3. 供应商准入审查：资质审核、财务健康度、安全认证
供应商准入，说白了就是“进门关”。
我见过太多团队，项目上线后才发现供应商连基本的资质都拿不出来。那时候再换供应商，成本翻倍不说，业务中断的风险谁也扛不住。所以，准入审查不是走流程，是给整个供应链安全打地基。
3.1 资质审核：先看“身份证”
资质审核是最基础的一步。我个人习惯把它分成两类：经营资质和行业资质。
| 资质类型 | 核心文件 | 核查要点 |
|---|---|---|
| 经营资质 | 营业执照、税务登记证 | 经营范围是否覆盖服务内容；是否年检；有无异常经营记录 |
| 行业资质 | 软件企业认定、涉密资质、等保测评报告 | 是否与业务场景匹配；资质有效期；发证机构是否权威 |
| 知识产权 | 软件著作权、专利、商标注册证 | 是否存在侵权纠纷；代码是否开源合规 |
我的经验：别只看复印件。我建议要求供应商提供官方查询平台的截图或链接。比如营业执照，直接去“国家企业信用信息公示系统”查一下，比看纸质件靠谱得多。
嗯，这里要注意一点：资质有效期。我曾经遇到一个供应商，拿的是三年前的等保报告，中间机构重组了，报告早就作废了。所以，核查时一定要确认“当前有效”。
3.2 财务健康度：别让供应商“暴雷”
供应商倒了，你的业务也就断了。财务健康度审查，就是看供应商有没有“猝死”的风险。
我个人习惯看三个核心指标：
- 资产负债率：一般不超过70%。超过80%就要警惕了，说明负债压力大。
- 流动比率：大于1是底线，大于2比较安全。低于1意味着短期偿债能力有问题。
- 净利润率：持续亏损的供应商，很难保证长期服务质量。
避坑指南：我曾经遇到一个供应商，财报数据很漂亮，但后来发现是“应收账款”虚高，实际回款周期超过一年。所以，我建议除了看报表，还要查一下供应商的“诉讼记录”和“被执行人信息”。这些在“中国裁判文书网”和“中国执行信息公开网”都能查到。
为什么会这样？说白了，有些供应商为了拿项目，会美化财报。你想想看，一个连员工工资都发不出的公司，怎么可能有精力做好安全运维？
3.3 安全认证：SOC2 与 ISO 27001 怎么选？
安全认证是供应商安全能力的“硬通货”。目前最主流的就是 SOC2 和 ISO 27001。
很多同学问我：“这两个认证到底有什么区别？是不是有一个就够了？”
我的回答是：看场景。
| 对比维度 | ISO 27001 | SOC2 |
|---|---|---|
| 侧重点 | 信息安全管理体系（ISMS） | 服务组织的控制措施（安全性、可用性、保密性等） |
| 适用场景 | 通用，适合所有类型企业 | 更适合云服务商、SaaS 提供商 |
| 审计方式 | 认证审核，颁发证书 | 审计报告（Type I / Type II） |
| 有效期 | 3年，每年监督审核 | 通常每年出具一次报告 |
| 报告内容 | 管理体系符合性 | 具体控制措施的有效性测试 |
我的建议：如果供应商是云服务或数据处理商，我强烈要求 SOC2 Type II 报告。因为 Type II 覆盖了至少6个月的控制运行证据，比 Type I 的“某个时间点”更有说服力。ISO 27001 是“体系认证”，SOC2 是“控制验证”，两者互补，不是替代关系。
我记得有一次，一个供应商拿着 ISO 27001 证书来，说“我们有国际认证”。我追问了一句：“证书范围覆盖哪些系统？有没有包含我们的业务模块？”结果发现，证书只覆盖了他们的办公网络，核心生产系统根本没在范围内。所以，看认证，更要看认证范围。
3.4 供应商准入审查流程框架
下面这张图，是我自己总结的供应商准入审查流程。你可以直接拿去用。
流程很简单，但每一步都不能省。我见过最典型的翻车案例是：跳过财务健康度，直接看安全认证。结果供应商半年后资金链断裂，系统迁移时数据丢了三天。嗯，教训深刻。
3.5 准入后的持续监控
准入不是终点，是起点。供应商进来之后，还要持续监控。我个人习惯建立供应商安全档案，包含：
- 资质到期提醒（提前3个月预警）
- 财务季报/年报跟踪
- 安全事件通报机制
- 年度安全复审
小技巧：我建议在合同中明确约定“安全认证失效即触发解约条款”。这样供应商会主动维护认证状态，不用你天天催。
好了，供应商准入审查的核心内容就这些。记住：资质是门槛，财务是底线，认证是保障。三者缺一不可。