供应商风险管理软件的采购方在招标中寻找什么？
供应商风险管理软件的采购方，正努力履行一项日益扩大的义务：他要为自己的第三方供应链承担责任，却要向那些本身并无提供证据义务的供应商索取证明。促使他这样做的规定是公开的：网络安全方面有《网络安全法》与网络安全等级保护制度（MLPS 2.0），金融机构的运营韧性有国家金融监督管理总局（NFRA）关于操作风险的管理办法，供应商关系安全方面有 ISO/IEC 27036 标准；在部分市场，大型企业还须承担供应链尽职调查义务。 他所担心的，是没能提前察觉某个第三方的风险，也无法证明自己已经采取了行动。
对供应商而言，这带来直接的后果：一份只是又推销一个供应商问卷的方案会输，因为采购方早已有这样的问卷；能够展示如何端到端覆盖风险、自动化证据收集，并记录合规情况的方案则会赢。
供应商风险管理软件需要证明哪些方面？
一份方案会从四个维度被评判，因为正是这四个维度决定了采购方能否真正履行自己的义务。
| 维度 | 采购方担心什么 | 供应商必须证明什么 |
|---|---|---|
| 风险覆盖范围 | 某类第三方风险存在盲区 | 网络、财务、运营、非财务各类风险 |
| 自动化收集 | 需要不断催促供应商 | 提醒跟进、收集与回复评分 |
| 合规留痕 | 无法证明自己采取过行动 | 可在监管检查中出示的可追溯记录 |
| 多层级供应链 | 只能看到直接的一层 | 对供应商的供应商的可见度 |
一份能够证明这四个维度的方案，才真正回应了采购方所承担的义务；一份只聚焦于发送问卷的方案，只能覆盖其中的一小部分。
供应商风险管理招标的方案是如何被评分的？
方案的评分依据一份按风险领域和能力加权的问卷，通常还会附加一次基于真实第三方案例的演示。这对供应商有三点影响：权重分配会遵循采购方最优先的义务（受监管行业中，网络与财务风险位居前列）；可追溯性和可用于举证的证据权重很高；而演示必须展示对真实供应商的收集和评分过程。
厘清一切的例外情况
对于只有少数非关键供应商的小型机构而言，用表格跟踪就已足够，发起招标反而是过度投入。本页所述的方法，适用于受《网络安全法》、运营韧性规则或供应链尽职调查义务约束的组织，在这些组织中，义务是真实存在的，证据也是可以被要求提供的。
哪些错误会导致输掉一份供应商风险管理的招标？
- 只是又推销一个问卷：采购方想要的是覆盖风险并证明自己采取了行动，而不是收集更多数据。
- 留下风险盲区：评分表上会显现出未被覆盖的某类第三方风险。
- 忽视可追溯性：采购方必须能够向监管机构证明自己已经采取了行动。
- 忽略多层级供应链：风险往往来自供应商的供应商。
- 用虚构案例做演示：演示只有基于采购方真实的第三方案例，才能真正打动对方。
在发布本网站的 Optivalue.ai 平台上，Optivalue Reach 负责提醒第三方并收集其回复，平台再对其进行评估和评分，并保留可用于举证的追溯记录；问卷中的每条回答都标注其来源。
常见问题
在供应商风险管理的方案中应引用哪些文本？ 网络安全方面可引用《网络安全法》与网络安全等级保护制度（MLPS 2.0），金融机构运营韧性方面可引用国家金融监督管理总局（NFRA）关于操作风险的管理办法，供应商关系安全方面可引用 ISO/IEC 27036 标准；在部分市场，大型企业还须承担供应链尽职调查义务。这些都是采购方认可的公开参照标准。
如何证明端到端的风险覆盖能力？ 通过描述如何应对网络、财务、运营和非财务风险，而不仅仅是发送问卷来证明。覆盖能力是一项评审标准，而不是一句承诺。
什么是多层级供应链风险，为什么要处理它？ 多层级供应链风险，指的是来自您供应商的供应商的风险。处理这一层风险，能证明解决方案的视野超出了直接的一层供应商，而这正是采购方盲区最多的地方。
如何回应可追溯性方面的要求？ 通过描述每一次评估、提醒和决定是如何被加上时间戳并记录在案的，使其能够作为向监管机构或审计人员举证的依据。可追溯性往往是决定胜负的关键标准。
如何为演示做准备？ 需要获取采购方真实的第三方案例，并在这些案例上展示收集、评分和可追溯性的过程。
在您自己的文档上，处理一份真实的供应商风险问卷
带来一份真实的供应商风险管理招标文件。您将看到要求提取的覆盖率、逐页标注的来源，以及针对您回答的差距分析，而不是一场事先准备好的演示。
引用来源
- 《网络安全法》以及网络安全等级保护制度（MLPS 2.0，GB/T 22239-2019），网络与信息系统安全（中国大陆）。
- 国家金融监督管理总局（NFRA）关于操作风险的管理办法，金融行业运营韧性（中国大陆）。
- 供应链尽职调查义务（在部分市场适用；具体以适用的法律为准）。
- ISO/IEC 27036，供应商关系中的信息安全（国际标准）。