Een due diligence checklist voor digitale risico’s structureert het onderzoek naar kritieke processen, IT, cybersecurity, privacy, data, technologie en leveranciers. De checklist koppelt elk antwoord aan bewijs en aan de mogelijke gevolgen voor waardering, garanties, closing en integratie. Daardoor blijft de scope risicogestuurd en kan het dealteam sneller bepalen waar verdieping nodig is. De checklist ondersteunt het onderzoek; professionele duiding bepaalt uiteindelijk welke bevindingen materieel zijn voor de transactie.
Bouw de checklist rond kritieke bedrijfsuitkomsten
Begin bij processen die omzet, dienstverlening of wettelijke verplichtingen ondersteunen. Welke systemen en leveranciers zijn daarvoor nodig? Welke uitval is acceptabel? Welke handmatige alternatieven bestaan? Deze vragen bepalen welke technische onderwerpen materieel zijn.
Koppel ieder antwoord aan bewijs
Een bevestiging dat MFA is geïmplementeerd zegt weinig zonder inzicht in dekking, uitzonderingen en beheeraccounts. De aanwezigheid van back-ups moet worden gekoppeld aan hersteltests, RTO en RPO. Zonder verdieping blijft onduidelijk of een maatregel het relevante risico werkelijk beperkt.
IAM, patchmanagement, logging en monitoring geven inzicht in preventie en detectie. Incidentregistratie, crisisprocedures en hersteltests laten zien of de target verstoringen kan opvangen. Governance maakt duidelijk wie risico’s accepteert en of verbetermaatregelen worden opgevolgd.
Neem contracten en overdraagbaarheid mee
Het dealteam moet weten welke diensten overdraagbaar zijn, welke afspraken gelden bij incidenten en of exit, ondersteuning en data-export uitvoerbaar zijn. Bij carve-outs kunnen gedeelde licenties of groepscontracten directe gevolgen hebben voor closing en integratie.
Gebruik antwoorden om vervolgonderzoek te sturen
Tegenstrijdige antwoorden, ontbrekende documenten of verouderde rapportages bepalen waar interviews en technische validatie nodig zijn. Voor ieder materieel punt moet duidelijk zijn wat het risico is, welk bewijs beschikbaar is en welke actie uitvoerbaar is.
Checklist: organisatie, architectuur en bedrijfscontinuïteit
Leg vast wie verantwoordelijk is voor IT, security, privacy, data en leveranciers. Beoordeel bezetting, sleutelpersonen, uitbesteding, besluitvorming en beschikbare managementinformatie. Hierdoor wordt zichtbaar of de target zelfstandig kan sturen en welke kennis bij overdracht behouden moet blijven.
Vraag om actuele overzichten van infrastructuur, applicaties, integraties, data en technische eigenaars. Koppel deze aan kritieke bedrijfsprocessen en toekomstplannen. Architectuur, lifecycle, capaciteit en onderhoudbaarheid bepalen mede of groei en integratie uitvoerbaar zijn.
Controleer continuïteitsplannen, back-updekking, isolatie, hersteltests, RTO en RPO. De meest kritieke systemen verdienen aantoonbaar herstelvermogen en duidelijke afspraken met interne teams en leveranciers.
Checklist: beveiliging, privacy en incidenten
Beoordeel identity governance, MFA, beheeraccounts, externe toegang en het proces voor instroom, functiewijziging en uitdiensttreding. Kijk vervolgens naar patching, kwetsbaarheden, veilige configuratie, segmentatie, endpoint- en cloudbeveiliging.
Logging, monitoring en incidentregistratie tonen in hoeverre de organisatie afwijkingen kan herkennen en opvolgen. Vraag naar recente incidenten, uitgevoerde evaluaties en maatregelen. Een rustige incidenthistorie krijgt meer waarde wanneer detectie en registratie aantoonbaar functioneren.
Voor privacy zijn datastromen, grondslagen, bewaartermijnen, verwerkers, internationale doorgiften en rechten van betrokkenen relevant. Verbind formele documenten aan technische toegang en feitelijke verwerking.
Checklist: leveranciers, contracten en dealvertaling
Classificeer leveranciers op kritikaliteit, toegang tot data, vervangbaarheid en impact van uitval. Controleer contractduur, prijsontwikkeling, servicelevels, incidentmelding, exit, data-export, licentieoverdracht en ondersteuning tijdens integratie of ontvlechting.
Leg per materiële bevinding het bewijs, de impact en de mogelijke behandeling vast. Denk aan herstel vóór closing, aanvullende garantie, vrijwaring, budgetcorrectie of actie voor de eerste honderd dagen. Benoem ook onzekerheden die door beperkte informatie blijven bestaan.
Een centraal bevindingenregister helpt om samenhang en opvolging te bewaken. Zo groeit de checklist uit tot een onderbouwd risicobeeld dat bestuurders, investeerders, juristen en integratieverantwoordelijken gezamenlijk kunnen gebruiken.
Pas de checklist aan de transactiestructuur aan
Bij volledige integratie ligt extra nadruk op standaardisatie, data-uitwisseling, identity, migratie en technische compatibiliteit. Een zelfstandige deelneming vraagt vooral om betrouwbare governance, rapportage, continuïteit en zelfstandig herstelvermogen. Bij een carve-out zijn ontvlechting, licenties, gedeelde mensen en tijdelijke diensten bepalend.
Ook sector en verdienmodel veranderen de prioriteiten. Een softwarebedrijf vraagt verdieping in productontwikkeling en broncode. Een zorg- of platformorganisatie verwerkt mogelijk gevoelige data. Een productieomgeving kan afhankelijk zijn van operationele technologie en specialistische leveranciers.
Door deze context vooraf vast te leggen blijft de checklist compact en relevant. Algemene vragen worden aangevuld met gerichte bewijsverzoeken die aansluiten op de waardecreatiestrategie en het verwachte integratiepad. De opdrachtgever kan zo diepgang en onderzoekstijd bewust verdelen.
Een checklist die het onderzoek stuurt
Een due diligence checklist ondersteunt besluitvorming wanneer zij risico’s verbindt aan bewijs en gevolgen. Professionele duiding bepaalt wat bevindingen betekenen voor waardering, contracten en integratie.
