Niezależny, oparty na dowodach techniczny przegląd zewnętrznego dostawcy: postawa w zakresie cyberbezpieczeństwa, bezpieczeństwo aplikacji, hosting i operacje, model danych i prywatność, dopasowanie regulacyjne, ciągłość finansowa oraz dokumentacja kontraktowa. Otrzymujesz uszeregowany rejestr ustaleń, ocenę dopasowania do Twojego przypadku użycia, plan naprawczy oraz pakiet gotowy do przedstawienia MLRO, DPO i audytorowi zewnętrznemu. TrustChange jest partnerem inżynierskim, a nie kancelarią prawną ani jednostką certyfikującą — oceniamy dowody i odnotowujemy, co jest obecne, brakujące lub sporne.

Audyt certyfikujący (SOC 2, ISO 27001, PCI DSS) sprawdza, czy dostawca spełnił określony standard w określonym dniu, w zakresie ustalonym przez dostawcę wspólnie z audytorem. Ankieta bezpieczeństwa to samoocena. Due diligence dostawcy IT od TrustChange sytuuje się pomiędzy nimi i wykracza poza oba te podejścia: jest niezależne, oparte na dowodach, dopasowane do Twojego przypadku użycia i dostarczane w formie, którą Twój weryfikator może rzeczywiście przywołać. Istniejące certyfikacje stanowią materiał dowodowy — nie zastępują przeglądu.

Dostawców KYC/KYB i skriningu sankcyjnego, partnerów PSP i acquiringowych, dostawców custody i MPC, dostawców on/off-ramp, oprogramowanie SaaS do księgowania i rejestrów (ledger), źródła danych rynkowych, dostawców chmury i hostingu, narzędzia deweloperskie i dostawców obserwowalności, a w przypadku podmiotów regulowanych — każdego dostawcę mającego dostęp do środków pieniężnych, danych klientów lub materiału kluczowego. Ośmiowarstwowy zakres opisany na tej stronie dostosowujemy do klasy dostawcy podczas rozpoczęcia współpracy.

Większość przeglądów zamyka się w trzy do czterech tygodni od początku do końca, w zależności od tempa, w jakim dostawca przekazuje pakiet dowodowy. Skoncentrowane przeglądy jednowymiarowe (na przykład ocena wyłącznie cyberbezpieczeństwa dla małego dostawcy SaaS) mogą zakończyć się w ciągu dwóch tygodni. TrustChange ustala harmonogram terminów z dostawcą już na starcie, aby nic nie ślizgało się po naszej stronie; opóźnienia po stronie dostawcy są odnotowywane jako luki w rejestrze.

TrustChange jest partnerem inżynierskim, a nie kancelarią prawną — to Wasz zespół ds. zgodności i MLRO ustalają politykę i potwierdzają stanowisko prawne. My zestawiamy dowody z techniczną stroną tych regulacji: dla RODO — mapę danych i listę podprocesorów w odniesieniu do postawy DPA/SCC; dla AML — częstotliwość skriningu, wersje list i obsługę Travel Rule; dla PSD2 — SCA i przepływy zgody; dla MiCA — zapisy i mechanizmy kontrolne tam, gdzie dostawca ma styczność z aktywami cyfrowymi. Nie formułujemy w imieniu dostawcy żadnych twierdzeń dotyczących licencji czy statusu autoryzacji.

Opcjonalnie tak. Jeśli dostawca otrzymuje status „warunkowo z naprawą”, możemy przeprowadzić dalszy proces naprawczy: śledzić poprawki dostawcy, ponownie weryfikować dowody i ponownie wydawać pakiet dla weryfikatora po zamknięciu poszczególnych punktów. Jeśli ustalenie dotyczy Waszej strony (wzmocnienie integracji, zarządzanie kluczami, monitoring), dedykowany zespół TrustChange lub wsparcie kadrowe może przejąć ten temat w ramach szerszej praktyki inżynierskiej. Jeśli wynik jest negatywny, pomagamy określić zakres dla dostawców zastępczych.