Doorsta due diligence van leveranciers met bewijsstukken in uw dossier

U doorstaat de due diligence van leveranciers door de koper bewijs te bezorgen dat hij kan verifiëren, niet alleen antwoorden op zijn vragenlijst. Banken, verzekeraars en grote ondernemingen vragen naar het bewijs achter elk antwoord. Daarom moet elk antwoord worden onderbouwd met een gedateerd document dat de koper kan controleren en bewaren, en waarvoor iemand verantwoordelijk is die het actueel houdt. Deze gids volgt de werkzaamheden in de juiste volgorde: de verplichting achter de vragenlijst achterhalen, nagaan wat de koper redelijkerwijs mag vragen, het bewijsdossier samenstellen, antwoorden met bewijs, hiaten opvangen met een plan, het bewijs actueel houden en tot slot bekijken wat er verandert wanneer de koper een overheidsinstantie is.

Wie verantwoordelijk is voor de antwoorden en wat u moet klaarhebben

Binnen de hele organisatie zijn voor elk onderwerp verantwoordelijken aangewezen die eigenaar zijn van de antwoorden. Deze gids is bedoeld voor het bidteam dat hun bijdragen coördineert wanneer een leverancier due-diligence-vragenlijsten beantwoordt van banken, verzekeraars, institutionele beleggers en grote ondernemingen. Dat geldt zowel voor controles vóór een eerste contract als voor een verlenging of een plaats op een lijst van goedgekeurde leveranciers. Deze vragenlijsten bevatten vaak honderden vragen met een regelgevend karakter. Het bredere proces om ze te beantwoorden, komt aan bod in DDQ-antwoord. Geen enkele bidmanager kan ze alleen beantwoorden.

De meeste antwoorden komen van mensen buiten het bidteam. Wijs voor elk onderwerp een verantwoordelijke aan voordat de volgende vragenlijst binnenkomt: finance voor jaarrekeningen en verzekeringen, legal voor eigendomsstructuur, sancties, corruptiebestrijding en contractvoorwaarden, informatiebeveiliging voor certificeringen en controles, HR voor personeels- en mensenrechtenbeleid, en duurzaamheid voor milieu- en toeleveringsketenrisico's. Elke verantwoordelijke levert het bewijs voor het eigen onderwerp en staat ervoor in. De bidmanager behoudt de definitieve goedkeuring.

Zorg dat u dit bij de hand hebt voordat u begint:

• uw meest recent ingevulde vragenlijsten, met de documenten die u eraan hebt toegevoegd
• de huidige versie van elk certificaat, elk beleidsdocument en elk rapport waarnaar u verwacht te verwijzen
• een lijst van onderwerpverantwoordelijken, elk met een plaatsvervanger
• de vragenlijst van de koper, de begeleidende brief en elke gedragscode die u moet ondertekenen

Achterhaal de verplichting achter de vragenlijst

Lees de vragenlijst, de begeleidende brief en eventuele bijgevoegde gedragscode om na te gaan welke wet of toezichthouder aan de basis ligt van het verzoek. Die verplichting bepaalt welke informatie de koper in zijn dossier moet bewaren en dus wat volstaat om eraan te voldoen. Een vragenlijst die verwijst naar wetgeving over de toeleveringsketen of naar een sectorale toezichthouder, vraagt om bewijs, niet om geruststelling. Lees hoe de koper deze controle vanuit zijn perspectief benadert bij vendor due diligence.

De EU-richtlijn inzake passende zorgvuldigheid in het bedrijfsleven op het gebied van duurzaamheid, Richtlijn (EU) 2024/1760, zoals gewijzigd bij Richtlijn (EU) 2026/470, is pas van toepassing vanaf 26 juli 2029 en alleen op ondernemingen met meer dan 5.000 werknemers en een wereldwijde netto-omzet van meer dan EUR 1,5 miljard. Beschouw een verzoek dat ernaar verwijst daarom als voorbereiding, niet als een huidige wettelijke verplichting.

Leg de aanleiding vast in het project voordat iemand een tekst opstelt. Zo weet u of een handtekening kan volstaan om een vraag af te handelen, of dat de aanbestedende instantie een document nodig heeft dat ze kan verifiëren en bewaren.

Ga na wat de koper redelijkerwijs mag vragen

Stel elke vraag ter discussie die niet gerechtvaardigd is door het risico dat uw onderneming vormt, want een vragenlijst die zonder onderscheid naar elke leverancier wordt gestuurd, kan veel meer vragen dan uw onderneming rechtvaardigt.

Stel vier vragen bij elk verzoek dat buiten proportie lijkt:

1. Naar welke wet of welk beleid verwijst de koper, en valt de koper daaronder?
2. Heeft de vraag betrekking op een risico dat zich redelijkerwijs in uw onderneming kan voordoen?
3. Kan de koper de informatie uit een openbaar register halen of uit een rapport dat u al publiceert?
4. Zou het antwoord een bedrijfsgeheim onthullen?

Als de koper niet onder de aangehaalde wetgeving valt, de vraag geen betrekking heeft op een risico dat uw onderneming redelijkerwijs kan dragen, of de informatie al in een openbaar register of een door u gepubliceerd rapport staat, beantwoord dan wat u kunt, verwijs naar de andere bron en vraag welk risico de vraag precies moet afdekken. Als het antwoord een bedrijfsgeheim zou onthullen, beantwoord dan wat u kunt zonder dat geheim prijs te geven en leg uit waarom u die informatie achterhoudt. Als geen van de vier situaties van toepassing is, beantwoord dan het verzoek volledig.

Stel het bewijsdossier samen voordat erom wordt gevraagd

Verzamel voor elk onderwerp één actueel document voordat er een vragenlijst binnenkomt. Vermeld voor elk document een verantwoordelijke, een uitgiftedatum en een verval- of herzieningsdatum, want de koper controleert het document, niet uw formulering. Gebruik dit als sjabloon:

Bewaar elk document in een vorm die een koper kan archiveren: definitief, ondertekend en gedateerd, nooit als werkversie. Geef elk bestand een naam op basis van onderwerp, document en datum, zodat een antwoord er exact naar kan verwijzen.

Als u deelneemt aan een sectorinitiatief of een initiatief met meerdere belanghebbenden, neem dan het meest recente rapport ervan op in het dossier en verwijs ernaar wanneer een vraag terugkomt op wat daarin al aan bod komt.

Antwoord met bewijs, niet met toezeggingen

Koppel elk antwoord aan een document met naam en datum, en aan de clausule die het onderbouwt. Een koper die informatie moet verifiëren, kan immers niet volstaan met “ja, we voldoen aan de vereisten”. Een kort stramien volstaat voor de meeste vragen: “Ja. [Naam beleid], versie [x], goedgekeurd op [datum], sectie [y]. [Certificaat] bijgevoegd, geldig tot [datum].” Het antwoord vermeldt het feit en dankzij de verwijzing kan de koper het controleren zonder u opnieuw om informatie te vragen. Raadpleeg specifiek voor beveiligingsvragen onderbouwde antwoorden op security questionnaires.

Schrijf alsof het antwoord nog lang na verzending zal worden gelezen. Iemand kan uw antwoord jaren later openen met alleen de bijlage erbij. Laat “zoals besproken” daarom weg en verwijs nooit naar een document dat u niet hebt meegestuurd.

Houd antwoorden consistent. De koper kan uw antwoord vergelijken met wat u bij de vorige verlenging hebt meegedeeld en met uw openbare publicaties. Beantwoord dezelfde vraag op dezelfde manier voor verschillende kopers, tenzij de feiten zijn veranderd. Vermeld in dat geval wat er is veranderd en wanneer.

Controleer elk concept dat met behulp van generatieve AI voor algemeen gebruik is opgesteld. Gartner voorspelt dat tegen 2028 70% van de organisaties en leveranciers GenAI zal gebruiken om vragenlijsten over cyberrisico’s van derden in te vullen en te analyseren. Volgens Gartner maakt dit de output minder bruikbaar en moeten menselijke analisten het werk van GenAI voor kritieke derden valideren. Laat elke inhoudelijk verantwoordelijke de antwoorden vóór indiening toetsen aan het document waarnaar wordt verwezen. Een vlot geformuleerd antwoord dat naar de verkeerde versie verwijst, doet meer kwaad dan een kort antwoord.

In SEQUESTO: stelt uw team elk antwoord op in SEQUESTO aOS met een bronverwijzing naar het beleidsdocument en de clausule waarop het is gebaseerd, voegt het bewijs zoals een SOC 2-rapport toe aan het antwoord zelf en laat het antwoord vóór export goedkeuren door de reviewer die voor die vraag is aangewezen.

Pak een tekortkoming aan met een remediëringsplan

Beantwoord een tekortkoming met een herstelplan waarin een datum is vastgelegd, nooit met stilzwijgen of een vage toezegging. Een niet-onderbouwde bewering geeft een controlerende koper immers precies een reden om erop terug te komen. Controleer vóór indiening op drie soorten antwoorden die bij een koper vragen oproepen: een bewering zonder onderliggend document, een document dat vervallen is en een antwoord dat in tegenspraak is met een ander antwoord of een eerdere indiening. Los het tweede en derde punt op vóór indiening. Voor het eerste punt, waarvoor nog geen bewijs bestaat, is het plan uw antwoord.

Neem dit op in elk plan:

• de vereiste waaraan u nog niet voldoet, in de woorden van de koper
• wat u eraan doet en wie ervoor verantwoordelijk is
• de datum waarop elke stap wordt afgerond
• het bewijs dat aantoont dat het is uitgevoerd, en wanneer de koper dit ontvangt

Een koper die een tekortkoming vaststelt, heeft een plan nodig dat geloofwaardig genoeg is om te verantwoorden waarom u als leverancier behouden blijft. Zodra u dat plan hebt verstuurd, rapporteert u over de voortgang ten opzichte van de vooropgestelde data, zonder te wachten tot daarom wordt gevraagd.

Houd het bewijsmateriaal actueel tussen controles

Geef elk document een herzieningsdatum en een lijst met gebeurtenissen die aanleiding geven tot een vervroegde herziening. Een antwoord dat bij ondertekening correct was, kan later immers worden tegengesproken door wat de koper ziet. Als een koper toezicht houdt, kan een verlopen certificaat al lang vóór uw volgende vragenlijst aan het licht komen.

Stel beoordelingsdatums in per documenttype:

• Controleer een document met een vervaldatum, zoals een verzekeringsattest of een ISO 27001-certificaat, vóór de vervaldatum en houd daarbij minstens rekening met de tijd die de verlenging in beslag neemt.
• Gebruik voor een beleidsdocument de bijbehorende goedkeuringscyclus.
• Voor jaarrekeningen: controleer bij elke nieuwe neerlegging.
• Voor eigendom en zeggenschap: voer een beoordeling uit bij elke wijziging in het register.

Voer tijdig een controle uit wanneer een van de volgende situaties zich voordoet: een wijziging in eigendom, zeggenschap of bestuurders; een certificaat dat vervalt of waarvan het toepassingsgebied wordt beperkt; een beleidswijziging; of een incident. Werk eerst het document bij. Zoek vervolgens elk antwoord dat op de oude versie was gebaseerd en beslis samen met de eigenaar ervan of een koper over de wijziging moet worden geïnformeerd. Die stap werkt alleen als de bibliotheek achter het pakket de eigenaars en versies traceerbaar houdt, zoals een auditbare bibliotheek uiteenzet.

In SEQUESTO: behoudt elk item in de Knowledge Hub de gegevens over de eigenaar, beoordelingscyclus en vervaldatum, zodat vervallen materiaal wordt gemarkeerd voordat het in een concept terechtkomt. Wanneer een beleid wordt bijgewerkt, wordt elk antwoord dat erop is gebaseerd gemarkeerd voor beoordeling door uw team.

Wanneer de koper een overheidsinstantie is

Bij een openbare aanbesteding verloopt de controle in omgekeerde volgorde: u legt eerst een verklaring af en levert later het bewijs.

EU-aanbestedingen en het ESPD

Bij openbare aanbestedingen in de EU is het Uniform Europees Aanbestedingsdocument een eigen verklaring. De bewijsstukken worden later opgevraagd. Vul het UEA in op basis van het bewijsdossier, niet uit het hoofd, en toets elke verklaring aan het document dat u zou moeten voorleggen als u de opdracht wint.

Britse aanbestedingen onder de Procurement Act 2023

In Engeland, Wales en Noord-Ierland is de Procurement Act 2023 sinds 24 februari 2025 van toepassing op nieuwe overheidsopdrachten. Leveranciers houden op Find a Tender een dossier bij met basisinformatie, jaarrekeningen van recente boekjaren, verbonden personen zoals personen met aanzienlijke zeggenschap, en uitsluitingsgegevens volgens bijlagen 6 en 7 van de wet. De GOV.UK-factsheet over het Central Digital Platform vermeldt dat de leverancier verantwoordelijk is voor de juistheid van de gedeelde informatie, dat het platform geen zekerheid biedt en dat de aankopende organisatie de informatie via haar eigen due diligence controleert. Beschouw het dossier als onderdeel van het pakket: als de eigendomsstructuur, jaarrekeningen of uw uitsluitingsstatus wijzigen, werkt u het dossier bij op dezelfde dag dat u het document bijwerkt.

Checklist voor due diligence van leveranciers

• De wet of toezichthouder waarop de vragenlijst is gebaseerd, wordt in het project vastgelegd.
• Elk uitgebreid verzoek is getoetst op reikwijdte, relevantie, andere bronnen en bedrijfsgeheimen, en eventuele vragen zijn aan de koper voorgelegd.
• Elk onderwerp in het bewijsdossier heeft één actueel document, een bij naam genoemde eigenaar, een uitgiftedatum en een verval- of herzieningsdatum.
• Elk antwoord vermeldt het document, de versie, de datum en de clausule, en is gecontroleerd door de verantwoordelijke voor het onderwerp.
• Elke lacune heeft een herstelplan met een verantwoordelijke, datums en het bewijs waarmee ze wordt weggewerkt.
• Elk document heeft een herzieningsdatum en een lijst met gebeurtenissen die aanleiding geven tot een vervroegde herziening.
• Bij een openbare aanbesteding komt elke ESPD-verklaring en elke vermelding in Find a Tender overeen met het document dat u zou opstellen.

Begin met de vragenlijst die u het laatst hebt beantwoord. Koppel elk antwoord aan het onderliggende document. Antwoorden zonder onderliggend document tonen waar het documentpakket eerst moet worden bijgewerkt.