供应链挑战近期成为新闻热点。值得关注的事件包括SolarWinds数据泄露事件、Colonial Pipeline勒索软件攻击以及全球芯片短缺。因此，提升供应链韧性、降低供应链风险已成为众多组织的核心关注点，从《财富》500强企业到中小型企业皆是如此。
风险管理人员面临艰巨任务。当今的供应链极其复杂，大型企业的供应链可能包含数千家第三方、第四方乃至第N方供应商。遗憾的是，许多企业连自身供应商的可视性都不足，更遑论供应商的供应商了。
本文着重阐述了供应链韧性的价值，并介绍了五项可采取的措施以降低遭遇灾难性供应链中断的风险。若您希望深入了解如何构建稳健的供应链风险管理体系，欢迎查阅我们关于供应链风险管理（SCRM）的专题文章。
为什么供应链韧性如此重要？
过去二十年间，随着全球化的推进，供应链变得极其复杂。因此，许多组织对其延伸供应链缺乏可视性，这可能造成极其严重的损害。例如，在Kaseya数据泄露事件中最终受影响的组织中，关键决策者可能根本不知道其管理服务提供商（MSP）正在使用Kaseya的解决方案。当数据泄露及其他安全事件发生时，此类问题可能导致代价高昂的延误。
此外，供应链攻击正日益频繁。攻击者如今将目标锁定在全球供应链的关键环节，例如天然气管道和肉类加工厂。他们发现，只要攻陷供应链中的关键瓶颈，就能轻松勒索巨额赎金。
当前，采取主动措施提升供应链韧性、防范供应商驱动的网络攻击、并了解组织面临的风险程度，其重要性已达到前所未有的高度。
构建弹性供应链的关键要素有哪些？
事实上，构建强大且具有韧性的供应链并非易事。您既要管理内部利益相关者（他们往往有指定的供应商），又要协调数百至数千家外部供应商——其中许多供应商可能给您的组织带来不可接受的风险。以下是您可采取的步骤，作为供应链韧性计划的一部分来识别并缓解风险：
第一步：集中管理并监控供应商
提升供应链透明度至关重要。许多企业因部门壁垒和管理混乱，完全不清楚自己与哪些供应商合作。因此，首要且最重要的步骤是将供应商数据集中管理，建立统一平台来追踪供应商信息、风险档案及合同条款。
集中管理供应商数据还能让您的团队快速高效地识别高风险供应商。供应商数据集中化为供应商关系建立了统一的参考点，助您近乎实时地轻松追踪合同状态、潜在中断风险以及固有风险或风险评估中的潜在变化。
除了监控供应商外，您还需实时监控供应链的运行状况。务必建立一套系统来追踪进出货物流动、合同履行情况及其他关键供应商数据。这有助于您及早发现可能导致后期中断的潜在问题。
第二步：识别关键供应商并绘制依赖关系图
供应链韧性很大程度上取决于识别对组织至关重要的供应商，并将其风险降至可接受的残余水平。不同行业的关键供应商各不相同。例如，制造企业面临原材料中断的风险远高于软件公司。 一家软件即服务公司可能完全依赖亚马逊云服务（AWS）或微软Azure等云服务提供商，同时也依赖外包招聘公司。在制定风险降低方案时，他们不仅应关注数据的故障转移站点和备份，还需确保建立人才招聘的备用流程。
在此阶段，绘制依赖关系图谱并了解供应商的供应商同样至关重要。通过绘制供应商间的数据流与依赖关系，可直观呈现第三方依赖状况。第三方风险管理平台通常内置便捷的依赖关系映射功能，但您也可通过第三方风险问卷收集依赖数据，并手动绘制供应链关系图。
其他风险可能更为集中。由于2020年中国因疫情导致的制造停工，汽车制造商目前正遭受严重的芯片短缺。这种情况已造成灾难性后果——即便少数国家出现少量新增病例，都可能引发芯片短缺，进而蔓延至整个经济体系，导致新车和二手车价格出现极端通胀。
识别企业不可或缺的供应商是构建供应链韧性的关键步骤。在明确核心供应商后，需深入挖掘并掌握其供应链状况。收集 这些情报既能预警可能影响第三方未来履约的问题，同时也有助于全面掌握供应链风险态势。
为提升对供应链及扩展供应链的可视性，建议根据业务关键性对供应商进行分层管理。分层管理首先需评估供应商的风险状况，再依据其对业务的重要性划分供应商层级。此举有助于确定应实施的控制措施，并将风险降低工作重点聚焦于最关键的供应商。
第三步：规避集中风险
构建多元化的供应链生态系统能够显著提升冗余度并降低风险。在引入新供应商时，需同时考量地域风险与第四方风险：是否存在多家供应商依赖同一高风险第三方供应商的情况？供应商是否过度集中于特定地理区域？
供应链生态系统的地理分布越广泛，其抗风险能力就越强。当多个关键供应商同时遭受自然灾害时，企业运营可能迅速陷入瘫痪。同样地，若任何第三方供应商仅依赖单一第四方供应商，那么任何单一灾难、财务事件或法律纠纷都可能对整个供应链造成严重威胁。
在引入新供应商时，值得考虑以下几点：
-
您的供应商对业务运营是否至关重要？
-
若供应商自身或其第三方业务中断，能否轻易更换供应商？
-
他们是否依赖与您合作的其他第三方相同的第三方供应商？
-
与他们签订合同会增强还是削弱您的供应链韧性？
-
您是否了解他们的第三方和第四方风险？
第四步：了解您的风险
在识别出关键供应商并掌握直接供应链状况后，您需要着手评估风险。运用供应商风险矩阵可快速识别对组织构成重大风险的供应商。该矩阵能让组织基于多种风险因素对供应商进行量化统一评分，从而大幅减少猜测和主观诠释。 风险依据发生概率和严重程度进行分类，使您能够将精力集中在既可能发生又影响重大的风险上。
采用供应商风险矩阵可在采购和选择过程中为供应商比较提供一致性。
在评估风险时，您还可以参照行业标准和框架进行核心评估。例如，若您正考虑引入将处理大量敏感数据的供应商，评估其是否符合NIST网络安全框架或ISO 27001标准便具有现实意义。
数据与安全也并非全部。您还需关注声誉风险与财务风险。若任何组织在其供应链中使用奴工，则将面临严重的道德与公关风险。其他ESG风险还包括环境破坏、贿赂、腐败以及其他与不良商业行为相关的风险，这些都将损害贵组织的声誉。
筛选供应商时，评估其财务风险至关重要，尤其当供应商存在高风险特征时。若贵组织高度依赖财务结构薄弱、经营状况不佳的供应商，一旦发生破产或运营中断，供应链将迅速陷入瘫痪。
快速提示：在 评估供应商以衡量供应链韧性时， 务必不仅考虑第三方供应商，还需关注第四方乃至第N方供应商。某供应商看似风险极低、稳如磐石，但若其自身依赖高风险的第三方供应商，则可能带来重大风险隐患。
第五步：重点关注高风险供应商
某些供应商的风险看似较低，但仍存在显著的固有风险。例如，若您与一家暖通空调公司合作，而该供应商定期接触您的内部IT环境，则风险可能相当大。尽管表面上暖通空调供应商的风险等级极低，但切勿忽视其访问权限及所提供服务带来的潜在风险。
暖通空调设备的安装延误或许不会危及贵机构，但若该供应商将恶意软件植入贵机构的信用卡处理系统，则将构成极高风险。通过严格管控供应商对IT设备的访问权限、实施最小权限原则，并在合同期满后确保供应商被有效移除并撤销其凭证，可有效降低此类风险。
其他高风险供应商则更为明显。以SaaS公司为例，云服务提供商可能决定一家成长中软件公司的成败。因此，软件公司采取严谨的风险缓解策略至关重要，例如实施异地备份，并为长期服务中断制定周密预案。在风险缓解过程中，目标应是通过实施缓解策略降低风险，将风险降至可接受的残余水平，从而提升供应链韧性。
额外步骤：实践持续改进
构建弹性供应链并非一劳永逸的过程。您需要持续提升对供应商风险的认知能力，同时不断完善风险缓解策略。在建立完整的第三方风险管理体系过程中，建议采用分层供应商风险评估问卷，并考虑引入第三方风险管理软件解决方案。
供应链韧性的最终思考
成功实施供应链韧性建设，使企业在影响整体市场的风险发生时能够超越竞争对手。投资于供应链风险管理体系具有多重效益。相较于未采取行动的企业，优先制定并实施供应链风险管理策略的企业更可能有效降低风险。
在供应链中实施风险管理策略的企业，相较于同行业其他企业具有明显的竞争优势。那些将专业第三方风险管理平台的力量融入风险缓解策略的组织，更能从中获益匪浅。
迈出构建更具韧性供应链的下一步
不知从何入手？了解我们 提升供应链韧性的解决方案，或观看点播网络研讨会：《 供应链风险：第四方及更远的未来》。想了解Prevalent的解决方案与服务是否适合贵组织？ 立即申请演示。
编者按 本文最初发表于 Prevalent.net. 2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
