3. 合规记录参数概览
合规记录是供应商风险评分卡中权重最高的维度之一，直接反映供应商在法律底线、行业准入、内部治理与商业伦理层面的健康度。本章将四大类合规指标拆解为可量化、可审计的参数体系，为后续评分卡权重配置与阈值设定奠定基础。
3.1 四大类合规指标总览
合规指标并非单一维度的“有无违法记录”，而是覆盖从外部强制约束到内部自愿承诺的完整谱系。下表从强制力等级、典型场景与数据来源三个维度进行对比：
| 指标大类 | 强制力等级 | 典型场景 | 主要数据来源 |
|---|---|---|---|
| 法律法规 | 最高（国家强制） | 劳动法、环保法、反垄断、税务合规 | 政府公示、裁判文书、行政处罚记录 |
| 行业标准 | 高（准入/认证强制） | ISO 体系、行业安全规范、产品认证 | 认证机构、行业协会、第三方审核报告 |
| 企业内控 | 中（合同/制度约束） | 反腐败条款、信息安全、供应商行为准则 | 供应商自评、审计报告、合同履约记录 |
| 道德规范 | 低-中（声誉/品牌约束） | 劳工权益、冲突矿产、碳中和承诺 | ESG 报告、媒体监测、NGO 调查 |
关键提示： 法律法规与行业标准属于“一票否决”类指标，一旦触发直接拉高风险等级；企业内控与道德规范则更多影响评分卡中的持续监控权重。
3.2 合规指标分类详解
3.2.1 法律法规类
这是合规记录的底线。重点关注供应商在经营所在地及供应链覆盖区域的法律遵从情况。核心参数包括：
- 行政处罚记录： 近 3 年内环保、税务、工商、安监等部门的处罚次数与金额。
- 诉讼与仲裁： 作为被告的未决诉讼数量、涉案金额、案由（如合同纠纷、侵权、劳动仲裁）。
- 资质有效性： 营业执照、生产许可证、特种行业许可是否在有效期内，是否存在吊销/暂扣风险。
- 知识产权合规： 是否存在专利侵权、商标冒用、商业秘密泄露等司法判决。
3.2.2 行业标准类
行业标准往往比法律法规更具体、更新更快，是供应商专业能力的直接体现。核心参数包括：
- 体系认证覆盖率： ISO 9001（质量）、ISO 14001（环境）、ISO 45001（职业健康）等核心认证是否齐全。
- 产品强制认证： 3C、CE、UL、FDA 等目标市场准入认证是否有效。
- 行业专项审核： 如汽车行业的 IATF 16949、食品行业的 HACCP、医药行业的 GMP 审核结果。
- 标准更新响应： 供应商是否在标准版本更新后 6 个月内完成内部文件与工艺调整。
3.2.3 企业内控类
企业内控是供应商主动管理的“软合规”，反映其内部治理水平。核心参数包括：
- 反腐败与反贿赂： 是否建立书面反腐败政策、是否对员工进行年度培训、是否存在商业贿赂举报记录。
- 信息安全与数据保护： 是否通过 ISO 27001 认证、是否发生过数据泄露事件、是否签署保密协议。
- 供应商行为准则： 是否签署采购方提供的供应商行为准则、是否向下游传导合规要求。
- 内部审计有效性： 近一年内审发现的不符合项数量、整改关闭率、重复发生率。
3.2.4 道德规范类
道德规范虽无直接法律强制力，但在 ESG 评级与品牌声誉风险中权重日益上升。核心参数包括：
- 劳工权益： 是否存在强迫劳动、童工、歧视、超时加班等负面记录。
- 冲突矿产： 是否披露冲突矿产来源、是否建立负责任采购流程。
- 环境社会责任： 是否发布 ESG 报告、是否设定碳中和目标、是否参与行业可持续发展倡议。
- 媒体与 NGO 舆情： 近 12 个月内是否被主流媒体或 NGO 报告点名批评。
3.3 合规指标参数体系架构
下图展示了四大类合规指标之间的层级关系与数据流向。法律法规与行业标准构成硬约束层，企业内控与道德规范构成软治理层，两层共同输入评分卡引擎，最终输出合规风险分数。
3.4 参数配置注意事项
常见配置陷阱：
- 权重失衡： 过度聚焦法律法规而忽略道德规范，可能导致评分卡对 ESG 风险不敏感。
- 数据时效性： 行政处罚记录通常有 3-5 年追溯期，评分卡应设置数据有效期，避免“旧账新算”。
- 跨区域差异： 同一供应商在不同国家的合规记录需按当地法律标准归一化处理，不可直接累加。
最佳实践： 建议将四大类指标拆分为“硬约束层”与“软治理层”两个子评分卡。硬约束层采用 0/1 否决制，软治理层采用百分制加权，最终通过风险矩阵合成总分。这样既能守住底线，又能区分治理水平差异。