Leveranciersrisico beoordelen vóór contractering: due diligence in de praktijk
3 min lezen
Een contract kan veel regelen, maar het maakt een zwakke leverancier niet sterk. Daarom onderzoekt u een leverancier voordat u tekent. Dat heet due diligence. Voor financiële instellingen is dit onderzoek voor ICT-diensten (informatie- en communicatietechnologie) verplicht onder de Digital Operational Resilience Act (DORA), Verordening (EU) 2022/2554. Gedelegeerde Verordening (EU) 2024/1773 werkt het uit, met aparte artikelen over de risicoanalyse vooraf, due diligence en belangenconflicten. Ook buiten de financiële sector is een gestructureerd onderzoek verstandig.
Eerst de risicoanalyse, dan het onderzoek
Begin niet met een lange vragenlijst. Bepaal eerst hoe zwaar het onderzoek moet zijn. Stel daarvoor drie vragen:
- Ondersteunt de dienst een kritieke of belangrijke functie?
- Welke gegevens verwerkt de leverancier, en hoe gevoelig zijn die?
- Hoe moeilijk is de leverancier te vervangen?
Op basis daarvan kiest u een licht, middel of zwaar onderzoek. Zo besteedt u de tijd waar het risico zit.
Wat onderzoekt u?
| Onderwerp | Voorbeelden van checks |
|---|---|
| Identiteit en eigendom | Uittreksel van de Kamer van Koophandel of het buitenlandse handelsregister, uiteindelijk belanghebbenden, groepsstructuur |
| Integriteit | Controle tegen sanctielijsten, negatieve berichtgeving, eventuele politiek prominente personen bij de eigenaren |
| Financiële positie | Jaarrekeningen, kredietrapport, afhankelijkheid van één grote klant |
| Informatiebeveiliging | Certificaten zoals ISO 27001, assurancerapporten zoals ISAE 3402 of SOC 2, uitkomsten van penetratietesten |
| Continuïteit | Noodplannen, hersteltijden, testresultaten, locaties van datacentra |
| Onderaanneming | Welke onderaannemers, waar gevestigd, welke rol |
| Belangenconflicten | Relaties tussen leverancier en medewerkers of bestuurders van uw organisatie |
Certificaten en rapporten: lees verder dan het logo
Een certificaat zegt alleen iets over de reikwijdte die erin staat. Controleer daarom:
- of de dienst die u afneemt binnen de reikwijdte valt;
- of het rapport of certificaat actueel is;
- welke afwijkingen de auditor heeft gevonden, en wat de leverancier daarmee doet;
- welke beheersmaatregelen de leverancier van u als klant verwacht.
Gedelegeerde Verordening (EU) 2024/1773 bepaalt dat een financiële instelling op termijn niet alleen op certificaten en auditrapporten van de leverancier mag vertrouwen.
Wanneer in het inkoopproces?
Bij een aanbesteding kunt u een deel van het onderzoek opnemen als geschiktheidseis of uitsluitingsgrond. Dat moet wel proportioneel zijn en vooraf in de stukken staan. Het verdere onderzoek doet u bij de voorlopige winnaar, voordat u het contract tekent. Bij een onderhandse inkoop doet u het onderzoek voordat u de opdracht verstrekt.
De uitkomst vastleggen
Leg per leverancier vast:
- welke checks zijn gedaan, met datum en bron;
- welke risico’s zijn gevonden;
- welke maatregelen u neemt, bijvoorbeeld een extra contractbepaling of een hogere monitoringfrequentie;
- wie het besluit heeft genomen om toch te contracteren, als er restrisico’s zijn.
Herhaal het onderzoek periodiek en bij signalen, zoals een overname van de leverancier of een groot incident.
Valkuilen
- Het onderzoek na ondertekening doen. Dan heeft u geen onderhandelingsruimte meer.
- Elke leverancier dezelfde vragenlijst sturen. Dat kost leveranciers en uzelf veel tijd zonder dat het risico beter in beeld komt.
- Geen eigenaar voor de uitkomst. Gevonden risico’s moeten bij iemand belanden die er iets mee doet.
- Alleen bij de start kijken. Een leverancier die bij contractering gezond was, kan twee jaar later overgenomen zijn of in financiële problemen zitten.
Voorbeeld van een lichte en een zware toets
Voor een abonnement op een vakdatabase zonder persoonsgegevens volstaat een korte toets: uittreksel uit het handelsregister, controle tegen sanctielijsten en een blik op de voorwaarden. Voor een leverancier die de klantadministratie beheert, doet u het volledige onderzoek uit de tabel, vraagt u het meest recente assurancerapport op en bespreekt u de uitkomsten met de leverancier voordat u tekent. Zo blijft het onderzoek in verhouding tot het risico.
Dit artikel bevat algemene informatie en is geen juridisch advies voor uw specifieke situatie.
Hulp nodig?
Ad Rem Consultants helpt bij het opzetten van een proportionele due diligence-aanpak voor leveranciers en het verwerken daarvan in uw inkoopproces. Wilt u uw aanpak laten toetsen? neem contact op.
