Перевірка постачальника: 4 види, ризики та порядок дій

Погодження нового постачальника може здаватися простою процедурою: отримати витяг, перевірити реквізити й додати компанію до внутрішнього реєстру. Це підтвердить, що юридична особа або ФОП існує. Але не покаже, хто насправді контролює бізнес, чи здатен він виконати контракт і які ризики створює для замовника.

Підряднику з обслуговування офісу, хмарному провайдеру й транскордонному дистриб’ютору потрібні різні перевірки. Вони мають різний доступ, регуляторний профіль і вплив на операції. Тому обсяг перевірки визначають за ризиком, а суттєві зміни запускають нову перевірку.

Ключові висновки

• Перевірка постачальника зіставляє його реєстраційні дані, власність, ліцензії, можливості та платіжні реквізити з незалежними джерелами.
• Процес має чотири пов’язані рівні: документи, історія та зв’язки, compliance, операції й платежі.
• Глибина перевірки залежить від суми контракту, доступу, юрисдикції, галузі, замінності постачальника та наслідків його зриву.
• Результат первинного погодження — це висновок на конкретну дату, а не постійна гарантія. Постачальників із високим ризиком перевіряють планово й після суттєвих подій.
• Збіг документів із реєстром не виключає прихованого контролю, конфлікту інтересів або санкційного ризику.

Чому одна перевірка не підходить усім постачальникам

Універсальний чекліст затримує простих постачальників, але може пропустити суттєві ризики компаній, які отримують доступ до персональних даних, критичних систем, виробничих майданчиків або значних платежів.

Обсяг перевірки має відповідати ролі контрагента. Для локального постачальника з невеликим контрактом може вистачити перевірки юридичного статусу, повноважень і реквізитів. Критичний технологічний партнер потребує аналізу власності, санкцій, фінансової стійкості, кіберзахисту та субпідрядників. Це частина ширшого процесу due diligence, мета якого — оцінити ризик рішення, а не зібрати однаковий комплект файлів від кожного.

Що таке перевірка постачальника

Перевірка постачальника зіставляє заявлені ним відомості з надійними й, де можливо, незалежними джерелами. Вона допомагає встановити, чи існує контрагент, чи мають його представники потрібні повноваження, чи збігаються реєстраційні й банківські дані та чи виконує компанія вимоги, пов’язані з договором.

Результат дає підстави погодити або відхилити постачальника чи поглибити перевірку. Він не гарантує, що аналітики знайдуть кожну проблему. Питання про приховану власність, санкції, суди, репутацію або пов’язаних осіб можуть потребувати ширшої перевірки третіх сторін.

Чотири види перевірки постачальника

1. Перевірка документів і реквізитів

Спочатку заявлені дані звіряють з офіційними або авторитетними джерелами. Для українського постачальника перевірка залежно від його ролі може охоплювати:

• найменування, код ЄДРПОУ або дані ФОП і поточний статус у ЄДР;
• керівника, підписантів та обмеження їхніх повноважень;
• податковий статус і реєстрацію платником ПДВ або єдиного податку;
• місцезнаходження за даними ЄДР, ліцензії, дозволи й професійні сертифікати;
• страхування, транспортні засоби або обладнання;
• банківські реквізити та документи, що підтверджують рахунок.

Назви, коди, дати й адреси мають узгоджуватися в усьому комплекті. Реєстри ДПС допомагають перевірити окремі статуси, але чинна реєстрація платником ПДВ сама по собі не доводить податкової дисципліни. Сервіс НБУ перевіряє структуру IBAN і визначає надавача платіжних послуг, але не підтверджує власника рахунку. Зміну реквізитів перевіряють через уже підтверджений канал.

Запис у ЄДР — лише перший фільтр. Компанія може не мати реальної операційної діяльності, діяти в інтересах прихованого власника або використовувати номінальних осіб. Тому аналітики перевіряють ознаки компанії-оболонки, а не сприймають державну реєстрацію як доказ реальної господарської діяльності.

2. Перевірка компанії, власників і ділової історії

Цей рівень охоплює корпоративну, правову, фінансову й публічну історію постачальника. Ризик-орієнтована перевірка може включати керівників, засновників і кінцевих бенефіціарних власників (КБВ); попередні назви; відомості про припинення та провадження у справах про банкрутство; судові справи; регуляторні рішення; фінансову звітність; закупівельну історію в Prozorro; негативні згадки й докази виконаних проєктів.

Корпоративний due diligence показує, чи підтверджують структура власності й операційна історія заяви постачальника. Репутаційний due diligence додає контекст щодо публічних конфліктів, прихованих зв’язків і поведінки, якої немає у формальних реєстрах.

Такий аналіз особливо важливий, якщо зрив постачання зупинить виробництво, зачепить клієнтів або затримає стратегічний проєкт. Слабкі фінансові показники не завжди означають відмову, але мають впливати на умови договору, ліміти концентрації, резервний план і рівень погодження.

3. Compliance-перевірка

Compliance-перевірка визначає, які правові, регуляторні та договірні вимоги стосуються ролі постачальника і чи є докази їх виконання. Вона може охоплювати санкції, власність і контроль, антикорупційні політики, галузеві ліцензії, податковий статус, екологічні та трудові вимоги, захист персональних даних і потрібні сертифікати.

В Україні недостатньо перевірити лише назву в Державному реєстрі санкцій. Треба звірити ідентифікатори, рішення, вид і строк обмеження, а також дослідити власність і фактичний контроль. Закон України «Про санкції» охоплює активи, якими підсанкційна особа може прямо або опосередковано розпоряджатися. Проте сам зв’язок не дозволяє без окремого аналізу назвати компанію підсанкційною.

Для транскордонної угоди окремо визначають режими, пов’язані зі сторонами, банками, валютою, товаром і маршрутом постачання. Податкова адреса теж має значення: Закон №1207-VII встановлює спеціальні наслідки для господарської діяльності та правочинів із суб’єктом, адреса якого залишається на тимчасово окупованій території.

Не всі постачальники підпадають під однакові правила. KYC і compliance due diligence допомагає пов’язати ідентифікатори, структуру власності й регуляторні ризики, не перетворюючи збіг у списку на необґрунтований висновок.

4. Перевірка операцій і платежів

Цей рівень працює під час погодження рахунку та оплати. Команда перевіряє, чи відповідає операція погодженому профілю постачальника та фактичному постачанню. Контролі можуть охоплювати зіставлення договору або замовлення, накладної чи акта і рахунку; пошук дублів; перевірку суми та податкових реквізитів; ліміти погодження; повторну перевірку банківського рахунку після зміни реквізитів.

Якщо застосовується податкова накладна, факт її реєстрації варто перевірити через дозволені системи ДПС. Але реєстрація не доводить реальності постачання без інших документів і доказів.

Розподіліть повноваження. Людина, яка змінює картку постачальника, не повинна одноосібно погоджувати платіж. Терміновий запит, новий IBAN, інший email-домен або сума поза договором потребують незалежного підтвердження до переказу коштів.

Коли застосовувати кожен вид перевірки

Під час первинного погодження документи й реквізити формують базовий профіль. Перевірки історії та compliance додають з урахуванням доступу, суми контракту, юрисдикції, регульованої діяльності, субпідрядників і наслідків зриву.

Плановий перегляд потрібен, бо строк дії дозволів закінчується, фінансовий стан може погіршитися, а власність і санкційний ризик — змінитися. Позапланову перевірку запускають після зміни власника або керівника, негативної публікації, кіберінциденту, рішення регулятора, зміни реквізитів чи незрозумілого падіння якості.

Рахунки й платежі перевіряють перед оплатою. Незвичні або високоризикові операції потребують додаткового погодження й незалежного підтвердження. Критичним і транскордонним постачальникам може знадобитися постійний моніторинг.

Галузеві пріоритети

Різні сектори мають різні точки відмови:

• Фінансові установи перевіряють аутсорсингових партнерів, доступ до даних клієнтів, контроль дій агентів і регуляторні дозволи.
• Виробничі й логістичні компанії оцінюють потужності, транспорт, страхування, майданчики та залежність від субпідрядників.
• Фармацевтичні й медичні компанії перевіряють ліцензії, стандарти якості, умови зберігання й простежуваність продукції.
• Замовники IT та SaaS оцінюють доступ до даних, місця обробки, субпроцесорів, історію інцидентів і докази захисту. Сертифікат не замінює управління кіберризиками.
• Оборонні, енергетичні та інфраструктурні компанії перевіряють дозволи, безпекові ризики, походження компонентів, субпідрядників, зв’язки з російськими й білоруськими суб’єктами та діяльність на тимчасово окупованих територіях. Чутливі дані про виробництво й постачання не виносять у відкриті звіти без окремої безпекової оцінки.

Фінальний чекліст має враховувати закон, договір і наслідки зриву конкретного постачальника.

Зареєстрований постачальник теж може приховувати справжній ризик

Рутинна перевірка має перейти в розслідування, якщо документи й реєстраційний статус не пояснюють мережу навколо компанії.

Аналітики встановлюють КБВ і фактичний контроль, пов’язані компанії, спільні адреси, домени, телефони та платіжні реквізити. Окремо перевіряють зв’язки з працівниками замовника, іншими учасниками тендера, підсанкційними особами й незаявленими субпідрядниками. Зміна власника або рахунку потребує більшої уваги, якщо збігається з новим контрактом чи санкційною подією.

Для кожного суттєвого зв’язку фіксують рівень упевненості. Спільна адреса — це сигнал, а не доказ єдиного контролю. У звіті мають бути джерело, дата, ідентифікатори, що збігаються, суперечності й обмеження. Якщо структуру власності неможливо встановити, замовник має отримати опис невизначеності, а не хибний висновок про відсутність ризиків.

Типові складнощі

Дані про постачальника часто розкидані між поштою, PDF, закупівельною системою й таблицями. Через це виникають дублікати, застарілі документи та непослідовні погодження. Державні реєстри також різняться за повнотою й доступністю. Під час воєнного стану частина відомостей може бути обмежена, тому відсутність запису у відкритому інтерфейсі не завжди означає відсутність самого запису.

Автоматизація скорочує повторювану роботу, але не усуває хибних збігів і не пояснює складну структуру власності. Команді потрібні правила перегляду, аналітичне судження й аудиторський слід: що, коли та в якому джерелі перевірили.

Як побудувати перевірку постачальників

• Розподіліть постачальників за початковим ризиком. Враховуйте критичність, суму, доступ до систем і даних, географію, сектор та складність заміни.
• Відокремлюйте заяву від доказу. Перевіряйте суттєві факти через офіційні реєстри, надійні локальні джерела та OSINT, а не лише документи контрагента.
• Фіксуйте суперечності. За відсутньою звітністю, прогалиною у власності чи негативною згадкою закріпіть аналітика, строк і порядок ескалації.
• Зберігайте докази й рішення централізовано. Додавайте посилання, дату отримання, погодження та причини винятків.
• Повторюйте перевірку після суттєвих змін. Власники, керівники, ліцензії, санкційний статус, рахунки й фінансовий стан змінюються після первинного погодження.
• Закріплюйте контролі в договорі. Залежно від ризику передбачте повідомлення про зміни та інциденти, вимоги до захисту даних, аудит, обмеження субпідряду й умови припинення співпраці.
• Збирайте лише потрібні дані та визначте законну мету їх обробки. Відкритість джерела не скасовує вимог Закону України «Про захист персональних даних».

Що має дати перевірка

Перевірка постачальника має бути багаторівневою й прив’язаною до рішення. Документи формують базовий профіль, аналіз історії показує реальну діяльність, compliance визначає обмеження, а платіжні контролі захищають переказ коштів.

Глибина зростає, якщо постачальник критичний, транскордонний, його складно замінити або він має доступ до чутливих систем і даних. Перевірка не закінчується після первинного погодження. Якщо питання щодо власності, санкційного ризику або мережі постачальника потребують незалежного розслідування, зверніться до Molfar Intelligence.

Матеріал пояснює підхід до перевірки й не замінює юридичної консультації щодо конкретного договору або регульованої діяльності.