4. 供应商资质与合规管理

供应商资质与合规管理，是把“这家供应商能不能持续合法、安全、稳定地供货”这件事，从采购员个人经验变成平台可计算、可提醒、可拦截的规则体系。它由三块内容构成：资质证照的结构化台账、合规审查的周期性执行、以及风险预警规则的自动触发。三者不是并列的静态档案，而是一条“证照到期→合规失效→风险升级→业务受限”的因果链，平台的价值就在于把这条链上的每个节点都变成可观测、可干预的对象。

一、资质证照的类型与结构化建模

供应商资质不能只存一张扫描件，必须按“主体—证照—字段”三层建模。主体是供应商法人，证照是挂在主体下的具体凭证，字段则决定这张证照能否被系统判断有效性。常见的证照类型可分为四类：

• 主体资格类：营业执照、开户许可证，关注统一社会信用代码、注册资本、经营范围、成立日期。
• 经营许可类：生产许可证、经营许可证、特种设备制造许可证，关注许可范围、许可机关、许可等级。
• 体系认证类：ISO 9001、ISO 14001、ISO 45001、IATF 16949，关注认证机构、认证范围、证书编号、有效期。
• 专项合规类：排污许可证、安全生产许可证、危化品经营许可证、环评批复，关注排放指标、许可量、监管级别。

每张证照至少要有六个关键字段：证照编号、发证机关、生效日期、失效日期、证照状态、附件文件。其中“失效日期”是后续所有提醒和预警的计算基准，必须做成日期类型而非文本，否则无法参与规则运算。证照状态建议用枚举值管理：有效、临期、已过期、已吊销、待审核。状态不靠人工改，而由系统按失效日期与当前日期自动推导，人工只负责上传和复核。

二、有效期与年审提醒的数字化实现

提醒机制的核心是“提前量”和“提醒对象”两个参数。提前量不能一刀切，应按证照类型分级：营业执照、生产许可证这类换证周期长的，提前 90 天提醒；体系认证类提前 60 天；专项合规类如排污许可证，因涉及重新监测和审批，提前 120 天提醒。提醒对象也要分层：提前 90 天通知供应商联系人，提前 60 天通知采购员，提前 30 天仍未更新则升级到采购主管。

年审提醒与到期提醒不同。年审是周期性动作，例如某些许可证每年需提交年度报告，系统应记录“上次年审日期”和“年审周期（月）”，用上次年审日期加周期推算下次年审日，再按提前量生成待办。下面是一段可直接参考的提醒规则配置示例：

证照类型: 排污许可证
失效日期: 2025-12-31
提醒规则:
  - 提前 120 天: 通知 供应商环保负责人
  - 提前 90 天:  通知 采购员 + 供应商法人
  - 提前 30 天:  通知 采购主管, 状态置为"临期"
  - 到期当日:    状态置为"已过期", 触发业务冻结
年审规则:
  上次年审日期: 2024-11-15
  年审周期: 12 个月
  下次年审日: 2025-11-15
  提前 30 天生成年审待办

提醒发出后要有闭环记录：谁在什么时间收到、是否已读、是否已上传新证照。没有闭环的提醒等于没提醒，平台应把“提醒—响应—更新—复核”四个动作都留痕，便于后续审计追溯。

三、合规审查：环保、质量、安全三条线

合规审查不是查证照有没有，而是查证照背后的实际状态是否达标。环保线关注排污许可量与实际排放量、环评批复与产线变更是否一致；质量线关注体系认证范围是否覆盖实际供货品类、是否有重大质量事故未关闭；安全线关注安全生产许可证是否在有效期内、特种作业人员证件是否齐全、近一年是否有安全事故记录。

数字化审查的做法是把每条线拆成可判定的检查项，每项给出数据来源和判定条件。例如环保线的“排污许可量”检查项，数据来源是排污许可证字段和平台采集的月度排放申报值，判定条件是“近 12 个月累计排放量 ≤ 许可量的 90%”，超过 90% 即触发黄色预警，超过 100% 触发红色预警。质量线的“认证范围覆盖”检查项，数据来源是体系认证证书的认证范围文本与供应商供货品类，判定条件是“供货品类全部落在认证范围内”，否则标记为范围外供货。

审查频率建议按供应商分级差异化：战略供应商每季度全项审查，一般供应商每半年，临时供应商在准入时一次性审查。审查结果不只是一份报告，而应回写到供应商的合规档案，成为后续风险评分的输入。

四、风险预警规则配置

风险预警规则的本质是“条件—动作”对。条件由证照状态、合规审查结果、外部事件三类数据组合而成；动作包括通知、降级、冻结、列入黑名单。规则配置要避免两个极端：条件太宽导致告警泛滥，条件太严导致漏报。建议按风险等级分三档：

• 黄色预警：证照临期、单项合规检查项接近阈值。动作：通知采购员，供应商状态不变，但进入观察名单。
• 橙色预警：证照已过期、合规审查出现不合格项、年审逾期。动作：通知采购主管，暂停新订单创建，允许在途订单继续执行。
• 红色预警：证照被吊销、发生重大环保或安全事故、合规审查多项不合格。动作：冻结供应商全部业务，通知法务与合规部门，启动退出流程。

规则配置要支持“组合条件”，例如“排污许可证已过期 且 该供应商仍有在途订单”才触发橙色，避免单一条件误伤。同时每条规则要有生效范围和优先级，同一供应商命中多条规则时按最高等级执行。

把上述四块内容串起来看，资质合规管理的数字化并不复杂，难点在于字段是否结构化、规则是否可配置、动作是否真正落到业务流程上。证照字段不结构化，提醒就算不准；规则不可配置，业务变化就要改代码；动作不落到订单和付款环节，预警就只是通知，起不到约束作用。平台建设时应优先保证这三件事：失效日期是日期类型、提醒提前量可按证照类型配置、预警等级能直接控制订单创建和付款审批的开关。