Các tài liệu cần yêu cầu trước khi tiếp nhận một nhà cung ứng, nhà cung cấp SaaS hoặc đối tác outsourcing – thông tin công ty, sức khỏe tài chính, an ninh thông tin, bảo vệ dữ liệu, tuân thủ và điều khoản hợp đồng.
Thẩm định bên thứ ba (nhà cung cấp) là việc khách hàng thực hiện trước khi phụ thuộc vào một nhà cung cấp: một ngân hàng tiếp nhận đơn vị xử lý thanh toán, một công ty lựa chọn nhà cung cấp dịch vụ đám mây, một nhà sản xuất ký hợp đồng với nhà cung cấp linh kiện quan trọng. Mục tiêu là xác nhận nhà cung cấp đúng là đơn vị họ tự giới thiệu, đủ năng lực tài chính để thực hiện hợp đồng, tuân thủ pháp luật và các nghĩa vụ pháp lý của chính khách hàng, và đủ an toàn để được giao phó dữ liệu hoặc các quy trình trọng yếu.
Mức độ thẩm định cần tương xứng với rủi ro. Nhà cung cấp rủi ro thấp, không truy cập dữ liệu có thể chỉ cần xác minh danh tính, sàng lọc danh sách trừng phạt và bảo hiểm. Nhà cung cấp trọng yếu xử lý dữ liệu cá nhân hoặc vận hành một quy trình cốt lõi cần toàn bộ danh mục dưới đây, một đánh giá bảo mật và quyền kiểm toán. Nhiều ngành chịu sự quản lý chặt chẽ – đặc biệt là dịch vụ tài chính – còn yêu cầu giám sát liên tục, vì vậy hãy chuẩn bị cập nhật chứng chỉ và báo cáo ít nhất mỗi năm một lần. (Lưu ý: trong M&A, "vendor due diligence" là báo cáo do bên bán thuê lập về chính công ty mình; về nội dung này, hãy xem checklist M&A.)
Đối với nhà cung cấp, cách nhanh nhất để vượt qua các đợt đánh giá này là chuẩn bị sẵn một bộ hồ sơ tin cậy (trust package): chứng chỉ và báo cáo kiểm toán còn hiệu lực, một bảng câu hỏi tiêu chuẩn đã điền, các chính sách và mẫu thỏa thuận xử lý dữ liệu – chia sẻ qua một liên kết duy nhất có kiểm soát truy cập và NDA, thay vì đính kèm vào e-mail mỗi khi được yêu cầu.
Được đánh số như một data room index: dùng các mục làm thư mục và giữ số thứ tự trong tên tệp.
Tệp CSV mở được bằng Excel, Numbers hoặc Google Sheets. Đây là điểm khởi đầu thực tế – hãy cùng cố vấn điều chỉnh cho phù hợp với thương vụ và khu vực pháp lý của bạn.
Các bộ phận mua hàng, an toàn thông tin, pháp chế và quyền riêng tư phía khách hàng; tại các tổ chức chịu sự quản lý còn có bộ phận tuân thủ và quản lý rủi ro bên thứ ba. Đối với hoạt động thuê ngoài trọng yếu, cơ quan quản lý có thể yêu cầu cung cấp hồ sơ khi được đề nghị.
Từ vài ngày với nhà cung cấp rủi ro thấp đến vài tuần với nhà cung cấp trọng yếu; lặp lại khi gia hạn hợp đồng và ít nhất mỗi năm một lần đối với bên thứ ba rủi ro cao.
Là các bước kiểm tra mà doanh nghiệp thực hiện đối với nhà cung cấp hoặc đơn vị cung cấp dịch vụ trước khi ký hợp đồng và trong suốt quá trình hợp tác: danh tính và cơ cấu sở hữu, sức khỏe tài chính, bảo mật, bảo vệ dữ liệu, tuân thủ và điều khoản hợp đồng.
Trích lục đăng ký doanh nghiệp và cơ cấu sở hữu, báo cáo tài chính, giấy chứng nhận bảo hiểm, chứng nhận bảo mật hoặc báo cáo SOC 2, bảng câu hỏi bảo mật đã điền, thỏa thuận xử lý dữ liệu và danh sách bên xử lý phụ, các chính sách và SLA.
Khi gia hạn hợp đồng và theo lịch dựa trên mức độ rủi ro – thường mỗi năm một lần với nhà cung cấp trọng yếu hoặc rủi ro cao, thưa hơn với nhà cung cấp rủi ro thấp – và bất cứ khi nào dịch vụ hoặc cơ cấu sở hữu thay đổi.
Trong M&A, vendor due diligence là báo cáo do bên bán thuê lập về chính doanh nghiệp của mình để cung cấp cho bên mua. Trong mua hàng và quản lý rủi ro bên thứ ba, đó là việc khách hàng kiểm tra các nhà cung cấp của mình.
Thông qua phòng dữ liệu hoặc liên kết theo dõi có yêu cầu chấp nhận NDA, hình mờ (watermark) và thời hạn truy cập, để báo cáo SOC 2 và bản tóm tắt kiểm thử xâm nhập không bị chuyển tiếp tùy tiện.