设想以下情景：网络攻击导致关键供应商瘫痪，阻碍贵公司生产能力；IT供应商裁员导致安全管控与数据保护力度减弱；自然灾害或地缘政治事件扰乱供应链，延误新产品发布；重要第三方因道德失范被点名处罚，使贵公司陷入"连带责任"的声誉危机。
上述每项供应商风险事件都可能导致成本超支、危及收入并损害客户信任。即便这些风险得到追踪，也往往处于孤岛状态，导致企业在发生中断时只能被动应对。采购与供应商管理团队如何在风险影响企业前抢先应对？以下七种方法可助您在供应商关系各阶段实现主动风险可视化与管控。
1. 将风险评估纳入供应商的采购与选择流程
鉴于当今复杂的商业环境，仅凭技术匹配度来确定供应商的采购与选择
实属冒险之举。如今，采购与供应团队必须同时确认潜在供应商的风险状况是否可接受。这意味着需要评估多维度的风险，包括：
- 人口统计：供应商所在地区是否易受自然灾害或地缘政治动荡影响？
- 第四方生态系统：供应商依赖哪些第四方及第N方？
- 网络安全：供应商是否遭受过数据泄露？若存在，哪些类型的数据受到影响？供应商采取了哪些应对措施？
- 商业与财务：供应商近期是否有并购活动？其财务或信用记录是否存在任何问题？
- 合规性：供应商是否因数据隐私、环境、社会和治理、贿赂或美国财政部外国资产控制办公室（OFAC）违规行为而被标记？是否曾遭受制裁？
- 声誉方面：供应商是否曾在媒体或其他公共传播渠道受到批评？
通过在早期阶段寻求风险洞察，您不仅能从技术匹配度之外的维度比较潜在供应商，还能为所选定的每家供应商建立基准风险水平。
2. 在供应商合同中纳入基于风险的条款
务必将采购与选型阶段的尽职调查结果延续至合同生命周期。在供应商合同中纳入关键风险条款，并借助自动化合同生命周期管理解决方案实现：
- 通过工作流自动化功能，优化合同生命周期中的每个环节
- 跟踪关键属性，例如日期、数值、提醒和状态
- 通过提醒、逾期通知及其他任务管理功能，实现审批流程的优化
- 通过讨论跟踪、文档管理和版本控制确保可见性
合同条款应明确事件通知时限，并要求对可能影响供应商关系的事项提前预警，以便您制定充分的应急预案。
3. 及时掌握关键绩效指标（KPI）和关键风险指标（KRI）
有效传达供应商风险及其潜在业务影响往往充满挑战。衡量和追踪关键绩效指标（KPI）与关键风险指标（KRI）对供应商风险管理（SRM）流程至关重要，但笨重的电子表格和过度繁琐的仪表盘可能使决策者难以“见树不见林”。
为阐明关键绩效指标（KPI）与关键风险指标（KRI），Prevalent公司制作了一本电子书及记分卡，其内容包括：
- 阐明关键绩效指标（KPI）与关键风险指标（KRI）的区别
- 确定四类供应商指标用于衡量
- 优先处理25项推荐供应商关键绩效指标（KPI）和关键风险指标（KRI），向董事会及领导层汇报
4. 对供应商分级与分类采取一致的方法
并非所有供应商都需要同等程度的审查，因此根据风险对供应商进行分级和分类，将有助于您确定持续风险评估和监控计划的优先级与范围。
若需更系统化的方法，可考虑根据三类风险对供应商进行分组：
- 风险分级：首先， 根据风险分级 对供应商进行分组，该分级基于各组所属行业、对业务绩效的关键性、地理位置及其他高层次因素所关联的风险。通常可通过对内部供应商管理人员进行快速调研来实现。
- 固有风险：这是在 未考虑贵组织要求的任何控制措施之前，每个供应商固有的风险水平。通过供应商问卷调查收集以下信息：其对贵方运营和数据的访问权限、内部安全流程、对第四方及后续方的依赖程度、法律法规义务及其他公司特有的因素。根据风险发生的概率和业务影响程度对评估结果进行风险评分。
- 残余风险：通过建立 基准固有风险评分，您即可计算残余风险——即实施控制措施后剩余的风险水平。在与各供应商紧密合作，对评估过程中发现的问题进行整改或缓解后，您将能够确定残余风险。
分层与分类必须保持一致性，方能准确掌握第三方风险敞口状况，为后续尽职调查提供依据，并确保供应商评估严格依据对贵企业至关重要的风险与标准进行。
5. 为供应商风险评估投入适当资源
要准确全面地评估供应商风险，通常需要公司内部多个领域的专家协同参与，包括供应商管理、采购、信息安全、合规与隐私部门——更不用说供应商对接人员了。集中化的供应商关系管理平台可通过提供自动化、针对性的供应商风险评估来解决这一问题，该平台不仅能大幅减少人工操作，还能让内部与外部利益相关方围绕统一的协同流程开展工作。
在选择风险评估问卷时，您需要考虑两个主要因素：
- 内容。标准化还是定制化？标准化问卷便于供应商比较，定制化内容则能实现更精准的评估。
- 方法。是自己动手还是外包给专业的托管服务提供商？许多组织选择将资源集中用于风险管理，而将供应商数据的收集工作交由外包专家处理。
无论采用何种内容或收集方法，务必制定补救策略以应对评估结果。若不愿（或无法）走完最后一程，进行风险评估便毫无意义。
6. 持续监控供应商风险
企业随时可能倒闭，新产品随时可能推出，并购随时可能发生。问卷调查虽能有效收集供应商在特定时间点的数据，但周期性评估之间，新风险必然会浮现。
通过采用持续风险监控解决方案，扫描供应商情报的公开及私有来源，您可实现以下目标：弥合评估间隙、保持风险评分实时更新且准确无误、及时识别需要深入调查的风险节点。
- 网络风险，例如数据泄露、凭证外泄以及暗网上的公司数据
- 商业新闻，例如并购活动和运营动态
- 财务更新，例如公开文件、年度报告和损益表
- 声誉问题，例如负面媒体报道及高管被列入政治敏感人物名单
- 合规违规、制裁、国有企业和其他利益冲突
若说本文中存在任何能帮助采购与供应商团队提升主动性的最佳实践，那便是这一条：不仅要利用持续监控数据来验证和更新评估结果，更应寻求能整合监控与评估功能的供应商关系管理（SRM）解决方案，从而实现最高效的运营与最全面的可视化管理。
7. 别忘了离职风险
供应商对贵公司的风险不会因合同终止或解除而消失。持有敏感数据的供应商必须归还和/或安全销毁该数据；支持义务可能延续至采购协议终止之后；企业必须确保终止供应商对内部系统的所有访问权限。
供应商退出策略的关键考量应包括：
- 集中化合同评估以确保最终承诺得到履行
- 离职流程需在最终批准前获得所有内部相关方的认可
- 报告以验证合规性
虽然这似乎显而易见，但Prevalent的研究发现，43%的企业在供应商退出合作时并未积极评估其风险。
下载最佳实践指南
要对照最佳实践评估您当前的供应商风险管理流程，请下载 《构建更主动的供应商风险管理计划的七个阶段》。本指南深入探讨：
- 成熟且主动的供应商风险管理（SRM）计划的特征
- 在供应商关系的各个阶段，应如何管理不同风险
- 在寻求应对多种供应商风险类型的解决方案时，需重点关注的核心能力
- 成功应对供应商关系管理挑战的企业真实案例
- 在整个企业中获得支持的技巧与诀窍
立即联系我们预约演示，我们将为您展示如何将您的供应商关系管理（SRM）计划从被动响应转变为主动管理。
编者按 本文最初发表于 Prevalent.net. 2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
