vendor-due-diligence-patrick-munro

供应商尽职调查框架

概述

基于风险的供应商评估框架，可及早识别重大风险，确保符合 DORA/NIS2/GDPR 要求，并为供应商选择、合同调整和持续管理提供明确建议。专为受监管行业打造（受 DORA 约束的金融服务业、受 NIS2 约束的 KRITIS 行业），也适用于任何面临重大 ICT 第三方风险的组织。

法律免责声明

本技能仅为供应商评估提供框架，不构成法律、财务或专业建议。用户应：

• 就所在司法管辖区的具体要求咨询合格的法律顾问；
• 聘请财务和安全专业人士开展详细评估；
• 独立核实所有监管要求；
• 根据组织的具体需求和风险承受能力调整框架；
• 不得将本技能作为专业尽职调查服务的替代品。

这些框架是模板。实际评估需要具备法律、财务、网络安全和风险管理方面的专业知识。本技能的创建者和 Claude/Anthropic 均不对基于本技能输出所作的决策承担责任。

监管参考信息截至 2026-04-23 为最新。 欧盟（DORA、NIS2、GDPR）和德国（NIS2UmsuCG、BDSG）的引用内容反映截至该日期可查阅的合并文本。成员国对 NIS2 的转置进展仍不均衡；德国的 NIS2UmsuCG 于 2025 年 12 月 6 日生效，BSI 报告门户于 2026 年 1 月 6 日开放。使用前，请在 EUR-Lex 和 Bundesgesetzblatt 上核实当前合并文本和国家转置状态。

何时使用此技能

• 评估新供应商、技术提供商或服务合作伙伴；
• 根据 DORA 第 28–30 条对关键 ICT 第三方开展尽职调查；
• 根据 NIS2 第 21(2)(d) 条开展供应链安全评估；
• 开展 GDPR 第 28 条处理者尽职调查；
• 编制供应商入驻文档并开展评估；
• 制定持续监控框架（季度、年度、基于触发条件）；
• 评估集中度风险；
• 编制面向高管的供应商风险报告。

核心能力

1. 三阶段评估流程

阶段 1：初步筛查（1–2 天）：快速评估，判断供应商是否需要接受详细评估。

• 核实基本信息（公司注册、领导层、商业模式、客户群）；
• 快速检查风险指标（近期负面新闻、公开财务数据、合规声明、基本技术架构）；
• 作出继续/不继续的决定，并撰写初步筛查备忘录。

阶段 2：详细评估（1–2 周）：全面评估所有风险维度。参见第 2 节。

阶段 3：最终评估（3–5 天）：综合分析、风险评分、缓解策略和建议。

2. 详细评估维度

财务尽职调查

需索取的文件：过去 3 年的经审计财务报表；商业信用报告；职业责任保险（最低 500 万欧元）；网络保险（IT 供应商最低 500 万欧元）；银行资信证明。

分析内容：收入趋势和盈利能力；债务水平和流动性比率；客户集中度风险；财务稳定性评分（1–5）。

风险信号：持续亏损或现金流为负；客户集中度过高（超过 30% 的收入来自单一客户）；近期信用评级下调；保险覆盖不足。

法律与合规尽职调查

需索取的文件：公司章程和细则；重大合同（前 5 大客户和供应商）；待决及历史诉讼；监管申报文件；知识产权组合；数据保护政策和 GDPR 文档；子处理方名单（如为数据处理方）。

GDPR 合规审查（GDPR 第 28 条）：隐私政策和告知；DPA 模板；违规事件响应程序；国际数据传输机制（SCC、充分性认定）；第 30 条处理活动记录；针对高风险处理活动的 DPIA 流程。

行业特定要求：金融服务客户——符合 DORA（第 28–30 条）；KRITIS 领域——符合 NIS2（第 21 条）；AI 系统——AI Act 分类和合规情况。

风险信号：待决重大诉讼（超过年收入的 10%）；监管执法行动；重大知识产权侵权索赔；不符合 GDPR（没有 DPA、安全措施不足）。

安全与技术尽职调查

需索取的文件：安全认证（ISO 27001、SOC 2 Type II、适用时提供 PCI DSS）；近期渗透测试结果；安全事件记录（3 年）；业务连续性和灾难恢复计划；备份程序和测试记录；技术架构图；数据驻留文档；子处理方安全评估。

安全评估：加密标准（静态和传输中）；访问控制和身份管理；漏洞管理计划；安全意识培训；事件响应程序和 SLA；第三方安全审计。

NIS2 第 21(2) 条安全措施（针对 KRITIS 供应商），对应十项法定子条款：

• (a) 风险分析和信息系统安全政策；
• (b) 事件处理；
• (c) 业务连续性（备份管理和灾难恢复）及危机管理；
• (d) 供应链安全，包括与直接供应商和服务提供商关系中与安全相关的方面；
• (e) 网络和信息系统采购、开发及维护过程中的安全，包括漏洞处理和披露；
• (f) 评估网络安全风险管理措施有效性的政策和程序；
• (g) 基本网络卫生实践和网络安全培训；
• (h) 关于使用密码技术以及在适当情况下使用加密的政策和程序；
• (i) 人力资源安全、访问控制政策和资产管理；
• (j) 多因素身份验证或持续身份验证、安全的语音／视频／文本通信，以及在适当情况下使用安全的紧急通信系统。

DORA ICT 风险管理（针对金融服务供应商）：第 6–16 条 ICT 风险管理框架；第 17–23 条事件管理；第 24–27 条数字运营韧性测试；第 28–30 条第三方风险监测。

风险信号：没有 ISO 27001 或同等认证；没有 SOC 2 Type II；近期发生重大安全事件且响应不足；备份和灾难恢复不足；不符合数据驻留要求。

运营尽职调查

需索取的文件：SLA 履约记录（至少 12 个月）；客户满意度指标；支持架构和升级处理流程；变更管理和发布流程；服务可用性统计数据；MTTR 数据。

分析内容：服务交付记录；支持响应速度；技术能力；可扩展性；退出／过渡程序。

风险信号：持续未能达到 SLA；客户推荐评价不佳；支持基础设施不足；没有成文的退出程序。

3. 六维风险评分

按各维度为每家供应商打分，1 分（低）至 5 分（危急）。加权矩阵：

类别	权重	评分	加权得分
财务风险	20%
运营风险	25%
合规风险	30%
安全风险	15%
声誉风险	5%
战略风险	5%
总计	100%

关键服务（支付处理、客户数据系统、核心业务运营）在安全和合规因素上的权重为 2 倍。

风险评分解读：

• 4.0-5.0：低风险；按标准条款继续。
• 3.0-3.9：中风险；需要加强尽职调查。
• 2.0-2.9：高风险；需要采取额外保障措施。
• 1.0-1.9：危急风险；考虑更换供应商或拒绝合作。

4. DORA 关键供应商评估

对于金融服务客户，DORA 第 28-30 条对 ICT 第三方服务提供商提出了更严格的要求。

DORA 第 28 条——一般原则：建立全面的 ICT 第三方风险管理框架；完整记录所有服务的合同文件；识别所有 ICT 第三方依赖关系；制定全面的退出策略。

DORA 第 30 条——强制性合同要素：服务说明（清晰、完整且为最新版本）；服务地点（包括分包地点）；服务级别（包含衡量和报告机制的 SLA）；符合 GDPR 的 DPA；最低安全标准；可用性和业务连续性（DR/BCP）；详细的退出策略；定期审计权及有事由时的审计权；分包事先通知及异议权；主管机构的访问权（BaFin、ECB、ESMA 的检查权）；终止权（重大违约、监管方面的顾虑）；适当的责任分配；重大变更、事件和法规变化的通知要求。

集中度风险（第 28(4) 条）：该供应商是否被多个金融实体使用？这是否会造成系统性风险？是否有可用的替代方案？我们的依赖程度如何？

可替代性（结合第 29 条解读第 28(4) 条）：我们能否在 3-6 个月内更换供应商（仅为示例性规划期限；DORA 本身要求的是第 30 条规定的“适当过渡期”，而非固定期限）？是否存在技术锁定？数据是否可移植？是否存在阻碍退出的合同限制？

ICT 再分包（第 30(2)(a) 条，并结合关于分包的 Commission Delegated Regulation on subcontracting RTS，JC 2024 53）：识别所有分包商；记录分包商所在地；核实分包商的安全性；建立分包商变更通知流程。

5. NIS2 供应商评估

对于属于 NIS2 范围内的供应商（受基本实体/重要实体义务约束的 KRITIS 行业），第 21 条要求采取网络安全风险管理措施。

第 21(2) 条措施的必要评估已在上文第 2 节列出。供应链安全（第 21(2)(d) 条）：核实供应商自身的网络安全措施；评估供应商的供应链安全实践；纳入合同网络安全义务；定期开展供应商安全审查；规定供应商的事件通知要求。

6. 风险缓解策略

财务：缩短合同期限（1-2 年）；采用保护买方的付款条款（Net 30，而非预付款）；母公司担保；履约保证金或托管；更频繁地审查财务状况。

合规：在合同中加强 GDPR、DORA、NIS2 相关条款；享有季度审计权；定期提交合规证明；必须通知监管要求的变更；对不合规设置更严格的 SLA 和终止权。

安全：将认证设为持续义务；由供应商承担费用进行年度渗透测试；要求在 24 小时内（而非 72 小时内）通知安全事件；加强监控和日志记录；要求使用 MFA；定期进行安全评估。

运营：制定完善且包含实质性服务抵扣的 SLA；详细规定退出和过渡流程；为关键应用托管源代码；关键服务采用双源供应；更频繁地进行绩效审查。

战略：限制合同期限；制定退出条款；避免被专有技术锁定；保留双源供应选项。

7. 持续供应商管理

季度审查：SLA 合规情况；服务质量；安全事件；财务稳定性（如有季度数据）；合规状态。

年度评估：更新完整的风险评分矩阵；审查合同履行情况和商务条款；评估市场替代方案和定价；战略契合度；决定续约或终止。

基于触发条件的审查（立即进行）：重大安全事件或数据泄露；监管执法行动；重大诉讼；财务困境（信用评级下调、重大亏损）；收购或所有权变更；服务质量下降；反复违反 SLA；重大违约。

8. 输出格式

供应商风险报告（10-20 页）：执行摘要；供应商背景；财务评估；法律与合规审查；安全与技术评估；运营评估；附理由的风险评分矩阵；缓解建议；建议的合同条款；实施和监控计划；附录。

供应商评估摘要（2-3 页）：供应商概况和服务；风险评分汇总表；主要发现；建议（继续/有条件继续/拒绝）；所需合同条款；后续步骤。

供应商比较矩阵：并列展示风险评分；比较合规覆盖情况；成本效益分析；优势/劣势；附理由的推荐供应商。

供应商风险登记表（电子表格）：供应商名称和 ID；服务类型和关键程度；各类别风险评分；总体评级；上次评估日期；下次审查日期；主要风险和缓解措施；合同关键条款；主要联系人；升级联系人。

供应商入驻检查清单：已完成并批准尽职调查；已完成合同谈判并签署；已收到保险证明；已签署 DPA；已审查安全文档；已完成访问权限配置；已批准集成计划；服务过渡时间表；已实施监控流程；已指定关系管理负责人；已将供应商添加到风险登记表；已安排首次季度审查。

最佳实践

1. 先进行第 1 阶段筛查，再投入资源开展详细评估。
2. 根据服务的关键程度和风险敞口调整尽职调查的深度。
3. 使用风险评分校准合同条款。
4. 记录所有发现和建议（审计跟踪）。
5. 全程让法务、IT/安全、采购、业务部门和合规团队参与。
6. 直接向认证颁发机构核实认证。
7. 向现有客户核查推荐意见。
8. 审查供应商自身的供应商管理实践。
9. 制定持续监控计划，而不只进行初始评估。
10. 跟踪组织内供应商风险敞口总量，以识别危险的集中度。

常见错误

1. 跳过对成熟供应商的财务尽职调查。
2. 未经核实便接受供应商的自我评估。
3. 忽视关键供应商的 DORA/NIS2 要求。
4. 未记录风险缓解措施便批准供应商。
5. 忘记评估退出和过渡的可行性。
6. 忽视子处理方和第四方风险。
7. 忽视入驻后的持续监控。
8. 未经法律和安全审查便批准供应商。

局限性

此技能不会：取代专业尽职调查服务；提供法律建议；保证供应商的表现或消除风险；替代组织特定的风险框架；在未经专家验证的情况下履行监管义务；建立律师—客户或信托关系。

用户必须：根据自身行业、司法管辖区和风险承受能力调整框架；聘请合格专业人士进行受监管的评估；核实当前监管要求；取得内部批准；保留文档以满足审计和合规要求；随着法规变化更新标准。

示例用例

1. 金融机构依据 DORA，评估为关键支付系统提供服务的云服务提供商。
2. 医疗机构评估处理受保护健康信息的 SaaS 供应商。
3. 属于 KRITIS 范围的制造商，依据 NIS2 对工业控制系统提供商进行供应链安全评估。
4. 电商平台依据 PCI DSS 对支付处理商进行尽职调查。
5. 政府机构对云基础设施进行 FedRAMP 合规评估。
6. 初创公司为风险有限的非关键服务快速筛选供应商。