第三方（供应商）尽职调查是客户在依赖某一供应商之前开展的审查：例如银行引入支付处理机构、企业选择云服务提供商、制造商与关键零部件供应商签约。其目的是确认供应商的身份属实、具备履约的财务能力、遵守法律及客户自身的监管义务，并且安全水平足以托付数据或关键流程。
审查深度应与风险相匹配。无数据访问权限的低风险供应商可能只需身份核验、制裁筛查和保险证明。处理个人数据或承担核心流程的关键供应商则需要提供以下完整清单、接受安全评估并给予审计权。许多受监管行业（尤其是金融服务业）还要求持续监控，因此证书和报告至少每年需要更新一次。（注：在并购中，“卖方尽职调查”（vendor due diligence）是指卖方就自身公司委托出具的报告；相关内容请参阅并购清单。）
对供应商而言，通过此类审查的最快方式是准备一套现成的信任资料包：最新的证书和审计报告、一份已填写的标准问卷、各项政策以及数据处理协议模板，并通过一个附带 NDA、受访问控制的链接统一分享，而不是在收到请求时以电子邮件附件发送。
按数据室索引编号：将各部分用作文件夹，并在文件名中保留编号。
CSV 可在 Excel、Numbers 或 Google Sheets 中打开。这是一个实用的起点 – 请与您的顾问一起根据具体交易和司法管辖区进行调整。
客户方的采购、信息安全、法务及隐私团队；在受监管机构中还包括合规和第三方风险管理团队。对于关键外包，监管机构可能要求按需提供相关档案。
低风险供应商只需几天，关键供应商则需数周；高风险第三方应在续约时以及至少每年重新审查一次。
企业在签约前及合作期间对供应商或服务提供商进行的核查：身份与股权结构、财务状况、安全、数据保护、合规及合同条款。
工商登记摘录及股权结构、财务报表、保险证明、安全认证或 SOC 2 报告、已填写的安全问卷、数据处理协议及次级处理者清单、各项政策以及 SLA。
在续约时并按基于风险的周期进行——关键或高风险供应商通常每年一次，低风险供应商频率更低——此外，每当服务内容或股权结构发生变化时也应重新审查。
在并购中，卖方尽职调查（vendor due diligence）是卖方就自身业务委托出具、提供给买方的报告。在采购和第三方风险管理中，它是指客户对其供应商进行的核查。
通过启用 NDA 确认、水印和访问到期设置的数据室或可追踪链接分享，这样 SOC 2 报告和渗透测试摘要就不会被随意转发。