เอกสารที่ควรขอก่อนรับซัพพลายเออร์ ผู้ให้บริการ SaaS หรือพันธมิตรเอาต์ซอร์ส – ข้อมูลบริษัท สถานะทางการเงิน ความปลอดภัยของข้อมูล การคุ้มครองข้อมูลส่วนบุคคล การปฏิบัติตามข้อกำหนด และเงื่อนไขสัญญา
Due Diligence บุคคลที่สาม (ผู้ขายสินค้าและบริการ) คือการตรวจสอบที่ลูกค้าทำก่อนพึ่งพาซัพพลายเออร์รายหนึ่ง เช่น ธนาคารรับผู้ให้บริการประมวลผลการชำระเงินเข้าระบบ บริษัทเลือกผู้ให้บริการคลาวด์ หรือผู้ผลิตลงนามกับซัพพลายเออร์ชิ้นส่วนสำคัญ เป้าหมายคือยืนยันว่าซัพพลายเออร์เป็นผู้ที่อ้างว่าเป็นจริง มีฐานะการเงินเพียงพอที่จะปฏิบัติตามสัญญา ปฏิบัติตามกฎหมายและภาระผูกพันด้านกฎระเบียบของลูกค้าเอง และมีความปลอดภัยเพียงพอที่จะได้รับความไว้วางใจให้ดูแลข้อมูลหรือกระบวนการสำคัญ
ความลึกของการตรวจสอบควรสอดคล้องกับความเสี่ยง ซัพพลายเออร์ความเสี่ยงต่ำที่ไม่มีสิทธิ์เข้าถึงข้อมูลอาจต้องการเพียงการยืนยันตัวตน การคัดกรองรายชื่อผู้ถูกคว่ำบาตร และประกันภัย ส่วนผู้ขายสำคัญที่ประมวลผลข้อมูลส่วนบุคคลหรือดำเนินกระบวนการหลักจำเป็นต้องมีรายการทั้งหมดด้านล่าง การประเมินความปลอดภัย และสิทธิในการตรวจสอบ หลายภาคธุรกิจที่อยู่ภายใต้การกำกับดูแล โดยเฉพาะบริการทางการเงิน ยังกำหนดให้มีการติดตามอย่างต่อเนื่อง จึงควรคาดว่าจะต้องต่ออายุใบรับรองและรายงานอย่างน้อยปีละครั้ง (หมายเหตุ: ในบริบท M&A "Vendor Due Diligence" หมายถึงรายงานที่ผู้ขายว่าจ้างจัดทำเกี่ยวกับบริษัทของตนเอง สำหรับกรณีนั้นโปรดดูเช็กลิสต์ M&A)
สำหรับผู้ขาย วิธีที่เร็วที่สุดในการผ่านการตรวจสอบเหล่านี้คือเตรียมชุดเอกสารความน่าเชื่อถือ (Trust Package) ไว้ล่วงหน้า: ใบรับรองและรายงานการตรวจสอบที่เป็นปัจจุบัน แบบสอบถามมาตรฐานที่กรอกแล้ว นโยบาย และแม่แบบสัญญาประมวลผลข้อมูล แชร์ผ่านลิงก์เดียวที่ควบคุมการเข้าถึงพร้อม NDA แทนการแนบไปกับอีเมลทุกครั้งที่มีคำขอ
ลำดับเลขเหมือนดัชนีห้องข้อมูล: ใช้แต่ละหมวดเป็นโฟลเดอร์และคงเลขไว้ในชื่อไฟล์
ไฟล์ CSV เปิดได้ใน Excel, Numbers หรือ Google Sheets เป็นจุดเริ่มต้นที่ใช้งานได้จริง – ปรับให้เข้ากับดีลและเขตอำนาจศาลของคุณร่วมกับที่ปรึกษา
ทีมจัดซื้อ ความปลอดภัยของข้อมูล กฎหมาย และความเป็นส่วนตัวฝั่งลูกค้า ในองค์กรที่อยู่ภายใต้การกำกับดูแลยังรวมถึงฝ่ายกำกับการปฏิบัติตามกฎระเบียบและฝ่ายบริหารความเสี่ยงจากบุคคลที่สาม สำหรับการจ้างภายนอกที่สำคัญ หน่วยงานกำกับดูแลอาจคาดหวังให้สามารถส่งแฟ้มข้อมูลได้เมื่อมีการร้องขอ
ตั้งแต่ไม่กี่วันสำหรับซัพพลายเออร์ความเสี่ยงต่ำ ไปจนถึงหลายสัปดาห์สำหรับผู้ขายสำคัญ และทำซ้ำเมื่อต่ออายุสัญญาและอย่างน้อยปีละครั้งสำหรับบุคคลที่สามที่มีความเสี่ยงสูง
การตรวจสอบที่บริษัทดำเนินการกับซัพพลายเออร์หรือผู้ให้บริการก่อนลงนามและตลอดความสัมพันธ์ ได้แก่ ตัวตนและโครงสร้างผู้ถือหุ้น สถานะทางการเงิน ความปลอดภัย การคุ้มครองข้อมูล การปฏิบัติตามกฎระเบียบ และเงื่อนไขสัญญา
ข้อมูลจากนายทะเบียนและโครงสร้างผู้ถือหุ้น งบการเงิน ใบรับรองการประกันภัย การรับรองด้านความปลอดภัยหรือรายงาน SOC 2 แบบสอบถามด้านความปลอดภัยที่กรอกแล้ว สัญญาประมวลผลข้อมูลและรายชื่อผู้ประมวลผลข้อมูลช่วง นโยบายต่าง ๆ และ SLA
เมื่อต่ออายุสัญญาและตามรอบที่อิงความเสี่ยง – โดยทั่วไปปีละครั้งสำหรับผู้ขายสำคัญหรือความเสี่ยงสูง และน้อยกว่านั้นสำหรับซัพพลายเออร์ความเสี่ยงต่ำ – รวมถึงทุกครั้งที่บริการหรือโครงสร้างผู้ถือหุ้นเปลี่ยนแปลง
ใน M&A Vendor Due Diligence คือรายงานที่ผู้ขายว่าจ้างจัดทำเกี่ยวกับธุรกิจของตนเองเพื่อมอบให้ผู้ซื้อ ส่วนในงานจัดซื้อและการบริหารความเสี่ยงจากบุคคลที่สาม หมายถึงการที่ลูกค้าตรวจสอบซัพพลายเออร์ของตน
ผ่านห้องข้อมูลหรือลิงก์ติดตามที่ต้องยอมรับ NDA มีลายน้ำ และกำหนดวันหมดอายุการเข้าถึง เพื่อไม่ให้รายงาน SOC 2 และสรุปผลการทดสอบเจาะระบบถูกส่งต่ออย่างอิสระ