3. 供应链ESG风险识别流程

供应链ESG风险识别不是一次性“查问题”，而是一条有输入、有加工、有输出的分析链。它的价值在于把模糊的“供应商可能有ESG问题”，转化为可排序、可追溯、可行动的风险清单。完整流程包含四个环节：范围界定、风险源识别、风险分析、风险评价，而供应链映射与利益相关方分析是贯穿其中的两条支撑线——前者回答“链条上有谁、物料从哪来”，后者回答“谁掌握信息、谁受影响、谁有话语权”。

下面这张图展示了四个环节的输入输出关系，以及两条支撑线如何嵌入其中：

一、范围界定：先画“圈”，再谈风险

范围界定要回答三个问题：查哪些品类、查到第几层、以什么标准判断。实践中常见的错误是一上来就发问卷给所有供应商，结果数据质量参差、无法比较。更稳妥的做法是先做品类筛选：按采购金额、ESG敏感度（如纺织印染、电池材料、农产品初加工属于高敏感）、替代难度三个维度打分，选出优先品类。例如某电子制造企业将“锂电池正极材料”列为高优先级，因为其涉及钴、镍等矿产开采，存在童工、水污染、社区冲突等典型风险，且替代供应商少。

层级边界同样需要明确。Tier-1供应商容易获取信息，但真正的ESG风险常藏在Tier-2、Tier-3（如原料加工、冶炼环节）。范围界定阶段应至少标注“必须穿透到的层级”，并说明穿透方式（现场审核、第三方数据库、行业倡议组织共享数据）。同时要设定评价基准，例如“以GRI标准为披露框架、以所在国法律为合规底线、以客户行为准则为附加要求”，避免后续评价时标准漂移。

二、风险源识别：用映射和利益相关方“找线索”

风险源识别不是凭空列清单，而是沿着供应链映射的节点逐层扫描。具体做法是：先绘制“物料—节点—地理”三列映射表，每个节点对应一个地理坐标和一段工艺描述，再针对该节点匹配E/S/G风险源。例如某服装品牌映射出“印度棉纱纺纱厂—越南织造厂—中国成衣厂”链条，在印度节点匹配到“地下水超采与农药残留”环境风险，在越南节点匹配到“工时与消防”社会风险。

利益相关方分析在此环节提供两类输入：一是信息源，如当地社区反映的异味投诉、NGO发布的河流污染报告、工会提供的工时记录；二是影响权重，即某类风险对哪些群体影响最大，这直接影响后续分析中的“影响程度”打分。建议用“利益相关方—关注议题—信息可信度”三栏表做快速梳理，避免只依赖供应商自报数据。

三、风险分析：把“有风险”变成“多大风险”

风险分析的核心是估计两个参数：发生可能性与影响程度，并考虑风险沿供应链的传导。可能性可参考历史审核不符合项频率、所在国监管强度、行业事故率等；影响程度则从财务、运营、声誉、合规四个维度评估。例如某化工企业评估“Tier-2溶剂供应商违规排放”风险：可能性评为“中”（该地区近三年有两次环保处罚记录），影响程度评为“高”（一旦曝光将触发客户审核冻结与订单转移），综合为高风险。

传导分析常被忽略。一个Tier-3的火灾事故，可能通过“停产—交付延迟—客户罚款”路径传导至品牌方。分析时应画出关键风险的传导路径，标注暴露度（即本企业对该节点的依赖比例）。若某节点占某物料采购量的60%以上，传导影响应上调一档。

四、风险评价：排序、对照、定优先级

风险评价是把分析结果与预设阈值比较，形成可执行的优先处置清单。常用做法是“可能性×影响程度”矩阵分级，但需结合企业风险容忍度调整。例如某企业设定“涉及童工、强迫劳动的风险，无论可能性高低，一律列为最高级”，这就是容忍度对评价结果的修正。评价输出应包含：风险描述、涉及节点、风险等级、建议处置方式（现场审核/合同条款/替代开发/持续监测）、责任人与时限。

实操示例：一条棉质T恤供应链的识别片段

假设某品牌对“棉质T恤”品类做首轮识别，范围定为Tier-1成衣厂与Tier-2面料厂，评价基准为“客户行为准则+当地劳动法”。映射结果显示：Tier-2面料厂位于某水资源紧张地区，利益相关方分析中当地社区反映“染整废水影响灌溉”。风险源识别列出“废水违规排放”与“地下水超采”两项环境风险；风险分析中，前者可能性“高”（该地区近两年有处罚记录）、影响“高”（客户对水风险敏感），后者可能性“中”、影响“中”；评价结果将“废水违规排放”列为高优先级，处置方式为“季度现场审核+安装在线监测”，责任人为可持续采购经理，时限为下一采购周期前。这一片段完整展示了从范围到评价的闭环，也说明映射与利益相关方分析如何为每个环节提供依据。

需要强调的是，四个环节的产出物应保持可追溯：范围说明书中的品类与层级，要能对应到风险源清单中的节点，再对应到分析中的参数与评价中的等级。缺少这条追溯链，风险清单就会变成无法复核的“拍脑袋列表”，也难以在下一轮迭代中复用。