供应链尽责管理实操指南
全景图谱
六大支柱架构·业务连续性整合·质量管理定位
本文是全套尽责管理（DD, 俗称尽职调查）实操指南的导航框架，回答三个关键问题：
（一）供应链尽责管理涵盖哪些领域，它们如何分工协作？
（二）业务连续性管理（BCM）与尽责管理是什么关系？
（三）质量管理为何不是一个独立的尽责管理支柱，但又与所有支柱密切关联？
阅读本章不需要按顺序阅读其他章节；本章可独立作为项目启动会、管理层汇报或新成员入职的说明材料使用。
0.1 供应链尽责管理为什么需要六个支柱
传统供应链管理关注的是价格、交期和质量。负责任商业行为（Responsible Business Conduct, RBC）的兴起，要求企业同时管理供应链对社会、环境和治理（ESG）产生的负面影响。《经合组织负责任商业行为尽责管理指南》（2018年版）是目前覆盖面最广的国际框架，但它所定义的"尽责管理议题"在实践中已远超其矿产供应链的原始范围，演变为六个相互关联但各有侧重的专业领域。
这六个领域并非独立存在的"清单项"，而是构成同一个风险识别与管理体系的不同切面——针对同一家供应商，一次综合审核可能同时触及所有六个维度。
| 支柱 | 核心问题 | 主要框架 | 本系列对应文件 |
|---|---|---|---|
| ① 社会责任 (Social) | 供应商如何对待工人和社区？ | ILO核心公约；SA8000；UN UNGPs；EU CSDDD；德国LkSG | 劳工与社会责任审核指南 |
| ② 环境合规 (Environmental) | 供应商如何管理其环境影响？ | ISO 14001；GHG Protocol；TNFD；EU CSRD/ESRS；中国双碳目标 | 环境合规审核指南 |
| ③ 供应链安全 (Security) | 供应商能否保证货物和信息系统的完整性与安全？ | C-TPAT 2020；AEO；ISO 28000:2022；ISO 27001:2022；NIST CSF 2.0；中国网安三法 | 供应链安全、网络与数据合规审核指南 |
| ④ 知识产权与反仿冒 (IP & Anti-Counterfeiting) | 供应商是否侵犯知识产权？其采购的物料是否为正品？ | TRIPS协议；美国NDAA；EU产品责任指令2024；SAE AS5553（航空）；中国商标法/专利法 | 知识产权保护审核指南 |
| ⑤ 商业道德与财务韧性 (Ethics & Financial Resilience) | 供应商的商业行为是否诚信合规？其财务状况是否健康？ | ISO 37001；UK Bribery Act；FCPA；透明国际CPI；邓白氏/惠誉信用评级 | 商业道德与财务韧性审核指南 |
| ⑥ 矿产与原材料溯源 (Mineral Traceability) | 矿产来源是否符合负责任采购要求？ | OECD DDG五步法；RMAP；CMRT；EU EUDR；US UFLPA | 尽职调查审核指南 |
质量管理的定位：质量管理（ISO 9001、IATF 16949、ISO 13485、GMP等）是供应链管理的基础能力，但不作为第七个DD支柱——原因详见0.5节。
0.2 六大支柱如何相互关联
六个支柱之间存在大量交叉，处理任何一个支柱的风险时，往往会触发另一个支柱的议题。一个很容易理解的例子：财务韧性差的企业，大概率缺乏对供应链的调度能力，也更容易受到高风险但低成本的供应诱惑，也更容易铤而走险、漠视其他方面的责任，例如环境、知识产权等。 下图描述主要的交叉关系：
| 交叉关系 | 说明 | 实践影响 |
|---|---|---|
| 社会 ↔ 环境 | 非正规采矿（ASM）同时存在童工、强迫劳动（社会）和汞污染、尾矿泄漏（环境）风险 | 矿产供应链审核须同步覆盖两个支柱 |
| 社会 ↔ 商业道德 | 供应商向审核员行贿（道德）以掩盖工人虐待（社会） | 反腐败控制是社会审核可信度的前提 |
| 环境 ↔ 安全 | 工业废水排放（环境）+数据泄露（安全）可同时触发EU CSRD和NIS2双重披露义务 | 披露合规须协调两个支柱的报告要求 |
| 安全 ↔ IP | 集装箱货物被调包（安全）→ 假冒品进入市场（IP）；软件供应链攻击（安全）→ 源代码被盗（IP） | 货物完整性管控同时服务安全和IP两个目标 |
| IP ↔ 矿产溯源 | 矿产标签造假、来源地虚报本质是IP/文件仿冒问题 | 链路追溯（CoC）文件的真实性验证跨越两个支柱 |
| 道德/财务 ↔ BCM | 供应商财务危机（道德/财务支柱识别）→ 供应中断风险（BCM触发点） | DD财务评估是BCM触发决策的关键输入 |
0.3 业务连续性管理（BCM）与尽责管理的关系
0.3.1 两者的本质差异
供应链尽责管理和业务连续性虽然相关，但它们解决的是不同问题：
| 维度 | 供应链尽责管理 | 业务连续性管理 |
|---|---|---|
| 核心问题 | "我的供应链在运营过程中是否合规（负责任）？" | "如果供应链中断，我能维持经营吗？" |
| 时间视角 | 当前状态评估（现在是什么风险） | 未来场景规划（发生时怎么办） |
| 主要标准 | OECD DDG；UN UNGPs；各国法规 | ISO 22301；ISO 22316（韧性） |
| 输出成果 | 风险图谱；整改行动计划；披露报告 | 业务影响分析；恢复预案；演练记录 |
| 触发方式 | 持续进行（年度审核+事件触发） | 持续维护（年度演练+中断事件激活） |
| 负责团队 | 合规/采购/ESG | 运营/风险管理/IT |
0.3.2 尽责管理是业务连续性管理的信息基础
ISO 22301（BCM标准）第6.2条要求"业务影响分析（BIA）"和"风险评估"作为BCM建立的前提。这两项工作的核心内容，与供应链尽责管理高度重叠：
- 尽责管理识别出某关键原材料的唯一来源供应商位于地震高频区 → BCM规划备用采购渠道和安全库存水位
- 尽责管理的财务韧性评估发现供应商资产负债率异常升高 → BCM将该供应商标记为"中断风险升级"，触发备用供应商激活准备
- 尽责管理的信息安全审核发现供应商无业务连续性计划 → BCM评估其系统中断对己方的连带影响
- 尽责管理的社会审核发现某工厂劳资关系紧张 → BCM将罢工风险纳入供应中断情景
实践案例：丰田2011年东日本大地震后建立的"供应链韧性计划"，正是将尽责管理的供应商风险图谱（地理集中度、单一来源识别）与BCM的供应中断恢复预案系统性整合的标志性案例。苹果公司的Supplier Responsibility程序同样在尽责管理评估结果中直接触发BCM相关的双源策略决策。
0.3.3 BCM触发决策树
以下决策树帮助判断何时应将尽责管理识别的风险升级为BCM行动：
| 尽责管理发现项类型 | 风险等级 | BCM触发行动 |
|---|---|---|
| 供应商为关键物料/服务的唯一来源（无替代供应商） | 高 | 立即启动双源/多源策略评估；设定安全库存下限 |
| 供应商位于自然灾害高频区（地震带、洪涝区、台风路径） | 中-高 | 要求供应商提供BCM计划；评估己方安全库存周期 |
| 供应商财务状况恶化（付款延迟≥2次、信用评级下调、传言资金链断裂） | 高 | 激活备用供应商资质预审；提前锁定关键物料库存 |
| 供应商遭受重大网络攻击或数据泄露事件 | 高 | 启动己方安全事件响应；评估数据暴露范围；暂停敏感数据传输直至恢复确认 |
| 供应商所在地政治风险上升（制裁、出口管制变化、边境封锁） | 中-高 | 法务评估合规持续性；采购评估替代来源可行性；设立监控预警 |
| 供应商核心关键人员（创始人/技术负责人）离职或被调查 | 中 | 评估知识转移风险；加强技术文件留存要求 |
| 供应商通过整改但合规能力边际（一年内两次高风险发现） | 中 | 纳入BCM"关注名单"；季度监控；采购分散计划 |
0.4 综合供应商风险评分矩阵
单一支柱的风险评分有其局限性：一家社会责任评分优秀但信息安全极差的供应商，其综合风险并不低。下表提供跨支柱综合评分框架，可作为供应商分级管理和审核资源分配的决策依据。
0.4.1 综合评分框架（满分100分）
| 支柱 | 权重（基准） | 核心评分输入 | 数据来源 |
|---|---|---|---|
| ① 劳工与社会责任 | 20分 | 最近审核等级；主要发现项级别；整改完成率；认证状态（SA8000/SMETA等） | 第三方审核报告；供应商自评（SAQ） |
| ② 环境合规 | 15分 | ISO 14001认证；碳排放数据质量；重大环境违规记录；危废合规状态 | 审核报告；企业环境信用系统（IPE）；政府处罚公告 |
| ③ 供应链安全 | 20分 | C-TPAT/AEO认证状态；ISO 27001/等保合规；信息安全事件历史；物理安全审核得分 | 安全审核报告；认证机构查验；SecurityScorecard等工具 |
| ④ 知识产权保护 | 10分 | 假冒品投诉历史；IP授权管理体系；来料正品核验机制；海关知识产权备案 | 买家投诉记录；海关数据；第三方IP监测 |
| ⑤ 商业道德与财务韧性 | 20分 | 反贿赂政策（ISO 37001）；腐败风险指数（所在国TI CPI）；D&B信用评级；客户集中度；付款行为 | 征信数据（D&B/慧科）；TI CPI；审计报告 |
| ⑥ 矿产溯源合规 | 15分 | CMRT提交质量；冶炼厂RMAP合规率；CAHRA国家暴露；ASM风险 | CMRT分析；RMAP数据库；OECD CAHRA清单 |
权重调整说明：基准权重适用于一般制造业供应商。行业特殊情形下应调整：矿产/原材料供应商应提高⑥的权重（至25分），相应降低③；科技/汽车供应商应提高③（至30分），相应降低⑥；高风险采购国家供应商应提高⑤（至30分）。
0.4.2 综合得分解读与行动矩阵
| 综合得分 | 风险等级 | 审核频次 | 主要行动 |
|---|---|---|---|
| 85—100分 | 低风险 ✓ | 每2年一次全面审核+年度SAQ | 纳入优选供应商名单；维持年度声明；轻量级监控 |
| 70—84分 | 中等风险 ◑ | 每年一次全面审核 | 重点支柱专项改善计划；6个月跟踪复查 |
| 55—69分 | 高风险 ▲ | 半年一次审核；含突击性访问 | 启动整改行动计划（CAP）；3个月关键发现项整改期；BCM备用供应商预审 |
| 40—54分 | 极高风险 ✕ | 季度跟踪；考虑暂停新订单 | 高管层通报；第三方专项核查委托；限期整改或启动供应商替换流程 |
| ＜40分 | 不合格 ✕✕ | 立即升级处理 | 暂停新订单；启动替换流程；必要时配合监管机构调查 |
0.5 质量管理的定位：尽责管理指标而非尽责管理支柱
在本系列的编制过程中，质量管理曾被提议作为供应链尽责管理的第七个独立支柱，但最终决定是：质量管理是尽责管理风险评估的重要输入指标，而非一个平行的尽责管理支柱。理由如下：
0.5.1 为什么质量不作为独立支柱
| 维度 | 六大尽责管理支柱 | 质量管理 |
|---|---|---|
| 核心问题 | "供应商是否负责任地运营？"（合规/道德/ESG） | "供应商能否持续交付符合规格的产品？"（能力/绩效） |
| 驱动机制 | 法律义务（CSDDD/LkSG/UFLPA）+道德承诺 | 合同义务（规格书/验收标准）+市场竞争 |
| 标准体系 | 跨行业通用（OECD DDG/UN UNGPs） | 高度行业专属（IATF16949/ISO13485/GMP各自独立） |
| 审核人员 | 合规/CSR/ESG审核员 | 质量工程师（SPC/APQP/PPAP等专业背景） |
| 现有成熟度 | 实践相对新兴，本系列有填补空白的价值 | 已有ISO9001等数十年积累，本系列无需重复 |
0.5.2 质量如何融入尽责管理工作
尽管质量管理不单独成支柱，质量相关信息在尽责管理工作中仍有重要价值，体现在以下三个维度：
- 质量体系认证作为管理能力代理指标：持有ISO 9001/IATF 16949等认证的供应商，其流程文件化程度、纠正行动机制、内审制度均高于无认证供应商。在前述0.4节的综合评分中，可在⑤商业道德/财务韧性维度下加分（+2至+5分），作为管理成熟度的正向信号。
- 产品安全合规作为法律尽责管理义务：EU《通用产品安全条例》（GPSR 2024）、中国强制性国家标准（GB）体系、FDA 21 CFR等将产品安全合规确立为品牌商的法律义务。供应商产品缺陷导致的召回，在法律上可追溯至品牌商的尽责管理失职。产品安全条款应纳入供应商行为准则（SCoC）第一章的必填要求。
- 假冒/劣质材料作为IP和安全的交叉议题：供应商使用假冒原材料（如仿冒半导体、假冒螺栓）同时触发④知识产权支柱（IP侵权）和③安全支柱（货物完整性）。这一场景在美国NDAA（国防供应链假冒元器件禁令）、SAE AS5553（航空假冒件标准）中均有专项规定，应在安全审核和IP尽调的联合框架下处理。
实操建议：在供应商SAQ中加入两个质量相关问题即可满足DD需求：（1）贵司持有哪些质量管理认证（ISO 9001/IATF 16949/ISO 13485/GMP等）？有效期至何时？（2）过去两年内是否发生过客户要求的强制召回事件？如有请说明处理结果。这两个问题的答案已足够为综合风险评分提供所需的质量维度信息，无需引入完整的质量审核流程。
0.6 适用范围决策：哪类供应商须接受哪些支柱审核
并非所有供应商都需要接受全部六个支柱的完整审核。以下矩阵帮助采购和合规团队快速决定审核范围，合理分配审核资源：
| 供应商类型 | ①社会 | ②环境 | ③安全 | ④知识产权 | ⑤道德/财务 | ⑥矿产 |
|---|---|---|---|---|---|---|
| 制造商（出口欧美） | ●全面 | ●全面 | ●全面 | ○按需 | ●基础 | ●如含矿产 |
| 原材料/矿产供应商 | ●全面 | ●全面 | ○基础 | ●全面 | ●全面 | ●全面 |
| 贸易商/分销商 | ○基础 | ○基础 | ●重点（货物完整性） | ●全面（假冒风险高） | ●全面（腐败风险） | ●透明度要求 |
| IT/软件供应商 | ○基础 | ○轻量 | ●全面（信息安全） | ●全面（IP/代码） | ○基础 | ✕不适用 |
| 物流/运输商 | ○基础 | ○碳足迹 | ●全面（C-TPAT/AEO） | ○按需 | ○基础 | ✕不适用 |
| 品牌代理/渠道商 | ✕ | ✕ | ○基础 | ●全面（平行进口/仿冒） | ●全面（腐败渠道风险） | ✕不适用 |
| 工程/建筑承包商 | ●全面（工人安全） | ●全面（施工废弃物） | ○基础 | ○轻量 | ●基础 | ✕不适用 |
●=完整审核， ○=基础评估或问卷， ✕=通常不适用
0.7 系列使用指南
0.7.1 文件架构总览
| 文件 | 定位 | 主要读者 |
|---|---|---|
| 劳工与社会责任审核指南 | 支柱①：社会责任框架、劳工标准、买家要求对比 | 社会责任审核员；供应商合规团队 |
| 环境合规审核指南 | 支柱②：ISO 14001、碳管理、水资源、生物多样性、受限物质 | 环境审核员；工厂环保团队 |
| 供应链安全、网络与数据合规审核指南 | 支柱③：物理安全（C-TPAT）、信息安全（ISO 27001）、数据合规（PIPL/GDPR） | 安全审核员；IT安全团队；合规 |
| 知识产权保护审核指南 | 支柱④：知识产权（IP）、反假冒 | 知识产权审核员；知产团队；合规 |
| 商业道德与财务韧性审核指南 | 支柱⑤：道德、反贿赂、财务安全与韧性 | 合规审核员；财务；合规；审计 |
| 尽职调查审核指南 | 支柱⑥：OECD DDG操作手册、矿产溯源、行业专项 | 合规/采购/ESG从业者；管理层 |
| 名词解释与缩略词索引 | 尽责管理系列共享词汇表：术语定义 + 缩略词索引 | 全体使用者 |
0.7.2 推荐阅读路径
| 使用场景 | 推荐起点 | 扩展阅读 |
|---|---|---|
| 刚接触DD，需要从零建立体系 | 本文→ 尽职调查审核指南第1章（基础文件）→ 第2—3章（风险评估） | 再按需选读三本专业指南 |
| 准备接受客户C-TPAT/AEO审核 | 供应链安全、网络与数据合规审核指南第4—7章（物理安全） | 尽职调查审核指南第1章（SCoC安全条款） |
| 应对欧盟CSRD/LkSG披露要求 | 尽职调查审核指南第J章（环境披露）→ 第I章（行业框架） | 环境合规审核指南第6—7章 |
| 评估新供应商综合风险 | 本文0.4节（综合评分矩阵）→ 本指南第4章（风险情报） | 六本专业指南对应支柱的审核检查表 |
| 供应链中断应急响应 | 本文0.3.3节（BCM决策树） | 供应链安全审核指南第8.6节（BCM） |
| 行业专项（汽车/电子/服装等） | 尽职调查审核指南第I章（行业专项框架） | 对应专业指南中的行业特殊要求章节 |
──────────────────────────────────────────────────────────────────