供应商分级安全管理规范

供应商分级安全管理规范一、总则（一）制定目的为规范公司各类合作供应商的安全管理，建立“分级分类、精准管控、动态考评、闭环整改”的供应链安全管理体系，有效防范供应商引入的生产安全、数据安全、网络安全、质量安全及合规风险，保障公司生产经营、信息系统、资产数据及业务稳定运行，降低供应链安全事故发生率，夯实供应链安全底线，结合公司实际经营及合作场景，特制定本规范。（二）适用范围本规范适用于公司所有外部合作供应商，涵盖生产物资供应、设备运维、技术服务、网络信息、工程施工、后勤服务、咨询外包、数据对接等所有类型合作单位，覆盖供应商准入、合作履约、日常管控、年度考评、退出终止全生命周期管理。所有参与供应商管理的采购、安全、技术、运维、质控及业务部门须严格遵照执行。（三）核心管理原则风险匹配、分级管控：依据供应商业务属性、风险等级、合作权重划分层级，匹配差异化安全管控标准，杜绝一刀切管理。事前准入、事中监管、事后复盘：建立全流程闭环管理，前置风险筛查，强化履约过程监管，落实年度考评与问题整改复盘。合规底线、安全优先：所有合作以安全合规为前提，任何供应商不得突破公司安全管理制度及行业合规标准。动态更新、优胜劣汰：实时更新供应商等级，根据履约情况、安全表现动态调整管控策略，落实奖惩与退出机制。权责清晰、协同管控：明确各部门管理职责，形成采购牵头、专业审核、业务落地、安全督查的协同管理体系。（四）术语定义供应链安全风险：指供应商在合作过程中，因生产操作、设备运维、网络技术、数据交互、施工服务等行为，引发的生产事故、数据泄露、网络攻击、质量缺陷、合规违规、业务中断等各类安全风险。分级管理：基于供应商风险等级、合作重要度、安全资质，划分不同管控层级，执行差异化准入、检查、考评、整改及合作策略。二、组织职责（一）采购管理部门作为供应商归口管理部门，负责本规范落地执行；统筹供应商准入初审、等级评定、档案管理、合作协议签订、日常对接；牵头组织年度安全考评、等级动态调整、供应商奖惩及退出流程落地。（二）安全管理部门负责制定供应商安全管控标准、考核细则；审核供应商安全资质、安全方案；开展定期安全抽查、专项督查、隐患排查；跟踪安全问题闭环整改；统计安全事故及违规记录，出具安全考评意见。（三）技术/信息部门负责对接技术类、信息化类、运维类供应商；审核供应商网络安全、数据安全、系统运维、接口对接安全资质；排查技术合作中的漏洞、数据泄露、系统入侵等风险；开展技术安全专项验收与督查。（四）业务使用部门负责供应商日常履约安全监管，实时反馈合作过程中的安全隐患、违规行为、质量问题；配合完成现场核查、考评打分、整改监督，落实一线安全管控责任。（五）法务合规部门负责审核供应商合作安全条款、保密协议、合规资质；界定安全事故责任，处理违规违约纠纷；保障供应链合作合法合规，规避法律风险。三、供应商安全分级标准结合供应商合作重要度、风险等级、业务权限、安全影响范围，将所有供应商划分为一级（核心高危）、二级（重要中危）、三级（常规低危）三个等级，实行层级化精准管控。（一）一级供应商（核心高危）适用范围：直接接触公司核心业务、核心数据、机密信息、关键生产设备、核心信息系统；合作失误或安全事故可直接导致公司业务中断、重大数据泄露、重大生产安全事故、巨额经济损失、品牌及合规风险的供应商。典型类型：信息化系统开发运维、网络安全服务、数据处理与存储、核心生产设备供应及维保、涉密服务、关键工程施工、核心技术外包供应商。分级特征：拥有公司内网/系统访问权限、数据读写权限、核心设备操作权限；业务不可替代性强；安全风险影响范围广、危害程度高。（二）二级供应商（重要中危）适用范围：参与公司重要业务、关键生产环节，不直接接触核心机密数据，但服务质量、操作安全可间接影响公司生产经营及业务稳定，存在一般性安全风险的供应商。典型类型：通用生产物资供应、辅助设备运维、常规工程施工、业务外包、系统辅助运维、办公技术服务供应商。分级特征：无核心数据访问权限，仅接触普通业务数据及公开业务场景；安全事故仅造成局部业务影响、一般性经济损失，无重大合规及涉密风险。（三）三级供应商（常规低危）适用范围：仅提供基础物资、通用服务，不接入公司系统、不接触业务数据、不参与核心生产环节，安全风险极低的供应商。典型类型：办公耗材供应、后勤保洁、普通物资配送、简易设备耗材、通用日用品供应商。分级特征：无系统权限、无数据接触、无高危操作；安全风险可控，仅存在基础质量及现场操作安全风险。四、分级安全管控细则（一）一级供应商管控（从严全控）准入管控：必须提供完整安全资质（ISO27001信息安全认证、安全运维资质、涉密资质等对应证书）；提交安全方案、风险防控预案、数据保密承诺、应急处置方案；通过安全、技术、法务、采购多部门联合现场审核；签订《安全合作协议》《保密协议》《数据安全责任书》，明确终身追责及违约赔偿条款。日常管控：实行月度安全巡查、季度专项审计；全程留存操作日志、运维记录、数据对接记录；严格权限分级管理，最小权限分配，定期清理冗余账号权限；禁止私自拷贝、传输、泄露公司任何数据信息；重大操作必须提前报备，由我方人员全程监督。考评频次：每半年开展一次专项安全考评，年度综合终审，全程留存审计报告及整改台账。合作限制：严禁私自转包、分包核心业务；如需外包必须提前报备并经我方审核同意，外包单位同步纳入安全管控体系。（二）二级供应商管控（常规严控）准入管控：核查基础营业执照、行业资质、安全生产证明；提交安全合规承诺书、服务安全保障方案；通过线上资料审核+抽样现场核查；签订标准化《安全合作协议》。日常管控：实行季度安全抽查、半年度常规检查；规范现场操作流程、设备运维流程；严禁违规操作、私自更改服务方案、违规接入公司设备及系统；业务部门全程日常监督反馈。考评频次：年度一次综合安全考评，针对问题建立整改台账，限期闭环。合作限制：核心服务不得转包，普通服务分包需提前告知备案。（三）三级供应商管控（基础管控）准入管控：基础资质资料审核，签订简易安全合规承诺书，明确基础安全责任。日常管控：年度常态化抽查，重点核查物资质量、现场操作安全、服务合规性，杜绝违规作业、劣质物资供应。考评频次：年度统一考评，以日常履约反馈、质量安全记录为核心依据。五、供应商准入安全管理（一）准入审核流程供应商申请合作→采购部门初审资质→对应专业部门安全风险评审→分级判定→签订安全及保密协议→准入建档→正式合作。所有新引入供应商必须先审核、后准入，严禁先合作后补审。（二）准入必审内容基础资质：营业执照、行业许可、资质证书、安全生产许可证等，资质过期、造假、不全者一律不予准入。安全履历：近2年无重大安全事故、无合规处罚、无数据泄露、无违约违规不良记录。安全能力：安全管理制度、风险防控机制、应急处置能力、人员安全资质、设备安全保障条件。合规承诺：自愿遵守公司安全管理制度，承担安全事故责任，接受督查考评及整改处罚。（三）准入否决条件（一票否决）存在以下情况之一的供应商，直接禁止准入，终身不得合作：近2年内发生重大安全责任事故；存在数据泄露、网络攻击、违规泄密等不良记录；资质造假、隐瞒重大风险；被行业监管部门处罚、列入失信名单；拒不签订安全责任协议、拒绝接受安全管控。六、动态考评与等级调整（一）考评维度与评分标准考评总分100分，涵盖安全资质（20分）、履约安全（30分）、隐患整改（20分）、合规自律（20分）、应急配合（10分），根据得分划分考评等级：优秀（90分及以上）、合格（70-89分）、不合格（70分以下）。（二）等级动态调整规则升级：连续2年考评优秀、无任何安全隐患、履约规范的二级、三级供应商，可申请提升管控等级，享受优先合作、付款优先等激励。保级：年度考评合格、隐患整改闭环、无违规记录的供应商，维持原有等级。降级：年度考评不合格、存在一般性安全隐患、整改不及时的供应商，降低管控等级，增加检查频次，限制合作份额。直接降级管控：出现轻微安全违规、未造成损失的，立即整改并做降级处理。（三）分级奖惩机制激励措施：年度优秀供应商，纳入核心合作名录，优先承接业务、缩短付款周期、减少督查频次、授予荣誉表彰，优先参与长期战略合作。惩戒措施：考评不合格供应商，下达整改通知书、暂停新业务合作、限期闭环整改；整改逾期未完成的，暂停合作、冻结款项；发生安全事故、造成公司损失的，依法追责、扣除保证金、终止合作。七、安全隐患整改与应急处置（一）隐患闭环管理日常检查、专项督查发现的安全隐患，由安全部门出具《隐患整改通知书》，明确整改内容、整改时限、责任人；建立“发现-登记-下发-整改-复核-销号”闭环台账，逾期未整改、整改不到位的，从严追责。（二）安全事件应急处置合作过程中发生数据泄露、设备故障、生产事故、系统异常等安全事件，供应商须第一时间停止作业、立即上报公司对应部门，不得隐瞒、拖延、篡改数据；公司快速启动应急预案，开展风险处置、损失管控、溯源追责，事后组织专项复盘，完善防控措施。八、供应商退出管理（一）主动退出供应商因自身原因终止合作的，须提前30日书面报备，完成工作交接、权限注销、资料归还、隐患清零，经多部门审核无误后，办理退出手续。（二）强制退出（黑名单机制）存在以下情况之一，立即终止合作，纳入供应商黑名单，终身禁止合作：发生重大安全责任事故、造成公司重大损失或声誉损害；恶意泄露公司数据、涉密信息；违规转包核心业务、拒不整改重大安全隐患；年度连续两次考评不合格；弄虚作假、恶意违约、拒不承担安全责任。九、档案与权限管理（一）档案管理为所有供应商建立专属安全档案，统一归档资质文件、安全协议、检查记录、考评结果、整改台账、应急事件记录、等级调整记录，实现一户一档、全程可追溯，档案长期留存。（二）权限管控严格执行供应商最小权限原则，按需分配系统、设备、场地访问权限；定期开展权限清查，及时注销离职、到期、终止合作供应商的所有权限，杜绝权限冗余引发安全风险。十、监督考核与责任追究（一）日常督查安全管理部门联合采购、业务部门开展常态化督查，重点