2. 供应商审计的法规与标准体系

供应商审计不是凭经验“看一看、问一问”，而是要把审计动作挂接到一套可引用的法规与标准体系上。这套体系可以分成四层：审计方法层（ISO 19011，规定怎么审）、控制要求层（ISO 27001 及其附录 A，规定信息安全该控什么）、法律义务层（GDPR、反商业贿赂法规，规定不合规的法律后果）、行业监管层（金融、医疗、汽车、云服务等行业的专门规则，规定本行业额外的准入与报告义务）。四层不是并列关系，而是“方法—控制—义务—行业”的逐级收窄：越往下，要求越具体、越可判定。

一、ISO 19011：审计的“方法论底座”

ISO 19011 不规定供应商必须满足什么技术指标，它规定的是审计活动本身如何被设计和执行。核心要素包括：审计方案（programme）与审计计划（plan）的区分、审计准则（criteria）的确定、审计证据的收集与验证、审计发现的分类，以及审计报告的编制。落到供应商审计场景，最实用的三条是：

• 准则先行：在发出审计通知前，必须明确本次审计依据哪些条款。例如“依据 ISO 27001:2022 附录 A 的 A.5.19–A.5.22 及合同第 7 条信息安全附件”，而不是笼统写“依据信息安全要求”。
• 证据可追溯：每条发现都要能指向具体证据来源，如“2024-03-12 访谈运维主管 + 堡垒机登录日志导出文件”。
• 发现分级：通常分为严重不符合、一般不符合、观察项/改进机会。分级直接影响整改时限与是否影响准入。

一个常见的实操参数是抽样量：对同质化的访问审批记录，可按“总样本量的平方根”或固定比例（如 10%，不少于 5 条、不多于 30 条）抽样。例如某供应商季度访问审批共 420 条，按 10% 抽 42 条，实际执行时可取 30 条上限，重点覆盖高权限账号与外部人员账号。

二、ISO 27001：把“控制要求”变成可核查项

ISO 27001 是信息安全管理体系标准，供应商审计主要用它的两个部分：管理体系要求（第 4–10 章）和附录 A 控制项。2022 版附录 A 将控制项重组为四类：组织控制（A.5）、人员控制（A.6）、物理控制（A.7）、技术控制（A.8）。与供应商直接相关的是 A.5.19（供应商关系中的信息安全）、A.5.20（供应链协议中的信息安全）、A.5.21（ICT 供应链风险管理）、A.5.22（供应商服务的监视、评审与变更管理）。

审计时不要只问“有没有制度”，而要落到可验证对象。例如核查 A.8.15 日志记录，可要求供应商现场演示：从 SIEM 中检索某外部 IP 在近 30 天的登录失败记录，并展示告警阈值与升级路径。核查 A.5.20，则要看合同或 DPA 中是否写明安全事件通知时限、分包商管理、审计权与数据删除义务。供应商的适用性声明（SoA）是重要入口：先看它声明适用哪些控制项、排除哪些及理由，再针对声明适用的项抽样验证，避免“全查一遍”导致审计失焦。

三、GDPR：数据控制者与处理者的义务切分

GDPR 对供应商审计的关键影响在于角色划分。若供应商代表你处理个人数据，它是处理者（processor），你是控制者（controller）。此时必须签署数据处理协议（DPA），并核查以下要点：处理目的与期限、数据类别与数据主体类别、控制者指令约束、保密义务、安全措施、子处理者授权与告知、协助数据主体权利请求、删除或返还、审计与检查权。

跨境传输是高频风险点。若供应商将数据传至欧盟以外，需要具备充分性决定、标准合同条款（SCC）或特定情形下的例外。审计证据可包括：数据流图、服务器区域清单、SCC 签署版本、传输影响评估（TIA）记录。另一个可验证指标是个人数据泄露通知：GDPR 要求控制者在知悉后 72 小时内向监管机构通报，因此 DPA 中通常约定处理者应在 24 小时内通知控制者，为控制者留出判断与上报时间。审计时可要求供应商展示最近一次演练或真实事件的通报时间戳。

四、反商业贿赂法规：从“财务合规”到“第三方风险”

反商业贿赂审计关注的是“利益输送是否通过供应商通道发生”。主要依据包括美国《反海外腐败法》（FCPA）、英国《反贿赂法》（UK Bribery Act）、以及国内《反不正当竞争法》和刑法相关条款。UK Bribery Act 的一个特点是设置了“商业组织预防贿赂失职罪”，合规抗辩需要证明已建立“充分程序”。这直接转化为对供应商的尽调与管控要求。

可核查对象包括：供应商股权与实控人信息、是否与政府官员存在关联、佣金与折扣是否入账并披露、礼品与招待台账、差旅赞助记录、以及付款是否流向合同约定账户。审计中常用“三单匹配”验证：合同、发票、付款记录三者一致，且收款账户与合同主体一致。若出现付款至第三方个人账户、现金支付、异常高比例佣金，应升级为高风险发现并启动专项调查。

五、行业监管要求：不可忽略的“叠加层”

在金融、医疗、汽车、云服务等行业，通用标准之上还有专门规则。例如金融外包可能要求供应商接受监管机构的延伸检查；医疗行业涉及患者数据时需考虑 HIPAA 或本地健康数据规范；汽车供应链常用 TISAX 进行信息安全评估；云服务供应商可能涉及等级保护测评与数据出境安全评估。审计方案设计时，应先确认“本行业是否有强制准入或报告义务”，再决定是否需要在通用清单上增加行业专属检查项。

综合来看，ISO 19011 决定审计的可信度，ISO 27001 提供控制项的检查骨架，GDPR 与反贿赂法规界定法律红线，行业监管要求则决定准入门槛。四者叠加后，供应商审计才从“经验判断”变成“有准则、有证据、有分级、有结论”的合规工程活动。