什么是第四方风险？
第四方风险指由"供应商的供应商"带来的任何潜在风险，其中许多供应商甚至可能未被签约方知晓。即便贵公司拥有完善的信息安全计划，未知的第四方及第N方仍可能对供应链造成重大破坏。
例如，看看针对殖民天然气管道的勒索软件攻击。美国东海岸各地的加油站都断了油，数百万消费者不知如何去上班。很多情况下，个别加油站可能连殖民管道公司都没听说过，更别说意识到网络攻击会瘫痪它，进而影响他们的供应链。
一套有效的 供应链风险管理方案可助您识别、修复并管控所有供应商（包括第三方、第四方及其他供应商）的风险。本文阐述供应商分类方法，并提供有效管理供应链各层级风险的实用建议。我们将涵盖以下内容：
- 识别关键供应商及其容差水平
- 绘制第四方供应商关系图
- 提升对第四方和第N方风险的可视性与管控能力
第三方、第四方和第N方供应商之间有何区别？
第三方供应商是指贵组织直接合作的厂商。第四方则是与贵方第三方签订合同的厂商。例如，若贵公司与聚酯供应商签约，该供应商即被归类为第三方。若该聚酯供应商使用越南制造商，则该制造商即为第四方。 若该制造商又与柬埔寨原料供应商签约，则该原料供应商即为第五方。倘若柬埔寨法律变更导致聚酯关键原料乙烯生产成本上升，将引发供应链全链条的连锁反应。理解这些关联有助于您有效管控供应链风险。
有时，N级供应商与签约企业的距离越远，其运营中断造成的冲击就越小——但情况并非总是如此。 科罗尼尔输油管道事件就是典型例证：当某供应商遭受网络攻击时，整个供应链上下游的企业都可能陷入瘫痪。若贵组织高度依赖某家难以替代的供应商，此类风险尤为严峻。您对组织供应商及其供应商的可视性越强，就越能有效识别并规避不可接受的风险。
在供应商风险管理计划中考量第四方风险
供应商风险管理（VRM）已成为各类规模企业的重要课题。然而，许多公司在评估供应商风险时往往止步于第三方。现代供应链日益全球化，依赖着数百甚至数千家第四方及N方供应商。企业可能直到重大中断发生时，才意识到自己对N方供应商的依赖。以下指南可帮助您在更广泛的VRM计划中纳入第四方及N方供应商的管理。
识别关键供应商并确定风险容忍度
识别与关键供应商合作的第四方至关重要。若关键第四方供应商遭遇安全漏洞、供应链问题或其他中断，您的业务很可能面临后果。为降低风险并制定合理计划，您需要明确第四方供应商的身份。请审查供应商组合中是否存在由多家供应商共享的第四方，例如亚马逊网络服务或其他通用供应商。
在理想状态下，您可确保所有合作企业对其供应商采用与您相同的标准。然而现实往往并非如此，您仍需与第四、第五乃至第N级供应商合作才能成功运营企业。 正因如此，必须明确贵公司对第四方及N方供应商的风险承受能力，并建立流程评估其固有风险与 残余风险（即分别指实施控制措施前后的风险水平）。我们建议对所有供应商进行分类，并将固有风险作为制定各服务层级控制要求的关键因素。例如，贵公司供应商的云服务提供商将面临比其清洁承包商更为严格的要求。
在供应商合同中明确第四方责任与问责机制至关重要。首先需记录与关键业务部门的协作管理流程，并识别供应链各环节的合作伙伴触点。随后根据供应商的服务等级或类别，在合同中纳入服务等级协议及管控要求，并实施变更管理以应对范围调整。最后通过持续的供应商服务等级协议与绩效管理实践，确保各项要求得到落实。
绘制第四方关系图谱
由于您不会直接与第四方进行互动，因此在采购和尽职调查过程中制定完善的识别策略至关重要。 若您正通过竞标程序遴选潜在第三方供应商，则提案请求书（RFP）中应包含关于第四方的问询。待供应商名单缩减至最终候选人后，您必须在供应商入驻阶段追加质询。除确认供应商将使用的第四方名单外，还应针对每家第四方提出以下问题：
- 他们是否会直接与您的客户、顾客、会员或员工打交道？
- 过去12个月里，你对他们进行了哪些尽职调查？
- 是否有任何值得注意的发现？若有，具体是什么？又是如何处理的？
- 你现在和他们有合同吗？
- 他们能够访问哪些客户信息？
- 供应商的服务是否会在其他国家/地区提供？
- 您是否要求第三方提供信息安全认证？
通过供应商风险管理平台掌控全局
当您开始审视更广阔的供应链格局，着手识别第四级乃至第N级供应商，并理解他们可能给企业带来的风险时，可能会感到有些头晕目眩。正因如此，拥有庞大供应商生态系统和深层供应链的企业通常会部署集中化的供应商风险管理平台，从而对供应商群体实现更全面的可视化管理与控制。
供应商风险管理平台可作为第三方、第四方及N方数据的集中存储库。尽管这类平台通常被称为第三方风险管理（TPRM）解决方案，但其中许多平台具备管理和降低第四方及N方风险的强大功能。 该流程始于将第三方纳入管理范畴，继而借助解决方案将可视范围延伸至第四、第五及N级供应商。初期可利用供应商情报来源构建全面的供应商档案，涵盖行业洞察、业务分析、所有权信息，并识别第四级供应商关联关系。
在第三方入驻过程中及后续定期审查时，您可借助供应商（或第三方）风险管理解决方案，通过自动化问卷式风险评估收集各第三方供应商关系信息。Prevalent的解决方案还具备关系映射功能，可帮助您识别企业与第三、第四乃至第N方之间的关联，从而发掘扩展供应商生态系统中的依赖关系与潜在风险。
一旦您掌握了影响业务的第四方及N方供应商的可见性，即可通过持续供应商监控来监管关键供应商。对供应商威胁情报的私有及公共来源进行持续监控，可对可能最终影响您运营的网络安全、业务及财务事件与风险暴露提供早期预警。所有评估与监控内容均应关联并映射至VRM解决方案中的供应商档案。
通过接入供应商情报网络，您可为第三方、第四方乃至N方风险管理提供更全面的规模化支持。该网络汇集了数千家供应商的完成评估报告、监控数据及标准化风险评分。内部资源有限的企业还应考虑借助托管式供应商风险评估服务，以实现供应商数据收集、分析及整改措施的规模化推进。
最后，由于有效的供应商风险管理依赖于IT安全、采购、风险管理、法律及其他利益相关方之间的协作，请确保您的供应商风险管理平台具备基于角色的访问控制、工作流管理和任务管理功能。
程序化方法下的第四方风险管理
成功的第四方风险管理计划并非一次性项目，而是供应商管理策略的重要组成部分。应在供应商管理政策中将第四方风险明确为需管理的风险类别，并将第四方评估与监控纳入标准操作流程。供应商风险管理应成为贯穿供应链各层级的持续性系统化流程。
无论您当前处于何种阶段，Prevalent都能助您构建具备无与伦比的可视性、效率和规模的整体风险管理方案。 我们将与您携手，为您量身定制包含托管服务、网络会员资格及/或TPRM平台访问权限的组合方案。您将快速实现价值回报，获得智能驱动决策的能力，并显著降低供应商相关风险——同时为您和团队省去诸多烦恼。
管理第四方风险的后续步骤
随着近期频发的数据泄露和供应链中断事件，理解下游风险变得比以往任何时候都更为关键。企业往往忽视第四方风险管理，因为他们认为自己的第三方供应商也会对他们的第三方供应商实施同样的尽职调查。无论您是组建内部团队、采用供应商风险管理平台，还是使用托管服务，都必须评估所有影响您业务的第四方。
了解Prevalent如何助您识别并缓解供应链中的第四方及N方风险。立即申请演示。
编者按 本文最初发表于 Prevalent.net. 2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
