供应商与分包商 ESG 与安全尽调问卷（本企业作为采购方使用）

章节结构（7）

1. 1. 供应商分级与问卷适用规则

   先定分级规则，再定问卷深度。建议按四个维度打分：是否接触客户数据或个人信息、是否支撑关键或重要业务职能、是否位于地缘或劳工高风险地区、以及年度采购金额与可替代性。据此分为三档：完整问卷 + 现场或远程核查（如算力与数据标注供应商）、标准问卷 + 文件核验（如常用 SaaS）、简化声明（如低风险办公采购）。把分级结果与复评周期写进采购制度，并在供应商主数据中作为字段维护。注意欧盟层面的供应链尽职调查规则近年反复修订：企业可持续发展尽职调查指令 (EU) 2024/1760 已被 Omnibus I 指令 (EU) 2026/470 修订，营业额门槛由 4.5 亿欧元提高至 15 亿欧元、雇员门槛由 1 000 人提高至 5 000 人，这意味着一部分曾以"我们受 CSDDD 管辖"为由向你施加尽调义务的欧盟客户，可能已不在适用范围内 —— 收到条款清单时先确认对方是否仍落入修订后门槛，再决定承诺深度。同时记住：即使对方仍在范围内，指令本身（序言第 66 项）明确"仅靠合同保证本身不能满足其尽职调查标准"，所以对方不会只要你签字，还会要求可验证的执行证据；反过来，你也不应以为签一份供应商行为准则就完成了自己这一层的尽调。设计问卷深度时以修订后文本与客户实际合同要求为准，不要照搬旧版条款清单。

   需要附的证据

   • · 供应商分级规则与打分表
   • · 供应商主数据中的分级字段与复评周期设置
   • · 各档问卷模板与适用范围说明
   • · 本期已完成尽调的供应商清单与覆盖率统计

   常见失分点

   • · 对所有供应商发同一份长问卷，回收率低且关键供应商反而未被深查
   • · 分级只做一次，供应商角色变化（如从工具供应商变为数据处理者）后未升级
   • · 把尽调做成签一份承诺函，没有任何验证动作

2. 2. 主体信息、股权结构与关联方

   采集：法律实体全称与注册地、实际经营地、集团结构与最终受益人、主要股东与控制关系、是否存在被管制名单相关的关联方、以及履约主体与合同主体是否一致。对涉及数据或技术转移的供应商，还要问清其数据与技术的可访问方（包括其母公司、关联方与外包方所在地）。这一节的目的不是做背景调查公司的活，而是让你在客户或监管追问"你的供应链里有没有某某"时能在一小时内回答，而不是启动一次全公司排查。

   需要附的证据

   • · 供应商主体信息表与营业执照/注册证明
   • · 股权结构图与最终受益人声明
   • · 管控名单筛查记录（筛查日期、所用名单、结论）
   • · 履约主体与合同主体一致性确认
   • · 数据与技术可访问方清单（含地理位置）

   常见失分点

   • · 只核查签约主体，实际交付由其境外关联方执行且从未披露
   • · 名单筛查一次做完不再复筛，名单更新后风险敞口无人知晓
   • · 最终受益人信息缺失，客户追问时无法回答

3. 3. 劳工与人权：用工方式、工时工资与申诉机制

   对数据标注、内容审核、代工制造这三类供应商，这是最实质的一节。问项应包括：用工形式（直雇、劳务派遣、众包、学生工）、最低年龄与身份核验方式、工时与加班管理、计件或计时的报酬结构与最低工资对照、社会保险缴纳情况、强制劳动与抵债劳动的防范措施、申诉渠道及其独立性、以及内容审核岗位的心理健康支持。验证方式要写清：接受何种证明（工资表抽样、第三方审核报告、工会或员工代表访谈），以及在何种情况下需要现场核查。注意问卷本身会采集个人信息，设计时应采用汇总或去标识形式，避免把供应商员工的个人信息大量归集到自己这里。

   需要附的证据

   • · 用工形式与人数结构说明（汇总口径）
   • · 工时与报酬政策文件、最低工资对照说明
   • · 第三方劳工审核报告或社会责任认证（如有）
   • · 申诉渠道说明与上一年度申诉处理统计（汇总）
   • · 内容审核岗位的心理健康支持措施说明
   • · 现场核查记录（如已执行）

   常见失分点

   • · 只收一份《不使用童工与强制劳动承诺函》即视为完成尽调
   • · 问卷要求提供员工名单与身份证号，自身反而产生个人信息合规风险
   • · 发现问题后终止合作而不推动整改，风险转移到更不透明的下游供应商

4. 4. 环境与碳数据：能耗、排放与数据提供能力

   你向供应商采集碳数据的直接动因是自己的范围三（尤其是类别 1 采购的商品和服务与类别 2 资本商品）。问项要设计成"能直接进入你自己清单"的形式：供应商是否核算并披露自身范围一/二、是否可按你的采购量提供分摊数据、采用何种方法与因子、是否经第三方保证、以及能否按你的报告周期按时提供。同时问环境许可与合规记录（排污、能耗、危废处置），对硬件供应商还要问产品层面的能效与材料信息。最关键的一条落地建议：把"按约定口径与时限提供碳数据"写进合同条款，而不是每年靠邮件催 —— 拿不到数据时只能退回支出法估算，而客户会发现精度下降。

   需要附的证据

   • · 供应商碳数据提供能力问卷与实际提供的数据表
   • · 供应商核算方法与因子说明、第三方保证报告（如有）
   • · 合同中的碳数据提供条款文本
   • · 环境许可证与合规记录（排污、能耗、危废）
   • · 硬件产品能效与材料信息（如适用）

   常见失分点

   • · 合同没写数据提供义务，报告期结束后才发现关键供应商不配合
   • · 供应商提供的碳数据口径与自己的合并方法不一致，直接相加导致错误
   • · 只向一级供应商索数，硬件与矿产环节的排放长期缺失且不披露

5. 5. 信息安全与数据保护：控制、认证与事件义务

   问项应与你对客户的承诺对齐 —— 你向客户承诺什么，就要向供应商要求什么，否则承诺链条会断在中间。核心问项：所持认证与报告（证书编号、范围、有效期，或 SOC 2 报告类型与覆盖期间）；访问控制与加密；数据存储位置与可访问人员的地理分布；再委托（子处理者）的管理与通知机制；漏洞管理与修复时限；事件通报时限与通报对象；以及退出时的数据返还与删除。对提供软件或组件的供应商，追加软件物料清单与漏洞披露安排。对涉及个人信息的供应商，须签署数据处理协议并取得跨境传输所需的机制文件。

   需要附的证据

   • · 供应商认证证书与审计报告（含范围与有效期核验记录）
   • · 已签署的数据处理协议与安全附件
   • · 子处理者清单与变更通知条款
   • · 事件通报条款与演练/历史事件记录
   • · 软件物料清单与漏洞披露安排（软件与组件供应商）
   • · 退出时数据返还与删除的约定及验证方式

   常见失分点

   • · 向客户承诺 24 小时事件通报，与供应商却只约定"及时通知"
   • · 收到证书即归档，不核验范围是否覆盖你采购的服务
   • · 未约定子处理者变更通知，供应商静默更换云厂商导致数据落地国变化

6. 6. AI 供应商专项：模型、数据与算力供应商的追加问项

   基础模型与 API 供应商：模型版本与变更通知机制、使用条款中的用途限制与再分发限制、输入数据是否用于其训练、输出的权利归属与赔偿安排、可提供的技术信息与评估结果、以及服务终止或模型下架时的迁移安排。数据供应商：数据来源与取得方式、权利链条与可转授范围、是否含个人信息与敏感信息、标注质量与流程。算力与云供应商：区域与可用区、运维访问的地理分布、能耗与碳数据、以及硬件供应链信息。这一节的输出直接决定你能对自己的客户承诺什么 —— 任何超出供应商给你的授权与信息范围的对外承诺，都是你自己承担的风险敞口。

   需要附的证据

   • · 第三方模型使用条款摘录与用途/再分发限制清单
   • · 模型版本与变更通知机制的约定
   • · 数据供应商的权利链条文件与可转授范围确认
   • · 算力供应商的区域、运维访问地理分布与碳数据
   • · 服务终止/模型下架时的迁移与过渡安排条款

   常见失分点

   • · 对客户宣称"模型可用于任何商业场景"，而第三方模型条款明确禁止某些行业用途
   • · 数据供应商只提供"合法获得"的口头保证，无权利链条文件
   • · 模型供应商静默升级导致产品行为变化，客户投诉后才发现无变更通知条款

7. 7. 验证、整改与持续监控

   尽调的价值在验证而不在收表。按分级确定验证方式：文件核验（证书、报告、政策）、远程访谈、抽样测试（如要求提供某项控制的执行证据）、现场核查。发现问题时优先推动整改而不是立即终止 —— 记录问题、约定整改措施与期限、跟踪闭环、必要时暂停新增业务。同时建立持续监控：定期复评、名单与舆情监控、合同中的审计权与信息更新义务、以及重大变化的主动通知义务（股权变更、关键人员流失、重大安全事件、被列入管制名单）。把这套记录保存好 —— 当你的客户来审查你的供应链管理时，它就是最直接的答卷。

   需要附的证据

   • · 验证方式与执行记录（按供应商分级）
   • · 问题清单与整改跟踪表（措施、责任人、期限、闭环证据）
   • · 合同中的审计权、信息更新与重大变化通知条款
   • · 持续监控记录（复评日期、名单筛查、舆情提示）
   • · 供应商退出与替代方案评估

   常见失分点

   • · 问卷回收后无人阅读，风险信号被埋在附件里
   • · 整改承诺无期限与责任人，一年后原样存在
   • · 合同没有审计权，客户要求你核查供应商时无权进入
   • · 把供应链尽调当作一次性项目，供应商换了都不知道