3. 供应商分类与分级管理

供应商分级不是给供应商贴一个“重要/不重要”的标签，而是把有限的安全审核资源投向真正会放大风险的对象。判断一个供应商该被放在哪一级，需要同时看三个维度：业务关键性（它中断后业务能否继续）、数据敏感度（它能接触或留存什么级别的数据）、系统依赖度（它与内部系统的耦合深度和替代难度）。三个维度各自打分后合成一个综合等级，再据此决定审核深度、频率和治理优先级。

三个维度的评分口径

为了让分级可复现，建议每个维度用 1～4 分制，并给出可观察的判定依据，而不是凭印象打分。

业务关键性（B）：1 分表示中断仅造成轻微不便，可容忍数天；2 分表示影响单个部门，可容忍 1 个工作日；3 分表示影响核心业务线，容忍窗口在数小时内；4 分表示中断直接导致对外服务不可用或产生合规后果，容忍窗口接近零。

数据敏感度（D）：1 分表示仅接触公开信息；2 分表示接触内部一般信息；3 分表示接触个人信息或重要业务数据；4 分表示接触核心商业秘密、大批量个人信息或受监管的敏感数据。

系统依赖度（S）：1 分表示通过人工或离线方式交互，替换成本低；2 分表示有标准接口但可切换；3 分表示通过 API 深度集成、有数据双向流动；4 分表示嵌入关键链路、共享身份或网络边界，短期无法替换。

综合分可采用加权求和：Score = 0.4×B + 0.35×D + 0.25×S，权重体现“业务不能停”优先于“数据多敏感”，再优先于“耦合多深”。按 Score 落入区间划分四级：L1 战略级（≥3.4）、L2 重要级（2.6～3.39）、L3 一般级（1.8～2.59）、L4 低风险级（<1.8）。若任一维度为 4 分，则等级不得低于 L2，避免“平均分掩盖单点高风险”。

分级之后：审核策略如何差异化

分级结果直接决定四件事：审什么、审多深、多久审一次、发现问题后怎么处置。

对 L1 战略级供应商，审核不能停留在问卷层面。典型做法是每年一次现场或等效远程深度审核，覆盖访问控制、加密与密钥管理、日志留存、漏洞管理、灾备与退出机制，并要求提供第三方渗透测试或 SOC 2 报告作为佐证。合同中应约定安全事件 24 小时内通报、重大变更提前告知、审计权与数据删除义务。治理上，L1 供应商应进入季度风险例会，其安全指标与业务连续性指标一并跟踪。

对 L2 重要级，可采用“问卷 + 远程访谈 + 证据抽查”的组合。问卷不是走形式，而是要求供应商对关键控制项提供截图、配置片段或流程记录，例如“是否对运维账号启用多因素认证”需附上认证策略截图。审核频率为每年一次，风险复评半年一次。若供应商涉及个人信息处理，还应核对其个人信息保护影响评估或数据处理协议。

对 L3 一般级，以年度自评问卷为主，辅以抽样核验。重点确认其是否发生过安全事件、是否将数据转包给下游、是否具备基本访问控制。对 L4 低风险级，只需在准入时完成登记与合同安全条款签署，两年一次轻量复核即可。

一个可复用的评分示例

假设某云客服系统供应商：中断会导致在线咨询不可用，业务关键性 B=4；可接触用户手机号与对话记录，数据敏感度 D=3；通过 API 与工单系统双向同步，系统依赖度 S=3。代入公式：Score = 0.4×4 + 0.35×3 + 0.25×3 = 1.6 + 1.05 + 0.75 = 3.40，落入 L1 战略级。由于 B=4，也满足“任一维度为 4 不低于 L2”的约束。该供应商应安排年度深度审核，并在合同中明确数据删除与审计权。

再假设某办公用品电商：中断仅影响非核心采购，B=1；仅接触公开商品信息，D=1；通过人工下单，S=1。Score = 0.4 + 0.35 + 0.25 = 1.00，为 L4 低风险级，只需登记与合同条款，无需投入额外审核资源。

落地时的三个常见偏差

第一，只按采购金额分级。金额高不等于风险高，一个低金额但能接触核心数据的工具类供应商，风险可能高于高金额的办公用品供应商。第二，三个维度打分后直接取平均，忽略单点高风险。因此必须保留“任一维度为 4 则不低于 L2”的兜底规则。第三，分级后没有配套动作。等级只有与审核方式、频率、合同条款和治理优先级绑定，才真正产生管理价值。

把三维评分、综合等级、审核策略和治理优先级串成一条可执行的链路，供应商分级才能从“分类表”变成“资源分配依据”。