.
CSV открывается в Excel, Numbers или Google Sheets. Это практическая отправная точка – адаптируйте её к своей сделке и юрисдикции вместе с консультантами.
Команды по закупкам, информационной безопасности, юридическому сопровождению и защите данных на стороне клиента; в регулируемых компаниях также комплаенс и управление рисками третьих сторон. При критически важном аутсорсинге регуляторы могут ожидать, что досье будет доступно по запросу.
От нескольких дней для поставщиков с низким риском до нескольких недель для критически важных; повторяйте при продлении договора и не реже раза в год для третьих сторон с высоким риском.
Проверки, которые компания проводит в отношении поставщика или поставщика услуг до подписания договора и в ходе сотрудничества: идентификация и собственники, финансовое положение, безопасность, защита данных, комплаенс и договорные условия.
Выписку из реестра и структуру собственности, финансовую отчётность, страховые сертификаты, сертификаты безопасности или отчёт SOC 2, заполненную анкету по безопасности, соглашение об обработке данных и перечень субобработчиков, политики и SLA.
При продлении договора и по графику на основе рисков – обычно ежегодно для критически важных поставщиков или поставщиков с высоким риском и реже для поставщиков с низким риском, – а также при каждом изменении услуги или собственников.
В M&A vendor due diligence – это отчёт, который продавец заказывает в отношении собственного бизнеса, чтобы передать его покупателям. В закупках и управлении рисками третьих сторон это означает проверку клиентом своих поставщиков.
Через комнату данных или отслеживаемую ссылку с принятием NDA, водяными знаками и ограниченным сроком доступа, чтобы отчёты SOC 2 и резюме тестов на проникнение не пересылались бесконтрольно.