4、供应商准入阶段的承诺管理：资质预审、SAQ与合同嵌入
供应商准入，说白了就是第一道门。门没把好，后面所有监控都是亡羊补牢。我见过太多案例，准入时随便填张表就过了，结果半年后审计发现对方连基本的信息安全管理制度都没有。嗯，今天我们就聊聊这道门怎么守。
4.1 供应商资质预审：别让承诺变成空头支票
资质预审不是走流程。我个人习惯，先看三样东西：营业执照、行业许可、体系认证。这三样能筛掉至少60%的不合格供应商。
核心原则：资质文件必须与承诺条款一一对应。供应商承诺“具备ISO 27001认证”，那预审时就必须看到有效证书，不能光听他说。
我在项目中遇到过一家供应商，标书里写着“通过等保三级”，结果证书是两年前的，而且已经过期。你想想看，这种承诺你敢信吗？所以预审阶段就要把承诺条款写清楚：
- 资质清单承诺：供应商必须提供完整、有效的资质文件清单，并承诺文件真实。
- 持续有效承诺：资质在合作期间失效的，供应商需在30天内重新认证或书面说明。
- 变更告知承诺：资质发生重大变更（如吊销、降级），供应商需在5个工作日内主动告知。
注意：资质预审不是一次性动作。我建议每12个月重新审核一次，尤其是那些高风险供应商。别等到出事才想起来查证。
4.2 信息安全问卷（SAQ）中的承诺条款：把风险问清楚
SAQ是供应商准入的核心工具。但很多企业的SAQ就是一张通用表格，问的问题不痛不痒。我见过最离谱的SAQ，只有10道题，全是“是/否”选择题。这种问卷能问出什么？
我个人习惯，SAQ必须包含承诺条款，而且这些条款要跟后续的合同合规承诺挂钩。具体来说，SAQ中的承诺条款应该覆盖以下几个维度：
| 承诺维度 | 典型承诺条款 | 验证方式 |
|---|---|---|
| 数据保护 | 承诺对接触的客户数据进行加密存储和传输 | 提供加密策略文档 + 技术验证 |
| 访问控制 | 承诺实施最小权限原则，定期审计访问日志 | 提供权限矩阵 + 日志审计报告 |
| 漏洞管理 | 承诺在发现高危漏洞后72小时内修复 | 提供漏洞修复记录 + 扫描报告 |
| 人员安全 | 承诺所有接触数据的员工签署保密协议 | 提供保密协议模板 + 签署记录 |
| 事件响应 | 承诺在发生安全事件后2小时内通知我方 | 提供事件响应流程 + 演练记录 |
为什么会这样设计？因为SAQ不是调查问卷，它是承诺的起点。供应商在SAQ里勾选“是”，就意味着他承诺做到了。如果后续审计发现他没做到，这就是违约证据。
小技巧：SAQ中每个“是”后面，都要求供应商附上证明材料。比如他说“实施了数据加密”，那就让他上传加密策略文档。这样能避免“嘴上说做到，实际没做”的情况。
4.3 合同中的合规承诺嵌入：把承诺变成法律义务
SAQ里的承诺，如果不写进合同，那就是一张废纸。我曾经处理过一个纠纷：供应商在SAQ里承诺了数据加密，但合同里没写。结果数据泄露了，对方说“SAQ只是问卷，不是合同条款”。嗯，从那以后，我坚持把SAQ承诺条款直接嵌入合同。
合同中的合规承诺嵌入，我建议采用“三明治结构”：
- 顶层：合同正文中的合规承诺条款（概括性、原则性）
- 中层：附件中的SAQ承诺清单（具体、可量化）
- 底层：附件中的技术规范/安全基线（操作层面）
下面是一个典型的合同合规承诺条款示例：
第X条 信息安全合规承诺
1. 供应商确认已完整、真实地填写并提交《信息安全问卷》（见附件A），
问卷中的所有承诺均为本合同的组成部分。
2. 供应商承诺在合作期间持续满足附件A中列明的所有安全控制要求，
并在每年1月31日前提交年度合规自证报告。
3. 如供应商未能履行上述承诺，采购方有权：
(a) 要求供应商在15个工作日内完成整改；
(b) 按合同金额的5%/次收取违约金；
(c) 在整改未完成前暂停支付相关服务费用；
(d) 情节严重的，单方解除合同并要求赔偿损失。
关键点：合同中的承诺条款必须包含违约后果。没有后果的承诺，等于没有承诺。我建议至少设置“整改期+违约金+暂停支付+解约权”四层递进机制。
4.4 准入阶段的承诺管理流程：一张图说清楚
说了这么多，我们来画一张流程图。这张图是我在多个项目中反复打磨出来的，你直接拿去用就行。
这张图的核心逻辑很简单：资质预审 → SAQ问卷 → 合同嵌入 → 签署生效 → 持续验证。每一步都离不开承诺管理。你想想看，如果SAQ里的承诺没写进合同，那后续验证的依据是什么？
4.5 避坑指南：我踩过的三个坑
最后，分享几个我亲身踩过的坑，希望能帮你少走弯路。
坑一：SAQ承诺与合同条款脱节
我曾经负责一个项目，SAQ里供应商承诺了“数据本地化存储”，但合同里只写了“遵守当地法律法规”。结果供应商把数据存到了境外，我们追责时才发现合同条款太模糊，根本没法约束。后来我要求所有SAQ承诺必须逐条映射到合同附件，一条都不能少。
坑二：资质预审只看“有没有”，不看“真不真”
有一次供应商提供了ISO 27001证书，我们没细看就过了。后来审计发现证书上的公司名称跟合同主体不一致——原来是母公司拿子公司的证书来充数。从那以后，我要求资质文件必须跟供应商主体完全一致，而且要在官方渠道验证真伪。
坑三：合同承诺没有设置“动态更新机制”
供应商的承诺不是一成不变的。比如他承诺了“使用AES-256加密”，但两年后行业标准升级了，他还用老标准。合同里如果没有“承诺随行业标准更新”的条款，你就没法要求他升级。我现在的合同都会加一句：“供应商承诺在行业标准更新后90天内完成对标升级。”
嗯，准入阶段的承诺管理，说白了就是把口头承诺变成书面承诺，把书面承诺变成合同义务，把合同义务变成可验证的条款。这三步走扎实了，后面的监控和审计才有据可依。