DDQ-antwoorden met actueel bewijs en goedkeuring

Er komt een DDQ van een bank binnen. De antwoorden van vorig jaar steunen op beleidsdocumenten die misschien vervallen zijn, en op onderdelen die de financiële en juridische afdeling en het securityteam moeten aanleveren. DDQ-automatiseringssoftware stelt elk antwoord op uit content die uw bedrijf al heeft goedgekeurd, signaleert vervallen bewijs, kan per vraag een goedkeurder toewijzen en legt vast wie wat heeft goedgekeurd. In het agentic operating system (aOS) van SEQUESTO stelt James elk DDQ-antwoord op vanuit de Knowledge Hub en legt het ter goedkeuring voor. Wat u moet beoordelen, is wat er na het concept gebeurt.

Hoe een DDQ-antwoord van concept tot goedkeuring komt

Neem een DDQ met meerdere tabbladen van een bank die uw bedrijf als leverancier beoordeelt, met onderdelen over eigendomsstructuur, financiën en verzekeringen, certificeringen, beveiliging en gegevensbescherming, sancties en omkopingsbestrijding, en milieu- en sociale praktijken. Het concept is het snelle deel. Of u het resultaat kunt vertrouwen, hangt af van wat volgt: dat elk antwoord met geldig bewijs bij de juiste goedkeurder terechtkomt, en dat vastligt wie het heeft goedgekeurd.

Agent Force begint bij de spreadsheet en haalt uit alle tabbladen elke vraag, elke verplichte bijlage en elke tekenlimiet, zodat het team met één volledige lijst werkt in plaats van tabblad per tabblad. De pagina Formulieren invullen beschrijft hoe het bestand van de koper wordt gelezen en in zijn eigen opmaak wordt teruggestuurd.

Daarna bepaalt James wat elke vraag nodig heeft en waar die informatie in de Knowledge Hub staat, en onder zijn regie wordt elk antwoord opgesteld uit goedgekeurde content. Het concept toont de redenering erachter. Elk stuk content waarop het steunt, krijgt een betrouwbaarheidsscore en zijn bronfragment mee, zodat een reviewer de beleidsparagraaf controleert waarop een antwoord rust, in plaats van de formulering op goed vertrouwen aan te nemen.

Dan het klokkenluidersbeleid. Documenten op organisatieniveau zoals dit horen bij wat een DDQ kan opvragen. Zo somt de DDQ van de PRI over verantwoord beleggen voor beleggers in hedgefondsen onder meer een gedragscode, een beleid voor diversiteit, gelijkwaardigheid en inclusie, een verslag over maatschappelijk verantwoord ondernemen en een klokkenluidersbeleid op als documenten die een beheerder aanlevert.

In de Knowledge Hub heeft elk goedgekeurd document en antwoord een eigenaar, een reviewcyclus en een vervaldatum. Uw klokkenluidersbeleid heeft zijn vervaldatum overschreden en wordt dus gesignaleerd voordat het in een concept terechtkomt. De eigenaar bij compliance vernieuwt het, en het antwoord wordt opgesteld uit de huidige versie in plaats van die van vorig jaar. Tussen twee vragenlijsten toont het dashboard van de Knowledge Hub wie eigenaar is van elk document en wat vervallen is of aan review toe is, zodat de vernieuwing kan starten voordat de volgende DDQ binnenkomt. De pagina Knowledge Hub laat zien hoe eigenaars, reviewcycli en vervaldatums worden bijgehouden.

Elke vraag kan een eigen reviewer en goedkeurder krijgen. In dit voorbeeld gaan de verzekerings- en financiële vragen naar de financiële afdeling, sancties en omkopingsbestrijding naar de juridische afdeling, het antwoord over het klokkenluidersbeleid naar compliance en gegevensbescherming naar het securityteam. Elke vraag heeft een eigenaar, een status en een deadline, zodat elke afdeling haar review via een eigen route afwerkt en niet op een andere hoeft te wachten. Zodra alle goedkeurders hun deel hebben goedgekeurd, leest de bidmanager de volledige response na en geeft de definitieve goedkeuring.

Dan blijft de registratie over, en precies daar bewijst DDQ-automatisering haar waarde, als het bestand al verstuurd is. Elke handeling op een antwoord wordt gelogd met wie ze uitvoerde, wanneer en op welk item, van het ophalen en de agentrun over elke wijziging en goedkeuring tot de export. Het logboek is doorzoekbaar en exporteerbaar en vormt de audittrail van de DDQ. Vraagt de bank, uw auditor of uw eigen juridische afdeling wie het antwoord over het klokkenluidersbeleid heeft goedgekeurd en op basis van welk bewijs, dan filtert u het logboek in plaats van e-mailthreads door te zoeken. De pagina Audittrail en gebruikersactiviteit laat zien wat het logboek vastlegt en hoe u het exporteert.

Wat DDQ-automatiseringssoftware aan uw team overlaat

De definitieve formulering en de goedkeuring blijven bij mensen, net als alles waartoe een antwoord uw bedrijf verbindt. De software bereidt het antwoord voor en legt vast wat ermee gebeurde; ze beslist niet wat uw bedrijf bereid is te verklaren.

Uw team ziet wat het systeem heeft gedaan en aanvaardt elk concept, past het aan of wijst het af. James volgt de projectregels en vraagt toestemming voordat hij iets doet buiten de afgesproken scope. Content, ook een vernieuwd beleid of certificaat, telt pas als goedgekeurd zodra een mens het goedkeurt.

Ook de toezegging achter elk antwoord ligt bij u. Stelt een antwoord dat een beheersmaatregel van kracht is, dan is de bidmanager verantwoordelijk voor die verklaring, wie ze ook heeft opgesteld. De indiening blijft eveneens bij een mens: SEQUESTO exporteert het ingevulde bestand en iemand uit uw team dient het in via het portaal van de koper.

De vragenlijst is ook niet altijd het eindpunt van de beoordeling door de koper. Volgens de PRI moet haar eigen DDQ een breder proces van informatieverzameling ondersteunen en niet op zichzelf worden bekeken. Een antwoord moet overeind blijven wanneer de koper vervolgvragen stelt of het onderliggende document opvraagt. Daarom wegen het bewijs en de vastgelegde goedkeuring even zwaar als de formulering.

DDQ's en security questionnaires op één platform

Eén tool kan beide aan. In het aOS lopen een DDQ en een security questionnaire als afzonderlijke projecten die uit dezelfde Knowledge Hub putten, als onderdeel van de DDQ-automatisering van SEQUESTO. De rollen blijven bij beide dezelfde. James orkestreert, Agent Force doet de extractie, het opstellen en het documentwerk, en de bidmanager keurt goed.

Dat is belangrijk, omdat het onderdeel beveiliging en gegevensbescherming van een DDQ en een security questionnaire op dezelfde beleidsdocumenten en certificaten kunnen steunen. Security questionnaires komen binnen als SIG, CAIQ, ISO 27001-mappings of in het eigen formaat van de koper: een lijst, een spreadsheetraster of een formulier met ingebedde velden. Elk wordt omgezet in een gestructureerde lijst en beantwoord uit dezelfde goedgekeurde content als de DDQ, en voor elk document geldt dezelfde vervalsignalering, welke vragenlijst het ook gebruikt.

Elk project houdt zijn eigen bestanden, deadlines en bijdragers. Content gaat niet over projectgrenzen heen, en toegang wordt per gebruiker en rol ingesteld, tot op bestands- en mapniveau. Het team kan een zoekopdracht ook beperken tot één deel van de Knowledge Hub, zodat een antwoord over security alleen op securitymateriaal steunt.

Na elke response vloeien goedgekeurde antwoorden terug naar de Knowledge Hub. De volgende DDQ of security questionnaire vertrekt dan van de recentste goedgekeurde formulering, niet van wat vorig jaar is verstuurd. Omdat de antwoorden in het platform blijven, vertrekt de bibliotheek niet mee met wie ze schreef. Hoe u antwoorden op securityvragen in meerdere vragenlijsten hergebruikt zonder verouderde te versturen, leest u in Antwoorden op security questionnaires hergebruiken.

Wat u eerst controleert bij een DDQ die u al hebt beantwoord

Laat InfoSec en de juridische afdeling vóór elke proefperiode bevestigen dat uw vertrouwelijke informatie nergens heen gaat en nooit voor training wordt gebruikt, want die toestemming kan een proefperiode vertragen. Neem vervolgens een DDQ die u al hebt ingediend, laad de bijbehorende documenten en stel de vervaldatum van één beleidsdocument of certificaat in op een datum in het verleden. Ga na of de tool dat signaleert voordat het in een concept terechtkomt. Kijk daarna of het logboek toont wie elk antwoord heeft goedgekeurd, in een vorm die u aan de juridische afdeling kunt overhandigen. Vraag de financiële en juridische afdeling en het securityteam hoelang hun reviews duurden, en tel hun uren mee, niet alleen die van de bidmanager. Een concept dat zoveel bewerking vraagt dat zelf schrijven sneller was geweest, valt af, wat de tool verder ook goed doet.