Документи, які слід запитати перед підключенням постачальника, SaaS-провайдера чи партнера з аутсорсингу, – компанія, фінансовий стан, інформаційна безпека, захист даних, комплаєнс і умови договору.
Due diligence третіх сторін (постачальників) проводить клієнт, перш ніж покластися на постачальника: банк, що підключає платіжного процесора, компанія, яка обирає хмарного провайдера, виробник, що укладає договір із постачальником ключового компонента. Мета – підтвердити, що постачальник є тим, за кого себе видає, фінансово спроможний виконати зобов'язання, дотримується законодавства та регуляторних вимог клієнта і достатньо захищений, щоб довірити йому дані чи критичні процеси.
Глибина перевірки має відповідати ризику. Для постачальника з низьким ризиком без доступу до даних може вистачити ідентифікації, санкційного скринінгу та страхування. Критичному постачальнику, який обробляє персональні дані чи виконує ключовий процес, потрібен повний перелік нижче, оцінка безпеки та право на аудит. Багато регульованих галузей – особливо фінансові послуги – також вимагають постійного моніторингу, тож розраховуйте оновлювати сертифікати та звіти щонайменше раз на рік. (Примітка: у M&A «vendor due diligence» означає звіт, який продавець замовляє щодо власної компанії; для цього дивіться чек-лист M&A.)
Для постачальника найшвидший спосіб пройти такі перевірки – готовий пакет довіри: актуальні сертифікати та аудиторські звіти, стандартна заповнена анкета, політики й шаблон договору про обробку даних, надані через одне посилання з контрольованим доступом і NDA, а не надіслані вкладеннями в листах на запит.
Пронумеровано як індекс кімнати даних: використовуйте розділи як папки та зберігайте номери в назвах файлів.
CSV відкривається в Excel, Numbers або Google Sheets. Це практична відправна точка – адаптуйте її до своєї угоди та юрисдикції разом із радниками.
Команди із закупівель, інформаційної безпеки, юридичного супроводу та захисту даних на боці клієнта; у регульованих компаніях також комплаєнс і управління ризиками третіх сторін. Для критичного аутсорсингу регулятори можуть очікувати, що досьє буде доступне на запит.
Від кількох днів для постачальників із низьким ризиком до кількох тижнів для критичних; повторюйте під час продовження договору і щонайменше щороку для третіх сторін із високим ризиком.
Перевірки, які компанія проводить щодо постачальника чи надавача послуг до підписання договору та впродовж співпраці: ідентифікація та власники, фінансовий стан, безпека, захист даних, комплаєнс і договірні умови.
Витяг із реєстру та структуру власності, фінансову звітність, страхові сертифікати, сертифікати безпеки або звіт SOC 2, заповнену анкету з безпеки, договір про обробку даних і перелік субобробників, політики та SLA.
Під час продовження договору та за графіком на основі ризиків – зазвичай щороку для критичних постачальників або постачальників із високим ризиком і рідше для постачальників із низьким ризиком, – а також щоразу, коли змінюється послуга чи власники.
У M&A vendor due diligence – це звіт, який продавець замовляє щодо власного бізнесу, щоб надати його покупцям. У закупівлях і управлінні ризиками третіх сторін це означає перевірку клієнтом своїх постачальників.
Через кімнату даних або посилання з відстеженням із прийняттям NDA, водяними знаками та обмеженим строком доступу, щоб звіти SOC 2 і резюме тестів на проникнення не пересилалися безконтрольно.