De dokument du bör begära innan du tar in en leverantör, SaaS-leverantör eller outsourcingpartner – bolagsuppgifter, finansiell ställning, informationssäkerhet, dataskydd, regelefterlevnad och avtalsvillkor.
Due diligence av tredje parter (leverantörer) görs av en kund innan den förlitar sig på en leverantör: en bank som ansluter en betaltjänstleverantör, ett företag som väljer en molnleverantör, en tillverkare som skriver avtal med leverantören av en nyckelkomponent. Syftet är att bekräfta att leverantören är den den utger sig för att vara, har ekonomisk förmåga att leverera, följer lagar och kundens egna regulatoriska krav och är tillräckligt säker för att anförtros data eller kritiska processer.
Djupet ska stå i proportion till risken. En lågriskleverantör utan åtkomst till data kanske bara behöver identitetskontroll, sanktionsscreening och försäkring. En kritisk leverantör som behandlar personuppgifter eller driver en kärnprocess behöver hela listan nedan, en säkerhetsbedömning och revisionsrätt. Många reglerade branscher – särskilt finanssektorn – kräver även löpande uppföljning, så räkna med att förnya certifikat och rapporter minst en gång per år. (Obs: inom M&A avser ”vendor due diligence” en rapport som säljaren beställer om sitt eget bolag; se i så fall M&A-checklistan.)
För leverantören är det snabbaste sättet att klara dessa granskningar ett färdigt förtroendepaket: aktuella certifikat och revisionsrapporter, ett standardiserat ifyllt frågeformulär, policyer och en mall för personuppgiftsbiträdesavtal, delade via en enda åtkomstkontrollerad länk med NDA i stället för att bifogas i e-post på begäran.
Numrerad som ett datarumsindex: använd avsnitten som mappar och behåll numren i filnamnen.
CSV-filen öppnas i Excel, Numbers eller Google Sheets. En praktisk utgångspunkt – anpassa den till din affär och jurisdiktion tillsammans med dina rådgivare.
Kundens inköps-, informationssäkerhets-, juridik- och dataskyddsteam; i reglerade företag även compliance och hantering av tredjepartsrisk. Vid kritisk utkontraktering kan tillsynsmyndigheter förvänta sig att dokumentationen finns tillgänglig på begäran.
Från några dagar för lågriskleverantörer till flera veckor för kritiska leverantörer; upprepa vid förlängning och minst årligen för högrisk-tredjeparter.
De kontroller ett företag gör av en leverantör eller tjänsteleverantör före avtal och under samarbetet: identitet och ägande, finansiell ställning, säkerhet, dataskydd, regelefterlevnad och avtalsvillkor.
Registerutdrag och ägande, årsredovisning, försäkringsbevis, säkerhetscertifieringar eller SOC 2-rapport, ett ifyllt säkerhetsfrågeformulär, ett personuppgiftsbiträdesavtal och förteckning över underbiträden, policyer och SLA.
Vid förlängning och enligt ett riskbaserat schema – vanligtvis årligen för kritiska leverantörer eller högriskleverantörer och mer sällan för lågriskleverantörer – samt när tjänsten eller ägandet förändras.
Inom M&A är vendor due diligence en rapport som säljaren beställer om sin egen verksamhet för att lämna till köpare. Inom inköp och hantering av tredjepartsrisk avser det en kunds granskning av sina leverantörer.
Via ett datarum eller en spårad länk med godkännande av NDA, vattenstämpel och tidsbegränsad åtkomst, så att SOC 2-rapporter och sammanfattningar av penetrationstester inte vidarebefordras fritt.