Hur ser due diligence-processen ut?
Det finns ingen universell standard för exakt hur due diligence ska genomföras. Men de organisationer som fått arbetet att fungera rör sig genom samma sex steg, och stegen bygger på varandra.
1. Kartläggning och verifiering
Först måste ni veta vilka leverantörer ni har, och att basinformationen om dem stämmer. Det steget underskattas ofta. Öppna ett leverantörsregister och du hittar dubbletter, vilande relationer och bolag som ingen längre kommer ihåg vem som äger. Uppgifterna verifieras mot officiella register: ägarstruktur, ekonomisk status, att verksamheten faktiskt är aktiv. Har ni långa leverantörsled behöver kontrollen nå ända ut till underleverantörerna där det är relevant. Vi går igenom det här steget i detalj i Så kartlägger du den globala leverantörskedjan.
2. Riskbaserad prioritering
När leverantörerna är kartlagda delar ni in dem efter risk. Land, bransch, kontraktsvärde, hur kritisk leverantören är, vilken data den kommer åt. Indelningen avgör hur djupt ni går i stegen som följer. En leverantör i en konfliktdrabbad region ska inte granskas som den som säljer kontorspapper, och en IKT-tredjepart med nyckel till era system inte som städbolaget. Utan prioritering blir arbetet antingen ytligt eller orimligt dyrt.
3. Screening
Screening är automatiska kontroller mot sanktionslistor, varningslistor och PEP-listor (politiskt utsatta personer), ofta med bevakning av negativ press som komplement. Det är ett löpande moment, inte en engångskontroll. Listor uppdateras, ägare byts ut. En leverantör som var ren i fjol kan vara flaggad i dag.
4. Fördjupad utvärdering
Leverantörer som hamnat i högriskgruppen granskar ni närmare. Här kommer självskattningsformulären (SAQ) in, tillsammans med policyer, certifikat, intervjuer och ibland platsbesök eller revision av tredje part. På hållbarhetssidan handlar frågorna om mänskliga rättigheter, arbetsförhållanden, miljö och affärsetik. På cybersidan om informationssäkerhet, dataskydd och kontinuitet. Under DORA tillkommer dessutom ett formellt register över de avtal ni har med IKT-tredjepartsleverantörer.
5. Åtgärd och avvikelsehantering
Här går insamling över i handling. En avvikelse – en leverantör som inte når kraven, en risk som slagit in, ett SAQ-svar som blottar ett glapp – kräver dialog, en åtgärdsplan, eskalering och i sista hand avveckling. Åtgärderna ska vara dokumenterade, tidsatta och uppföljda. Det är här många fastnar. Underlaget är insamlat, men ingen tar avvikelserna vidare. I den övergången avgörs om arbetet ger effekt eller rinner ut i sanden.
6. Uppföljning och rapportering
Sista steget tar aldrig slut. Självskattningarna ska förnyas i tid, åtgärderna ska bita, läget ska gå att rapportera uppåt och underlaget ska finnas när revisionen knackar på. Det är också här arbetet syns utåt: mot styrelsen, mot kunder som ställer krav, mot tillsynsmyndigheter under CSDDD, NIS2 och liknande. Ett moget arbete kan när som helst visa hela kedjan, från risk till SAQ till åtgärd till uppföljning, utan att någon sätter sig och pusslar ihop den för hand.
De sex stegen är ingen rak bana. De löper i cykler, i takt med att relationen utvecklas, och parallellt på olika leverantörer i olika faser. Det är just det parallella som gör Excel omöjligt att lita på så snart ni har mer än en handfull aktiva relationer.
Var i inköpsprocessen sker due diligence?
Due diligence är inte ett projekt vid sidan av inköpsarbetet. Det är moment som ska ligga inbäddade i den inköpsprocess som redan finns. När det fungerar upplever inköparen det inte som ett extra arbete, utan som ett vanligt arbete med bättre underlag.
Före kontrakt: kvalificering
Här sker verifiering, screening och en första bedömning. För lågriskleverantörer räcker det ofta. För högriskleverantörer startar en fördjupad SAQ-omgång redan innan pennan möter avtalet. Det är också här arbetet ger mest, för en känd risk är alltid svårare att hantera hos en leverantör som redan är kontrakterad.
I kontraktet
I avtalet fästs kraven formellt: uppförandekod, rätt att revidera, krav på underleverantörer, bilagor för informationssäkerhet och IKT (de senare för DORA), skyldighet att anmäla incidenter och rätt att eskalera eller säga upp när efterlevnaden brister. Klausulerna är inte bara juristens bord. Förstår inte inköp vilka klausuler som svarar mot vilka risker blir avtalet lätt en pappersprodukt..
Under relationen: löpande uppföljning
När leverantören är på plats tar en uppföljningscykel vid: förnyade självskattningar, ny screening, eventuella platsbesök, statusuppdateringar. Risknivån styr takten. En kritisk leverantör kanske varje kvartal, en lågriskleverantör långt mer sällan. Det är nu ett systemstöd sparar mest tid. Påminnelserna går ut av sig själva, statusen hamnar där den hör hemma, och ingen behöver bära cyklerna i huvudet.
Vid avvikelse
Något inträffar: en incident hos en leverantör, en flagga i screeningen, ett SAQ-svar som inte går ihop. Då behöver inköp veta vad som händer härnäst. Eskaleringsväg, åtgärdsplan, deadline, uppföljning. Det är i det läget skillnaden mellan ett dokumenterat och ett fungerande arbete blir synlig.
Vid omförhandling och förnyelse
När avtalet ska förnyas blir historiken beslutsunderlag. Hur skötte leverantören uppföljningarna? Vilka avvikelser fanns, och hur togs de om hand? Har risken gått upp eller ner? För många är det först här due diligence-underlaget börjar driva inköpsbesluten i stället för att bara dokumentera dem.
Den gemensamma nämnaren i alla faser är att inköp är navet. Hållbarhet och säkerhet bidrar med kompetens och prioriteringar. Men det är inköp som äger relationen, kontraktet och eskaleringen.
Fyra vanliga utmaningar i due diligence-arbetet
De flesta arbetar redan med leverantörsbedömning. Frågan är bara hur. Vi ser fyra mönster återkomma hos de organisationer vi pratar med, oavsett bransch och oavsett mognad.
Volym utan prioritering
Hundratals eller tusentals leverantörer behandlas lika. Samma uppförandekod, samma formulär, samma takt i uppföljningen. Det ser strukturerat ut. Men det träffar inte den faktiska risken. Högriskleverantören i konfliktzonen hamnar i samma mall som kontorsleverantören i Sverige, och den kritiska underleverantören längre ut i kedjan syns inte alls.
Insamling istället för riskhantering
Att skicka ut självskattningar, samla in policyer och uppdatera CSR-rapporter är just insamling. Det skapar dokumentation, vilket är värdefullt vid revision. Men det minskar ingen risk. Risken minskar först när det ni samlat in leder till att åtgärder prioriteras, genomförs och följs upp. Många stannar vid första steget och kallar det due diligence.
Otydligt ägarskap mellan inköp, hållbarhet och säkerhet
ESG-frågorna landar hos hållbarhet. Cyberfrågorna hos IT eller informationssäkerhet. Själva relationen – kontraktet, dialogen, eskaleringen – ligger hos inköp. När ansvaret är spritt över tre funktioner äger ingen helheten. Kritiska frågor faller mellan stolarna, eller tas om hand för sent. Läs vår artikel om samarbete mellan inköp och hållbarhet för en fördjupning i hur ansvaret kan delas.
Reaktivt regelverksdrivet arbete
När ett nytt regelverk träder i kraft (CSRD, sedan CSDDD, EUDR, CBAM, NIS2, DORA) startar arbetet ofta om från noll. Resurserna går till att förstå det aktuella regelverket och bygga om verktyget för det, istället för att foga in kraven i ett befintligt arbetssätt. Organisationen bygger om strukturen istället för att använda den. Kostnaden för passivitet går djupare in på mönstret.
Det här är inte ett problem som löser sig med fler mallar eller fler personer. Det är ett strukturproblem. Och så länge strukturen saknas växer komplexiteten i leverantörsledet snabbare än kontrollen över det.
Riskbaserad prioritering: så hänger due diligence-arbetet ihop
Risk är inte ytterligare ett perspektiv vid sidan av compliance, hållbarhet och säkerhet. Det är den logik som binder ihop dem. Varför? För att risk är det enda perspektiv som tvingar fram en prioritering.
Compliance kan i värsta fall bli en oändlig lista med krav att bocka av. Hållbarhet kan reduceras till en uppförandekod. Cybersäkerhet kan bli en samling kontroller. Men utgår ni från risk – vilka leverantörer är mest kritiska, vilka risker de utsätter er för, hur sannolikt och allvarligt det är – då får varje aktivitet en koppling till verksamhetens faktiska situation.
För den som vill djupdyka i vad riskmognad innebär i praktiken har vi skrivit mer i vår artikel om risker i leverantörskedjan.
Konkret betyder det att:
- En självskattning blir intressant först när den är kopplad till en risk. Vad ska ni skydda er mot hos den här leverantören? När den frågan är besvarad blir insamlingen ett verktyg för att minska risk, inte ett mål i sig.
- En fördjupad granskning prioriteras efter kritikalitet och risk, inte efter vad som råkar vara enklast att granska. Tio granskningar på djupet slår hundra ytliga.
- Avvikelsehanteringen blir ett sätt att verifiera att de mest betydande riskerna är under kontroll, inte en separat administration vid sidan av relationen.
- ESG- och cyberrisker prioriteras tillsammans när de gäller samma leverantör. En kritisk leverantör är kritisk oavsett vad den exponerar er för.
Med risk som nav får ni också en gemensam måttstock. Ett språk som inköpschef, hållbarhetschef, CISO, jurist och VD förstår tillsammans. Samtalet flyttar från "vilka regelverk måste vi följa?" till "vilka risker accepterar vi i vår värdekedja, och vilka gör vi inte?".
Insamling räcker inte – det är åtgärden som skyddar er
Det är här de flest initiativ tappar fart, och det är värt att stanna upp vid. Mönstret är alltid detsamma. En organisation investerar i bra formulär, samlar in policyer från hundratals leverantörer, kategoriserar svaren och lägger dem i ett arkiv. Och där stannar arbetet.
Avvikelser noteras men följs inte upp. Högriskleverantörer flaggas men eskaleras inte. Kontroller schemaläggs men hinns aldrig med. Det är inte kunskap som saknas – de flesta vet precis vad de borde göra. Det är genomförandet som brister. Och det är där skillnaden syns mellan ett arbete som skyddar verksamheten och ett som bara visar att man försökte.
Due diligence blir till verkligt värde först när:
- Inköpschefen kan se status på alla leverantörsutvärderingar utan att ringa hållbarhetschefen eller CISO.
- Den ansvariga kategorichefen vet vilka risker som ligger på sina leverantörer och kan vidta åtgärder där relationen finns.
- Avvikelser eskaleras automatiskt när tröskelvärden överskrids, inte när någon råkar upptäcka dem i ett kalkylark.
- Ledningen får en samlad bild av riskläget i värdekedjan över både ESG och cyber, utan att någon behöver klippa ihop tre rapporter manuellt.
- Revisorn kan följa kedjan från risk till SAQ till åtgärd till uppföljning utan att exportera data ur fem system.
Det här är inte detaljer i ett verktyg. Det är skillnaden mellan ett due diligence-arbete som lever hos en enskild specialist och ett som blivit en del av hur värdekedjan styrs.
En del av det handlar om systemstöd. Minst lika mycket handlar det om att inköp, hållbarhet och säkerhet får en gemensam plats att arbeta från, där alla utgår från samma bedömning och samma uppföljning. Här går vi igenom hur det kan se ut i praktiken när ni skalar upp leverantörsgranskningen.
Tre mognadsnivåer för due diligence – var står ni?
Mognad i due diligence-arbetet handlar mer om vilken sorts arbete ni gör än om hur mycket. De flesta rör sig genom tre nivåer. Första steget till att komma vidare är att veta var man står.
Nivå 1: Reaktivt
Arbetet sker när någon flaggar något. En intressent hör av sig, en incident inträffar, ett regelverk kräver svar. Mellan tillfällena ligger arbetet i vila. Dokumentationen bor i Excel-ark och Word-mallar, oftast hos en eller två personer som "vet hur det funkar". Enskilda frågor går att svara på, men den samlade bilden saknas. Uppförandekoden finns och skickas ut – men vem som signerat den, och när, är oklart. De flesta börjar här. Det är också nivån där ett byte av nyckelperson, eller ett enda nytt krav, blottar hur skört underlaget är.
Nivå 2: Strukturerat
Nu finns en process, dokumenterad och förankrad. SAQ:er går ut systematiskt, screeningen rullar, uppförandekoden ligger i varje kontrakt. Men den täcker oftast bara det ena benet: ESG eller cyber, sällan båda i samma flöde. Ett systemstöd finns, men insamling och åtgärd är fortfarande skilda moment, och dokumentationen växer snabbare än riskreduktionen. Det är den vanligaste platsen för dem som tagit sig förbi nybörjarfasen. Det är också här tröttheten smyger sig på: "vi gör det här, men jag är inte säker på att det skyddar oss".
Nivå 3: Integrerat
Risken styr vad som görs, när och hur djupt. ESG och cyber hanteras i samma flöde för samma leverantör. Avvikelser eskaleras automatiskt och stängs först när åtgärden är dokumenterad. Inköp, hållbarhet och säkerhet arbetar i samma system med samma data. När styrelsen frågar hur risken ser ut i värdekedjan finns svaret på skärmen, ingen behöver ägna helgen åt att klippa ihop tre rapporter. Historiken används som underlag i inköpsbesluten: vid omförhandling, vid val av ny leverantör, vid uppföljning av en kategori. På den här nivån är arbetet inte längre en kostnad för efterlevnad. Det är ett underlag för bättre affärsbeslut.
Indikatorer per nivå
Sex indikatorer visar hur arbetet utvecklas från nivå 1 (reaktivt) via nivå 2 (strukturerat) till nivå 3 (integrerat):
- Verktyg: från Excel, Word och mejl, via systemstöd men ofta ett per perspektiv, till ett gemensamt arbetssätt över ESG och cyber.
- Prioritering: från ingen formell, baserad på vad som flaggas, via en kategorisering som finns men inte driver resursfördelningen, till en riskbaserad prioritering som driver alla aktiviteter.
- Insamling: från ad hoc, via en systematisk SAQ-cykel, till SAQ-cykler kopplade till risknivå och avtalsfas.
- Åtgärd: från reaktiv och ofta ej dokumenterad, via manuell och beroende av att någon driver den, till automatiserad eskalering med dokumenterad uppföljning.
- Rapportering: från manuell sammanställning vid behov, via periodiska rapporter som ofta är separata för ESG och cyber, till en realtidsbild samlad över alla risktyper.
- Ägarskap: från diffust, via tydligt per perspektiv men otydligt över skarvarna, till inköp som nav med övriga funktioner som specialiststöd.
De flesta ligger mellan nivå 1 och 2. Vägen till nivå 3 är sällan en stor reform. Snarare ett antal medvetna val: låta risk styra prioriteringen, hantera ESG- och cyberperspektivet i samma flöde, flytta fokus från insamling till åtgärd.
Från specialistfråga till inköpsvardag
Den största skillnaden mellan organisationer som upplever due diligence som en börda och de som gjort det till en fungerande del av verksamheten ligger inte i hur mycket de gör. Den ligger i var arbetet sker.
I det ena fallet är due diligence en specialistfråga. Hållbarhetschefen driver ESG-perspektivet, CISO driver cyberperspektivet, inköp lever i egen värld med sina kontrakt. Var och en producerar sina dokument och sina rapporter. Men den samlade bilden finns aldrig på ett ställe. När ledningen frågar efter den plockas den ihop manuellt, inför just det tillfället.
I det andra fallet är due diligence inbyggt i inköpsprocessen. Specialisterna sätter frågorna, tröskelvärdena och riskklassningen. Men arbetet sker där leverantörsrelationen finns. Ägarskapet är distribuerat, och just därför håller det över tid.
Det är det arbetssättet Stratsys Due Diligence-svit är byggd för. Inte som ett verktyg för specialisten ensam, utan som en plats där inköp, hållbarhet och säkerhet arbetar tillsammans.
Upptäck Due Diligence-sviten
Definitioner och nyckelbegrepp
Området är fullt av termer som betyder olika saker i olika sammanhang. Här är de vanligaste, så som de används på den här sidan.
Due diligence i värdekedjan – Det strukturerade arbetet med att identifiera, bedöma, åtgärda och följa upp risker hos leverantörer, partners och underleverantörer. Omfattar hållbarhets- och cyberperspektivet i ett gemensamt arbetssätt och kan sträcka sig genom flera led av leverantörskedjan. Drivs av regelverk som CSDDD, Åpenhetsloven, EUDR, CBAM, EU Forced Labour Regulation, NIS2 och DORA. Ska skiljas från informationssäkerhet och dataskydd, som avser organisationens eget interna säkerhetsarbete.
Verifiering – Kontroll av att leverantören existerar, är aktiv och att basinformation som ägarstruktur, ekonomisk status och verksamhetsbeskrivning stämmer. Det första steget i due diligence-processen.
Screening – Automatiserad kontroll mot sanktionslistor, varningslistor och PEP-listor (politiskt utsatta personer), ofta kompletterat med adverse media-bevakning. Sker löpande, inte vid ett tillfälle.
Riskbaserad prioritering – Kategorisering av leverantörer efter risknivå, baserat på land, bransch, kontraktsvärde, kritikalitet och åtkomst till känsliga tillgångar. Avgör djupet i den fortsatta utvärderingen.
SAQ (Self-Assessment Questionnaire) – Självskattningsformulär som leverantören fyller i, anpassat efter risknivå och perspektiv (ESG, cyber eller båda). Underlag för fördjupad utvärdering.
Tredjepartsrisk – Den övergripande termen för risker som uppstår genom organisationens beroende av externa parter. Omfattar både ESG- och cyberrisker och har blivit ett allt vanligare begrepp i takt med att leverantörsleden blivit mer komplexa.
Högriskleverantör – Leverantör som efter prioriteringssteget bedöms ligga över en tröskel som motiverar fördjupad utvärdering. Tröskeln definieras av varje organisation utifrån verksamhetens kontext, med typiska faktorer som land, bransch, kontraktsvärde och kritikalitet.
Avvikelse – Identifierat gap mellan vad som krävs av leverantören och vad som faktiskt levereras, i SAQ-svar, vid screening, vid revision eller i den löpande relationen. Triggar en åtgärdsplan.
Åtgärdsplan – Tidssatt, dokumenterad plan för hur en avvikelse ska hanteras, vilka steg leverantören ska ta och hur uppföljningen sker. En åtgärdsplan utan deadline är ett önskemål, inte en åtgärd.
Uppförandekod (supplier code of conduct) – De krav på beteende, etik och praxis som ni ställer på era leverantörer. Bör vara avtalsförankrad och kopplad till en uppföljningsmekanism för att få effekt.
IKT-tredjepart – DORA-term för leverantörer av informations- och kommunikationsteknologi som finansiella aktörer är beroende av. Omfattas av särskilda krav på kontraktsmässig hantering och löpande uppföljning.
Informationsregister DORA / DORA-100 – Det formella register över kontraktsmässiga arrangemang med IKT-tredjepartsleverantörer som DORA kräver av finansiella aktörer.
Webinars på ämnet
Under de senaste åren har vi samlat experter inom hållbarhet, inköp, lagstiftning och informationssäkerhet i en serie webinars om due diligence i värdekedjan. Nedan är de inspelade sessionerna i en ordning som följer hur många organisationer själva rör sig genom området, från grunderna och praktiken till strategi och fördjupning.
Praktik och grunderna
Strategi och fördjupning
- Due Diligence Insights — Livesänt digitalt event där hållbara värdekedjor står i centrum. Branschexperter delar insikter om hur ni navigerar värdekedjans nya hållbarhetskrav.
- Due Diligence Insights 2.0 (på engelska) — Strategiska insikter och praktiska exempel från några av Europas mest erfarna experter inom hållbarhet, inköp och lagstiftning.
- Sustainable Supply Chains in a Regulatory Jungle (på engelska) — Hur ni navigerar ett snabbt växande regelverkslandskap där CSRD, CS3D, EUDR och REACH samtidigt ska hanteras, i en tid när reglerna fortsätter att skrivas om.
- Due Diligence — From a product assessment perspective (på engelska) — Due diligence ur ett produktbedömningsperspektiv, med Anna Lindstedt. Användbart särskilt för EUDR- och CBAM-tunga branscher där spårbarheten måste sträcka sig till produktnivå.
Upptäck fler webinars inom due diligence
