Wat is een DDQ?

Een due-diligence-vragenlijst is een formeel, schriftelijk informatieverzoek waarin de ontvanger wordt gevraagd om met ondersteunende documenten te beschrijven hoe de organisatie eigendom, bestuur, financiering, bedrijfsvoering en toezicht heeft geregeld. De vragenlijst verschilt van een informeel informatieverzoek doordat deze gestructureerd en herhaalbaar is en bedoeld is om een gedocumenteerd dossier op te bouwen in plaats van een gesprek te voeren. De verzendende organisatie, bijvoorbeeld een institutionele belegger, een overnemende partij of een zakelijke inkoopafdeling, gebruikt de DDQ om een onderbouwd dossier samen te stellen voor een voorgenomen besluit of een relatie waarop zij wil blijven vertrouwen.

Wat een DDQ is

Definitie en kerndoel

Een DDQ legt de interne situatie van een organisatie, haar eigendomsstructuur, financiële positie, complianceprogramma en operationele beheersmaatregelen vast in een schriftelijk, verifieerbaar dossier dat door een andere partij kan worden beoordeeld. Dat is het kerndoel: niet overtuigen, maar bewijs leveren.

Het mechanisme is eenvoudig. Een afzender verstrekt een vaste vragenlijst, vaak met een overzicht van de vereiste documenten. De ontvanger moet elke vraag feitelijk beantwoorden en bewijsstukken bijvoegen in plaats van een beschrijving te geven. Een due-diligence-vragenlijst is een formeel document met vragen om vast te stellen of een derde partij voldoet aan de industrienormen, wet- en regelgeving en cybersecuritypraktijken die relevant zijn voor het beoordelende bedrijf.

Voor ontvangers brengen vage of niet-onderbouwde antwoorden reële kosten met zich mee. Een DDQ-antwoord zonder bijgevoegd certificaat, beleidsfragment of auditrapport wordt als niet-geverifieerd beschouwd. Niet-geverifieerde antwoorden vertragen of blokkeren de onderliggende beslissing. Daarom wordt het beantwoorden van DDQ's steeds vaker als een vakgebied op zich beschouwd, los van het schrijven van algemene offertes.

Wat onderscheidt een DDQ van het bredere due-diligence-proces?

Een DDQ is een van de instrumenten binnen due diligence, niet het proces zelf. Due diligence omvat ook locatiebezoeken, interviews, onafhankelijk onderzoek en referentiecontroles. De DDQ vormt de documentaire ruggengraat die deze activiteiten met elkaar verbindt.

Dit onderscheid is belangrijk, omdat een ingevulde DDQ, hoe grondig ook, zelfgerapporteerde informatie bevat. Een DDQ is een gestructureerde reeks vragen die de ene organisatie naar de andere stuurt om te controleren hoe die organisatie werkt, voordat zij kapitaal investeert, een opdracht gunt of een relatie voortzet. De ingevulde questionnaire wordt onderdeel van het formele due-diligence-dossier van de afzender. Analisten en risicoteams beschouwen de DDQ als uitgangspunt voor verificatie, niet als de verificatie zelf.

In de praktijk betekent dit dat na een sterk DDQ-antwoord nog steeds een locatiebezoek, een referentiegesprek of een onafhankelijke audit kan volgen. Een ontvanger die ervan uitgaat dat het questionnaire de volledige toets vormt, in plaats van het startpunt voor nader onderzoek, schat verkeerd in wat er daadwerkelijk wordt beoordeeld.

Waar DDQ's worden gebruikt

Due diligence door institutionele beleggers

Institutionele beleggers gebruiken DDQ's om fondsbeheerders te beoordelen voordat zij kapitaal toezeggen. Deze werkwijze is vastgelegd in gestandaardiseerde sjablonen. Volgens ILPA is een gestandaardiseerde DDQ voor beleggers in private markten bedoeld om de belangrijkste onderzoeksthema's te standaardiseren die beleggers aan de orde stellen bij hun due diligence van fondsbeheerders en om een kader te bieden voor de doorlopende monitoring van de voortgang op gebieden als diversiteit, gelijkwaardigheid en inclusie.

Het mechanisme hier is vergelijkbaarheid. Wanneer veel managers dezelfde gestandaardiseerde reeks vragen beantwoorden, kunnen beleggers en consultants de antwoorden van kandidaten op een shortlist vergelijken, in plaats van de specifieke formatten van elke manager op elkaar af te stemmen. De veelgebruikte private-equity-DDQ van ILPA behandelt veel onderwerpen rond due diligence van fondsen, waaronder het trackrecord, zodat beleggers managers systematisch dezelfde vragen kunnen stellen.

Een belangrijke kanttekening: standaardisatie vermindert de frictie, maar neemt de noodzaak van een eigen oordeel niet weg. Twee managers kunnen dezelfde gestandaardiseerde vragen nauwkeurig beantwoorden en toch wezenlijk verschillende risicoprofielen laten zien wanneer een belegger de antwoorden afweegt tegen zijn eigen mandaat.

Fusies en overnames

Bij M&A verstrekt een overnemende partij een DDQ aan een overnamedoelwit om vóór de afronding van een transactie informatie te verkrijgen over eigendom, financiële prestaties, contracten, rechtszaken en de naleving van de regelgeving. De DDQ vormt een aanvulling op juridische, financiële en operationele werkstromen en vervangt deze niet.

Het mechanisme werkt als volgt: de antwoorden van de overnamedoelwitvennootschap en de bijgevoegde documenten worden rechtstreeks gebruikt voor de waardering, de onderhandelingen over garanties en de voorwaarden voor afronding. Een ontbrekend of inconsistent antwoord in een DDQ kan leiden tot nader onderzoek, een prijsaanpassing of een specifieke vrijwaring in de transactieovereenkomst.

Risicomanagement voor leveranciers en derden

Corporate procurement- en third-party-riskafdelingen gebruiken DDQs om potentiële en bestaande leveranciers vóór onboarding en daarna periodiek te beoordelen. In leverancierscontexten is een due-diligence-vragenlijst in veel programma's voor third-party-riskmanagement het belangrijkste instrument voor risicobeoordeling vóór contractsluiting. Daarin wordt een potentiële leverancier gevraagd om zijn beveiligingsmaatregelen, certificeringen, incidenthistorie, relaties met subverwerkers en werkwijzen voor gegevensverwerking te beschrijven.

De omvang van deze activiteit is aanzienlijk. Uit enquêtegegevens die in de DDQ-richtlijnen worden aangehaald, blijkt dat bedrijven gemiddeld 55 questionnaires naar derden sturen, elk met 101 tot 350 vragen. Dit illustreert waarom bid- en complianceteams van leveranciers DDQ-antwoorden als een doorlopende operationele belasting beschouwen en niet als een eenmalige taak.

Een gestructureerde due-diligence-vragenlijst voor leveranciersrisicobeheer bevat doorgaans 100 tot 200 vragen over de bedrijfsachtergrond, financiële gezondheid, juridische positie en compliance, informatiebeveiliging, operationele continuïteit en ESG. Daardoor kan één response vrijwel elke functie binnen een leveranciersorganisatie raken.

Wat een DDQ doorgaans omvat

Eigendom, governance en financiële gegevens

De meeste DDQ's beginnen met vragen over de juridische structuur, eigendomsverhoudingen, samenstelling van het bestuur en de financiële positie. Daarmee wordt vastgesteld wie de wederpartij is, voordat operationele details worden beoordeeld. Dit onderdeel beantwoordt een fundamentele maar essentiële vraag: wie is verantwoordelijk en is die partij solvabel?

Het mechanisme is dat informatie over eigendom en governance belangenconflicten, transacties met verbonden partijen en financiële kwetsbaarheid aan het licht brengt die anders onzichtbaar zouden blijven in een uitsluitend operationeel gesprek. Jaarrekeningen, accountantsverklaringen en organogrammen vormen het gebruikelijke ondersteunende bewijs.

Een due-diligence-vragenlijst is een uitgebreide vragenlijst waarmee een potentiële investeringsmogelijkheid, zakelijke samenwerking of overnamekandidaat wordt beoordeeld door gedetailleerde informatie te verzamelen over de bedrijfsvoering, financiële prestaties en naleving van wet- en regelgeving. Daarom staat dit onderdeel zelden los van de compliance-onderdelen die erop volgen.

Compliance en naleving van regelgeving

Compliance-secties vragen of de organisatie voldoet aan de wet- en regelgeving en branchenormen die relevant zijn voor de jurisdictie en sector van de afzender. Dit maakt duidelijk of de wederpartij rechtmatig en betrouwbaar kan opereren binnen de voorwaarden van de beoogde relatie.

Het mechanisme berust op bewijsstukken: vergunningen, documenten die bij toezichthouders zijn ingediend, resultaten van sanctiescreenings, een overzicht van rechtszaken en beleidsverklaringen. Een due-diligence-vragenlijst is een formeel document met vragen om vast te stellen of een derde partij voldoet aan de industrienormen en de wet- en regelgeving die relevant zijn voor het beoordelende bedrijf. Antwoorden zonder ondersteunende documenten worden doorgaans als onvolledig beschouwd.

Een praktische beperking is dat rechtsgebieden niet altijd op elkaar aansluiten: een compliancekader dat voor één regelgevingsomgeving is ontwikkeld, sluit mogelijk niet goed aan bij een wederpartij die in meerdere rechtsgebieden actief is. Daarom bevatten grensoverschrijdende DDQ's vaak aanvullende, marktspecifieke vragen.

Informatiebeveiliging en operationele weerbaarheid

Vragen over beveiliging en weerbaarheid onderzoeken hoe de tegenpartij gegevens beschermt, incidenten beheert en de continuïteit van de dienstverlening waarborgt. Inmiddels vormen ze een groot deel van de meeste DDQ's voor leveranciers. Deze sectie maakt duidelijk of een operationele verstoring bij de tegenpartij ook tot een verstoring bij de afzender leidt.

Het mechanisme omvat certificeringen, samenvattingen van penetratietests, registraties van incidentrespons en bedrijfscontinuïteitsplannen die naast beschrijvende antwoorden als bewijs worden ingediend. Een due-diligence-vragenlijst in leverancierscontext vraagt een potentiële leverancier om vóór de onboarding de beveiligingsmaatregelen, certificeringen, incidenthistorie, relaties met subverwerkers en werkwijzen voor gegevensverwerking te beschrijven.

Omdat dit domein snel verandert, worden beveiligingssecties bij een actualisatie het vaakst als verouderd gemarkeerd. Ontvangers moeten tussen DDQ-cycli doorgaans het bewijsmateriaal bijwerken in plaats van eerdere antwoorden simpelweg opnieuw in te dienen.

DDQ versus aanverwante instrumenten

DDQ versus RFP

Een DDQ verifieert hoe een organisatie werkt; een RFP vraagt hoe zij voorstelt een bepaald probleem op te lossen. De twee instrumenten worden in verschillende fasen van een relatie gebruikt en worden vaak met elkaar verward, omdat beide bestaan uit lange, gestructureerde reeksen vragen.

Een RFP wordt doorgaans vroeg in de aankoopcyclus uitgegeven om de oplossingen, prijzen en aanpak van concurrerende leveranciers te vergelijken. Een DDQ richt zich op risico en compliance en wordt uitgegeven zodra een leverancier, fonds of overnamedoelwit op de shortlist staat. Het doel is om aan de hand van feitelijke antwoorden met audittrail de basiscontroles, de operationele gereedheid en de naleving van de regelgeving te verifiëren, in plaats van met overtuigende offertes.

Het praktische gevolg is dat teams die beide beantwoorden een andere benadering nodig hebben. RFP-antwoorden kunnen de beoogde aanpak beschrijven. DDQ-antwoorden moeten de actuele,met bewijs onderbouwde situatie weergeven. WiOmdateide hetzelfde behandelenkrkrijgenDQ-antwoorden die eerder als marketing dan als bewijs overkomen.

DDQ versus security questionnaires voor één domein

Een DDQ is breder dan een security questionnaire en bestrijkt de hele organisatie in plaats van slechts één beheersingsdomein. Dit onderscheid is belangrijk, omdat een ontvanger die alleen bewijsmateriaal voor informatiebeveiliging heeft opgebouwd, nog steeds hiaten zal hebben wanneer er een volledige DDQ binnenkomt.

Security questionnaires, zoals die op basis van frameworks als SIG of CAIQ-formaten, richten zich specifiek op technische en organisatorische beveiligingsmaatregelen. Een DDQ bevat doorgaans naast een beveiligingssectie ook secties over eigendom, financiën, juridische zaken en governance. Daarmee is het een instrument op bedrijfsniveau en niet voor één specifiek controledomein.

Organisaties die hun bewijsbibliotheek voor security questionnaires voldoende achten voor DDQ-antwoorden, ontdekken vaak halverwege het proces dat de financiële en governancesecties een volledig afzonderlijke bewijsketen vereisen die zij nog niet hebben gecentraliseerd.

Gestandaardiseerde DDQ-templates

Door brancheverenigingen gepubliceerde templates

Verschillende brancheorganisaties publiceren gestandaardiseerde DDQ-templates, zodat beleggers consistente vragen kunnen stellen en managers één herbruikbare set antwoorden kunnen opstellen. Volgens AIMA hielpen door brancheorganisaties gepubliceerde DDQ's beleggers bij het beoordelen van mogelijke fondsbeleggingen en fondsmanagers bij het kiezen van dienstverleners, bestuurders en bestuursorganen voor die fondsen.

Het mechanisme berust op efficiëntie op netwerkniveau: zodra een template breed wordt gebruikt, kan een manager een groot deel van de respons hergebruiken voor meerdere relaties met investeerders en alleen bijwerken wat is veranderd. Dit vermindert dubbel werk aan beide kanten van de uitwisseling.

Een beperking is dat gestandaardiseerde templates veelvoorkomende onderwerpen goed afdekken, maar zelden alle specifieke vervolgvragen wegnemen. Dit geldt vooral wanneer het mandaat, de jurisdictie of de risicobereidheid van een investeerder buiten het standaardbereik van de template valt.

Afstemming op de fondsstructuur

Gestandaardiseerde DDQ's worden steeds vaker afgestemd op specifieke fondsstructuren in plaats van als één algemeen formulier te worden uitgegeven. Het raamwerk van INREV voor niet-beursgenoteerd vastgoed biedt drie op maat gemaakte questionnaires: één voor niet-beursgenoteerde vastgoedvehikels, één voor fund-of-funds- en multimanagerstructuren en één voor vastgoedschuldvehikels. Zo sluit het aan bij de behoeften van verschillende fondsstructuren, met behoud van een hoog controleniveau.

Deze afstemming weerspiegelt dat schuld- en aandelenvehikels verschillende risicofactoren hebben. Eén vragenlijst zou daardoor wezenlijke vragen weglaten of respondenten dwingen irrelevante vragen te beantwoorden. De DDQ van INREV voor niet-beursgenoteerd vastgoed helpt beleggers en adviseurs inzicht te krijgen in de structuur, strategie en bedrijfsvoering van een fondsbeheerder, evenals in de strategie, risicoprocessen en voorwaarden van een specifiek vehikel.

Voor respondenten betekent dit dat een fondsbeheerder met meerdere typen beleggingsvehikels niet kan volstaan met één ingevulde DDQ. Elke structuur vereist doorgaans een eigen versie op maat, ook als veel van het onderliggende bewijsmateriaal overlapt.

Een DDQ beantwoorden

Praktijken voor bewijsvoering en documentatie

Een effectief DDQ-antwoord vereist dat u bij elk antwoord actueel, verifieerbaar bewijs voegt, in plaats van alleen op een toelichting te vertrouwen. Juist deze werkwijze maakt meestal het verschil tussen een response die de beoordeling vlot doorloopt en een response die vervolgvragen oproept.

Gespecialiseerde richtlijnen voor het beantwoorden van DDQ's benadrukken dat u het hele document leest voordat u antwoordt, onderdelen op de eerste dag toewijst aan de verantwoordelijken, antwoorden baseert op actuele documentatie in plaats van eerdere indieningen en bij elk antwoord bewijs toevoegt. Deskundige richtlijnen voor het opbouwen van DDQ-responsecapaciteit benadrukken daarnaast dat u bewijs centraliseert in een beveiligde repository met versiebeheer en beheersmaatregelen, en dat u dit bewijs rechtstreeks koppelt.

Een concreet gevolg: een securitysectie die wordt beantwoord op basis van verouderd of verlopen beleid geldt als een onjuist of misleidend antwoord en niet als een kleine omissie, omdat DDQ-bewijs de actuele situatie moet weerspiegelen.

Periodieke actualisering en doorlopende monitoring

Een ingevulde DDQ is zelden een eenmalig document. De meeste institutionele risicoprogramma's en leveranciersrisicoprogramma's vereisen periodieke actualisering, zodat het due-diligence-dossier van de afzender actueel blijft wanneer de tegenpartij verandert.

Geavanceerde DDQ-bewijsbibliotheken zijn gebaseerd op principes zoals onveranderlijkheid en versiebeheer. Elk document, elke schermafbeelding en elk beleidsstuk hebben een duidelijke versiegeschiedenis. Updates worden gearchiveerd in plaats van verwijderd. Zo ontstaat een audittrail die de status van de compliance door de tijd heen laat zien. Hierdoor kan een verzender precies nagaan wat een tegenpartij bij elke actualisatie heeft verklaard en niet alleen wat zij nu verklaart.

Voor ontvangers heeft dit operationele gevolgen: zonder een bijgehouden bewijsbibliotheek begint de beantwoording bij elke actualisatieronde feitelijk opnieuw. Juist die last moeten versiebeheerde, centraal beheerde bewijsregisters wegnemen.