供应商尽职调查策略与检查清单

什么是供应商尽职调查？

供应商尽职调查旨在评估与第三方供应商建立业务关系前的相关风险。该流程帮助组织识别潜在威胁，例如网络安全风险、财务不稳定或合规违规问题，并确保供应商符合组织的安保、运营及道德标准。

尽职调查流程通常包含合同审查、供应商完成的评估以及针对目标公司及其分包商的外部情报收集。所有这些最终都需结合贵组织的风险承受能力进行权衡考量。

供应商尽职调查为何至关重要？

随着企业日益依赖日益复杂多元的供应商、服务商及技术合作伙伴网络，第三方风险始终处于动态变化之中。当组织规模扩大、开拓新市场并采用新兴技术时，其供应商生态系统将变得更加错综复杂，每个合作伙伴都带来独特的风险。

这些风险会随时间推移而变化，原因包括关系变动以及外部因素如监管更新、经济变化或技术进步。曾经低风险的合作伙伴关系可能因第三方财务稳定性变化、网络安全问题或新监管规则而迅速转变为高风险。

对第三方实施有效的尽职调查，可助您在签署合同并投入大量资金与时间前识别风险。供应商尽职调查还能揭示供应链中的隐性风险，例如不良的ESG实践或集中度风险。成熟的尽职调查体系能透视第三方生态系统，识别不可接受的风险，并优先处理需整改的领域。

供应商尽职调查数据的常见来源：

• 供应商风险问卷：企业通常采用详尽的问卷调查来收集供应商内部流程信息，包括安全措施、合规政策及风险管理规程。这些问卷旨在评估第三方供应商的风险状况。
• 公共数据库与注册机构：政府数据库、企业注册信息及专业资质认证等公共记录，可提供关于供应商合法性、公司架构及合规历史的关键信息。
• 财务报告与信用核查：财务稳定性是重要的关注领域。机构会收集财务报表、实施信用核查或借助专业服务来评估第三方经济状况，包括偿付能力和信用资质等因素。
• 第三方审核与认证：符合行业标准的供应商通常持有第三方认证，例如ISO 27001或SOC 2。这些认证确保供应商遵守特定的安全与运营标准。
• 外部风险监控服务：外部服务通过追踪公开信息提供持续风险监控。它们针对可能影响供应商风险状况的安全漏洞、法律纠纷、监管制裁或负面媒体报道提供预警。
• 新闻与媒体报道：媒体和新闻机构能揭示供应商的活动及其相关争议。涉及环境、社会或法律问题的负面报道可能预示潜在声誉风险。 调查供应商或其关键人员是否涉及正在进行或过去的诉讼、监管违规行为，或消费者金融保护局（CFPB）等机构采取的行动。搜索可能预示声誉或运营风险的不利新闻报道或文章——尤其是涉及安全漏洞、不道德行为或监管审查的内容。
• 行业同行与客户推荐：企业可联系其他供应商客户，以了解该供应商的可靠性、服务表现及响应速度。客户推荐能提供宝贵的第一手资料，展现供应商过往的工作成果及客户关系维护情况。
• 制裁名单与观察名单：由美国财政部（OFAC）、欧盟或联合国等机构维护的制裁名单，有助于识别供应商相关的法律或监管风险。 观察名单及政治敏感人物（PEP）数据库同样能提供潜在合规与声誉风险信息。明智的做法还包括查阅执法机构名单，确认供应商组织内关键人员是否被列为PEP或出现在相关执法登记册中。
• 风险相关政策与流程：审查供应商在风险管理、数据安全及合规性方面的内部政策与流程。了解这些框架有助于您更清晰地掌握其在降低运营风险与声誉风险方面的策略。
• 投诉与负面评价：查验客户对供应商服务或行为的投诉、负面评价或公开不满，涵盖线上线下渠道。这些信息源可揭示正式报告可能遗漏的规律性问题。
• 暗网监控：暗网监控有助于识别与供应商相关的任何遭泄露的凭证或数据泄露事件。这一信息来源对于理解潜在的网络安全风险至关重要。
• 现场访问与运营审计：对于高风险供应商，开展现场审计或检查有助于验证其运营状况、物理安全措施及最佳实践遵循情况。此举可深入了解其流程管理与风险管控机制。
• 社交媒体与在线评论：分析社交媒体渠道和在线评论可洞察公众认知与客户满意度，从而揭示潜在的服务或声誉风险。此外，监控供应商在社交平台的动态有助于发现警示信号，例如公司代表发表的争议性言论或采取的争议性行动。

多数采购团队难以全面掌握供应商风险，因为许多签约前尽职调查方案仅提供内部评估或外部财务报告，却未能兼顾两者。这种片面视角可能形成风险漏洞，导致潜在暴露。应寻求将外部风险信息与定制化风险评估能力相结合的综合性供应商风险管理解决方案。通过整合从正式监管核查到公众舆论评估等多种方法，您将建立起识别政治风险与声誉风险的稳健流程，从而规避可能影响组织的潜在威胁。

供应商尽职调查最佳实践

供应商尽职调查可能耗资巨大、流程冗长且耗时费力，尤其对于那些因安全考量而高度依赖供应商处理数据的组织，以及拥有延伸供应链的企业而言。

我们建议您采用以下最佳实践，以提升第三方尽职调查流程的效率和成效。

• 定义风险偏好与范围：确立组织的风险承受能力，以确定哪些第三方需要进行全面尽职调查。重点关注业务关键性、数据敏感度及监管要求。
• 分级供应商管理提升效率：根据风险等级对供应商进行分类，实现资源的有效配置。此举有助于您依据服务重要性及敏感数据访问权限来确定尽职调查的优先级。并非所有供应商都需要同等程度的审查；分级机制使您能够定制管理策略，确保高风险或关键任务型供应商接受更全面的评估。
• 定制化与自动化风险问卷：根据供应商的层级、行业以及其访问数据或服务的敏感程度，使用量身定制的风险评估问卷。问卷应包含风险管理协议、事件响应计划、网络安全事件历史及治理实践等内容。尽可能实现问卷自动化，以简化入职流程并减轻行政负担。
• 评估供应商攻击面：分析每个供应商的外部攻击面，以发现其数字基础设施中潜在的安全漏洞。这项技术审查旨在识别可能被利用的漏洞，并帮助优先安排修复工作。
• 检查网络安全框架与合规性：评估供应商是否采用公认的网络安全框架（如ISO 27001、NIST或SOC 2），或是否符合GDPR、DORA或NIS 2等法规要求。此举可确保信息安全达到基准标准并持续保持合规状态。
• 持续监控，而非仅限于一次性尽职调查：风险会随时间演变。在供应商入驻后及整个合作周期内定期重新评估，以捕捉新出现的风险。无论是通过自动化警报、安全评级还是定期审查，持续监控都能在问题发生时及时发现，而非等待年度审查。
• 采用可重复的框架：围绕行业框架（如ISO 27001或NIST 800-53）构建评估体系，以确保一致性并提供明确的整改指导方针。
• 考虑第四方和第N方风险：不仅要关注直接供应商，还要评估其供应商带来的风险，即所谓的第四方或第N方风险。
• 内部记录风险接受情况：当业务伙伴在存在风险的情况下仍推进项目时，应记录相关挑战，并让内部审计团队参与其中，以确保更全面的风险管理。
• 建立稳固的供应商关系：通过保持定期沟通、将供应商视为合作伙伴并分享见解来促进协作，从而培养信任。供应链的强度取决于其最薄弱的环节，因此理解整个扩展生态系统至关重要。
• 必要时进行现场访问与运营审计：针对高风险或高影响力的供应商，需实施现场访问以评估其物理与技术安全控制措施，并验证其运营实践。此类审计能更深入地了解供应商如何日常保护您的数据及管理风险。

通过采用基于风险的分层方法，并结合自动化与持续监控，贵组织能够提升尽职调查成效，将资源配置于关键领域，并在不断演变的风险环境中保持主动姿态。

审查员工操作规范以优化风险管理

在评估供应商时，建议考察其员工管理规范。毕竟，再先进的技术或流程也可能因不良的人为操作而失效。
需重点审查的关键员工管理实践包括：

• 招聘与背景调查：确认供应商是否对所有员工（特别是接触敏感数据或系统的员工）进行全面背景审查。此环节的疏漏可能导致企业面临内部威胁或合规违规风险。
• 网络安全与意识培训：询问供应商为员工提供的网络安全培训频率及深度。鉴于特权滥用和人为失误仍是安全漏洞的主要诱因，供应商必须提供定期更新的培训，确保培训内容符合ISO 27001等框架标准或ISACA等机构的指导方针。
• 访问控制与权限管理：严格审查关键系统和数据的访问权限如何授予、维护和撤销。供应商是否遵循最小权限原则？是否定期对用户访问权限进行审计？
• 事件响应与通知协议：确保供应商员工熟悉事件响应流程，包括在员工行为导致数据泄露或安全漏洞时，如何以及何时通知客户。

通过核查这些与员工相关的操作规范，您能更深入地了解供应商的整体风险状况——从而更有信心相信，对方人员具备保护您利益的能力。

何时应进行供应商尽职调查？

企业在与第三方合作期间，应在若干关键节点开展供应商尽职调查，以确保持续的风险管理与合规性。以下是必须进行供应商尽职调查的关键阶段：

1. 入职前（签约前尽职调查）

签约前尽职调查至关重要。企业在与新供应商签订合约前，应开展全面尽职调查，评估该供应商可能对业务造成的潜在风险。这包括评估供应商的财务稳定性、安全措施、合规性及声誉。此举有助于预防未来问题，并确保供应商能够履行合同义务。

2. 入职期间

企业在供应商入职时必须对其业务实践进行评估。这包括审核待处理文件、验证合规性，并确认供应商已准备好履行合同。开展入职尽职调查有助于双方明确预期与责任，避免未来潜在问题。

3. 持续监控（在供应商合作期间）

尽职调查不应是一次性流程。持续监控可包括定期审查供应商的财务状况、安全协议、合规状态以及任何可能影响组织的最新动态。定期监控确保供应商在合作期间始终符合公司标准。

4. 当发生重大变化时

若供应商的运营、结构或商业环境发生重大变化，企业应开展尽职调查。此类变化包括并购活动、管理层更迭、市场格局变动或监管环境调整。这些变化可能引入需评估的新风险。

5. 合同续签或延期前

在与现有供应商续签或延长合同时，尽职调查至关重要，以确认该供应商满足所有必要的合规、安全和运营标准。此举同时确保不会有新的风险影响公司运营。

6. 增加新服务或扩大供应商范围时

假设供应商将承担新服务、接触更敏感的数据或扩大其在公司内的职责范围，企业应进行尽职调查以评估此类变更带来的新风险。当供应商处理业务中更关键的环节或接触更高价值的数据时，此项工作尤为重要。

7. 考虑第三方风险敞口时（例如第四类风险）

若供应商依赖第三方（如分包商）提供服务，则需对这些供应商（即第四方或N方）实施尽职调查。评估这些次级供应商可能对组织造成的风险至关重要。

供应商尽职调查清单

供应商尽职调查是一项关键流程，旨在识别并评估来自第三方供应商、合作伙伴或服务提供商的潜在风险。其目标是确保这些第三方不会使您的组织面临不必要的风险。典型的尽职调查活动包括：

• 识别第三方供应商：列出所有供应商及其角色与服务。
• 收集基本信息：从第三方处获取信息以评估其满足您要求的能力：要求提供风险问卷、财务报告及认证文件（例如ISO 27001、SOC 2）。
• 评估风险等级：确定每个第三方对贵组织构成的风险程度。需考虑以下因素：其服务的关键性、对敏感数据的访问权限、地理位置以及监管风险暴露程度。
• 合规与声誉风险筛查：核查制裁名单并执行负面媒体审查，以识别潜在声誉风险。
• 审查政策与控制措施：审查供应商在安全、数据保护及业务连续性方面的相关政策。
• 审查合同：确保与第三方签订的合同包含减轻潜在风险的条款。
• 执行背景调查：对关键供应商，需对核心人员进行背景核查。
• 做出明智的决定：根据调查结果决定是否继续推进、拒绝或附加条件。
• 文件与报告结果：记录尽职调查过程中所有评估与决策。

根据每个供应商对贵组织潜在影响的程度，确定这些活动的广度和深度。如有必要，建立当前供应商网络的基准，为未来的尽职调查实践提供依据。

通过统一方法提升尽职调查

Mitratech的供应商风险管理（VRM）解决方案是一套完整的供应商尽职调查方案，它将第三方风险评估结果与财务、网络安全、运营、ESG及声誉监控相结合，形成对供应商风险的持续闭环视图。

有了 Mitratech，您可以

• 通过集中化洞察供应商的网络安全、运营及合规风险，加速合同前尽职调查。

• 通过精准的尽职调查，做出明智的供应商评估、分级与分类决策。

• 通过单一解决方案对第三方进行多风险类型评估，从而简化尽职调查流程。

• 通过将风险评估与持续监控整合于单一解决方案中，实现成本节约。

• 持续监控已离职的第三方人员，以长期降低风险。

了解更多我们的方法，请参阅最佳实践指南， 或申请演示，了解Mitratech如何为您消除供应商风险管理的困扰。

编者按：本文最初发表于Prevalent.net。2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。