Bir tedarikçi, SaaS sağlayıcısı veya dış kaynak ortağıyla çalışmaya başlamadan önce talep edilecek belgeler – şirket bilgileri, finansal sağlık, bilgi güvenliği, veri koruma, uyum ve sözleşme koşulları.
Üçüncü taraf (tedarikçi) due diligence, bir müşterinin bir tedarikçiye güvenmeden önce yaptığı incelemedir: Bir bankanın bir ödeme kuruluşunu sisteme alması, bir şirketin bulut sağlayıcı seçmesi, bir üreticinin kritik bir bileşen tedarikçisiyle sözleşme imzalaması gibi. Amaç, tedarikçinin iddia ettiği kişi olduğunu, yükümlülüklerini yerine getirecek mali güce sahip olduğunu, mevzuata ve müşterinin kendi düzenleyici yükümlülüklerine uyduğunu ve verilerin ya da kritik süreçlerin emanet edilebileceği kadar güvenli olduğunu teyit etmektir.
İncelemenin derinliği riske uygun olmalıdır. Veri erişimi olmayan düşük riskli bir tedarikçi için yalnızca kimlik doğrulama, yaptırım taraması ve sigorta yeterli olabilir. Kişisel veri işleyen veya temel bir süreci yürüten kritik bir tedarikçi ise aşağıdaki listenin tamamını, bir güvenlik değerlendirmesini ve denetim hakkını gerektirir. Başta finansal hizmetler olmak üzere pek çok düzenlemeye tabi sektör sürekli izleme de şart koşar; bu nedenle sertifikaları ve raporları en az yılda bir kez yenilemeyi bekleyin. (Not: M&A'de "vendor due diligence", satıcının kendi şirketi hakkında yaptırdığı rapor anlamına gelir; bunun için M&A kontrol listesine bakın.)
Tedarikçi açısından bu incelemelerden geçmenin en hızlı yolu hazır bir güven paketidir: güncel sertifikalar ve denetim raporları, standart olarak doldurulmuş bir soru formu, politikalar ve bir veri işleme sözleşmesi şablonu – talep geldikçe e-postalara eklemek yerine NDA ile korunan, erişim kontrollü tek bir bağlantı üzerinden paylaşılır.
Bir veri odası dizini gibi numaralandırılmıştır: Bölümleri klasör olarak kullanın ve numaraları dosya adlarında koruyun.
CSV dosyası Excel, Numbers veya Google Sheets'te açılır. Pratik bir başlangıç noktasıdır – danışmanlarınızla birlikte işleminize ve yargı alanınıza uyarlayın.
Müşteri tarafında satın alma, bilgi güvenliği, hukuk ve gizlilik ekipleri; düzenlemeye tabi kuruluşlarda ayrıca uyum ve üçüncü taraf risk yönetimi ekipleri. Kritik dış kaynak kullanımında düzenleyiciler dosyanın talep üzerine sunulabilmesini bekleyebilir.
Düşük riskli tedarikçiler için birkaç günden kritik tedarikçiler için birkaç haftaya kadar; yüksek riskli üçüncü taraflar için sözleşme yenilemesinde ve en az yılda bir tekrarlanır.
Bir şirketin bir tedarikçi veya hizmet sağlayıcı hakkında sözleşme imzalamadan önce ve ilişki süresince yaptığı kontroller: kimlik ve ortaklık yapısı, finansal durum, güvenlik, veri koruma, uyum ve sözleşme koşulları.
Ticaret sicili kaydı ve ortaklık yapısı, finansal tablolar, sigorta belgeleri, güvenlik sertifikaları veya SOC 2 raporu, doldurulmuş bir güvenlik soru formu, veri işleme sözleşmesi ve alt işleyen listesi, politikalar ve SLA.
Sözleşme yenilemesinde ve risk bazlı bir takvime göre – kritik veya yüksek riskli tedarikçiler için genellikle yılda bir, düşük riskli tedarikçiler için daha seyrek – ayrıca hizmet veya ortaklık yapısı her değiştiğinde.
M&A'de vendor due diligence, satıcının alıcılara sunmak üzere kendi işletmesi hakkında yaptırdığı rapordur. Satın alma ve üçüncü taraf risk yönetiminde ise bir müşterinin tedarikçilerini incelemesi anlamına gelir.
NDA onayı, filigran ve erişim süresi sınırı içeren bir veri odası veya izlenen bağlantı üzerinden; böylece SOC 2 raporları ve sızma testi özetleri serbestçe iletilemez.