供应商风险识别：一级供应商之外的第二层和第三层怎么扫（供应链映射、层级穿透、信息获取）

供应商风险识别：一级供应商之外的第二层和第三层怎么扫（供应链映射、层级穿透、信息获取）本文档提供：表2穿透对象优先级判定表；表3层级映射记录表；表4多源信息获取对照表；表5钻石结构检测表；表6缺口标记与置信度表；式(1)二级三级穿透覆盖率；式(2)隐藏集中度指数；式(3)置信度加权覆盖指数；表7停摆排查表；四段式矛盾规则；表8三套场景表；完整案例一个。2026-11-03表1目录与定位表这一节的标题读完你能拿到什么这一节在全文中的功能一、不是所有一级供应商都值得往下扫：先定穿哪几条线表2穿透对象优先级判定表从一级供应商中筛出必须先穿透的对象二、从一级倒推，再用公开数据侧扫：二级三级的骨架怎么搭表3层级映射记录表和式(1)建立可核对的二级三级供应商映射三、一级不肯说，不等于拿不到：四条信息渠道和各自的拿法表4多源信息获取对照表在披露受阻时用替代来源补数据四、双源不等于安全：用表5查“钻石结构”和隐藏单点表5钻石结构检测表和式(2)识别一级分散掩盖的二级集中五、扫不到的地方怎么标：缺口、置信度和下一步动作表6缺口标记与置信度表和式(3)把未穿透项转成可跟踪的缺口记录六、穿透做了一轮就停，先查这五处表7停摆排查表定位二级三级映射中断的环节七、什么时候往下钻、什么时候停在一级：四条规则和一处矛盾四条决策规则和矛盾权衡规则处理穿透深度与可得信息的冲突八、完整版、精简版、极简版按供应链类型选表8三套场景表按供应链形态选择穿透范围按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一级供应商交来一份“关键子供应商清单”，8家名单中有5家填的是“商业敏感，不便披露”，另外3家只给了公司名、没有工厂地址。季度供应商风险报告里，二级三级那一栏已经连续两期写“数据采集中”。一、不是所有一级供应商都值得往下扫：先定穿哪几条线一级供应商数量通常远大于可以穿透的容量。70%的采购负责人对三级供应商的风险可见性没有信心，约40%对二级供应商同样如此。全量穿透不现实，先按表2从一级供应商中筛出穿透对象。表2穿透对象优先级判定表判定问题答“是”时答“否”时判定示例该一级供应商是否提供收入关键产品中不可替代的输入进入穿透名单，优先级“高”暂不穿透，留在观察名单某型号专用芯片的一级代理，无可替代料号，优先级高该一级供应商的采购是否集中在少数品类进入穿透名单，优先级“中”低优先级一级贸易商采购品类分散，优先级降为低该一级供应商是否已声明存在单一来源或长周期再认证进入穿透名单，优先级“高”按前两项判定一级铸造厂声明某特殊涂层只有一家合格供应商，优先级高该一级供应商是否同时向多个业务单元供货穿透后重点查共享上游穿透范围限于本业务单元同一一级供应商同时供货三条产品线，穿透时查共用二级来源该一级供应商是否属于合规登记册要求覆盖的类别按登记册要求穿透到子外包层按业务需要穿透金融类ICT服务商的子外包须列入信息登记册，按合规要求穿透表2的前三项答完，穿透名单通常落在一级供应商总数的15%至30%之间。第四项决定穿透后查什么：向多个业务单元供货的一级供应商，二级来源被多个产品线共用，穿透记录中“影响范围”列必须写清共用该二级来源的产品线名称。第五项来自合规登记册要求：受监管行业的子外包安排需要以固定结构记录在登记册中，这使穿透到二级在某些场景下不是可选项，而是登记册的必填项。二、从一级倒推，再用公开数据侧扫：二级三级的骨架怎么搭二级三级的映射从一级供应商出发，但不完全依赖一级供应商的回答。两条腿同时走：倒推线负责结构，侧扫线负责验证。倒推线的动作：打开一级供应商合同和采购订单，对表2筛出的每一家一级供应商，记录“我从它那里买什么、用在哪个产品、提前期多长、是否单一来源”。然后问同一个问题：这个输入的一级制造发生在哪个具体工厂。倒推记录到工厂级，不停在公司级。二级供应商是“给这个一级工厂供货的实体”，三级是“给这个二级工厂供货的实体”。侧扫线的动作：用公开的贸易和运输记录交叉核对一级供应商的进口关系。提单和海关申报记录反映实际的跨境采购活动，而非供应商自报的采购结构。对表2中优先级“高”的一级供应商，在可用的贸易数据中检索其作为进口方的记录，记录中出现频率高、与关键输入HS编码匹配的出口方，作为二级候选写入表3，标注来源“公开贸易记录”。表3层级映射记录表记录编号上游层级实体名称站点地址供给哪个一级站点输入物料或服务HS编码或品类信息来源穿透状态M-011二级某特种涂层厂某工业园区B区一级铸造厂S-03涡轮叶片涂层3824一级RFI回复已确认M-012二级某微控制器厂某科学园区一级电子厂S-0732位MCU8542提单侧扫待验证M-013三级某单晶硅片厂某开发区二级微控制器厂M-012硅片衬底3818贸易记录推断推断“穿透状态”列只填“已确认”“待验证”“推断”三种值。“已确认”指一级供应商书面回复或供应商验证流程确认；“待验证”指公开数据中出现但未经供应商确认；“推断”指从多层贸易记录中反推、尚未与任何一层供应商核实。式(1)二级三级穿透覆盖率K=F÷P×100%变量定义：K为穿透覆盖率，以百分比表示；F为表3中“穿透状态”为“已确认”且“站点地址”非空的二级和三级记录数；P为表2穿透名单中一级供应商所对应的、识别出的二级和三级记录总数，含“推断”记录。两个常见错误：把“推断”记录算进F，覆盖率虚高；P只算二级、漏掉三级，导致穿透深度被高估。校验方法：手里有表3；逐行筛选“穿透状态”列；算出的K与上一轮K对照，K下降超过10个百分点时，在穿透记录第一行写“已确认记录减少，检查供应商回复延迟或人员变动”。示例：P=34，F=11（8条已确认二级、3条已确认三级），K=11÷34×100%=32.4%。上一轮K=41.2%，下降8.8个百分点，不触发预警，但在记录中标注“本轮新增推断记录9条，待验证”。三、一级不肯说，不等于拿不到：四条信息渠道和各自的拿法一级供应商隐瞒次级供应商数据的动机常见于保护利润空间和防止去中介化。依赖单一“请一级供应商填写”的渠道，穿透覆盖率会停在低水平。表4列出四条并行渠道，每条渠道有自己的拿法和局限。表4多源信息获取对照表渠道拿什么具体动作能得到什么层级局限示例合同披露条款分包链的合同义务在一级合同中写入分包限制与透明披露条款，要求披露关键子供应商的名称、地址、认证和分包层级二级为主，部分三级存量合同无此条款，需等到续签或补充协议某电子件合同中加入“关键子供应商披露附件”，要求签约后60天内提交RFI与供应商验证一级供应商主动声明的二级清单向穿透名单内一级供应商发结构化RFI，字段含子供应商名称、地址、供给关系、单一来源状态；对关键节点要求供应商验证确认二级，经确认后可靠大型供应链耗时，部分一级供应商不回复或只给公司名8家一级供应商中5家回复RFI，其中2家只给名称不给地址公开贸易与运输记录实际跨境采购关系按一级供应商名称和关键HS编码检索提单、海关申报记录，提取高频出口方二级候选，可推断三级只覆盖跨境海运为主的采购；贸易记录不等于当前合同关系从提单记录中发现某二级微控制器厂同时向三家一级供应商发货中立系统与共享审计不暴露商业身份的披露通过中立披露系统收集子供应商信息，或采信共享审计报告中对共有子供应商的评估结论二级，部分三级需要参与方共同采用；共享审计的覆盖范围有限两个采购方对同一二级供应商采信同一份共享审计报告，不重复现场审核四条渠道在动作上必须并行，不能串行等待。合同条款是长期渠道，RFI是按轮次执行的短周期渠道，公开记录是桌面可完成的低成本渠道，中立系统和共享审计适合已经存在共同子供应商的场景。某条渠道在某家一级供应商上完全拿不到数据，不构成停止穿透的理由；把该一级供应商的表3对应行“穿透状态”改为“推断”或“待验证”，在缺口列写“渠道均未返回”，转入表6。四、双源不等于安全：用表5查“钻石结构”和隐藏单点一级供应商有两家，不等于供应安全。如果两家一级供应商的同一关键输入都来自同一个二级来源，一级的“双源”在风险上等于单点，这种结构被称为隐藏集中或“钻石结构”。表5钻石结构检测表检测项打开什么看什么什么算命中命中后动作示例同一输入共用二级表3按“输入物料或服务”分组不同一级供应商是否指向同一二级实体或同一站点两个及以上一级供应商指向同一二级记录将该二级记录标记为“共享节点”，进入升级评估M-012同时供给S-03和S-07，命中二级站点地理集中表3“站点地址”列多个二级记录是否在同一工业园区、同一地震带或同一洪涝区两个及以上二级站点在可识别的同一风险地理单元内在表6记录“地理集中”，评估同时中断概率三个二级站点位于同一沿海工业带，命中看似独立实为同一控制表3实体名称与公开登记信息不同名称的二级实体是否有共同股东、同一最终控制方公开信息显示同一控制关系合并为一条记录，穿透状态改为“已确认共用控制”两家不同名称的二级厂股东相同，命中替代周期过长表3“输入物料或服务”列即使存在第二来源，再认证是否需要长周期再认证周期超过一个采购周期该输入按单一来源对待，标记“替代受限”某涂层第二来源再认证需9个月，命中表5的四项检测在表3完成首轮填充后跑一遍。命中“同一输入共用二级”的，不新增一级供应商来分散风险，而是把该二级共享节点作为独立风险对象写入风险登记册，指定负责人和监控动作。命中“看似独立实为同一控制”的，两条二级记录合并，合并后在“影响范围”列写明受影响的一级供应商和产品线。式(2)隐藏集中度指数H=S÷R×100%变量定义：H为隐藏集中度指数，以百分比表示；S为表5中命中“同一输入共用二级”或“看似独立实为同一控制”的二级记录数；R为表3中“穿透状态”为“已确认”或“待验证”的二级记录总数，不含纯“推断”记录。两个常见错误：把地理集中项算进S，地理集中反映的是相关中断概率，与“同一输入来源共用”不是同一类集中；R把“推断”记录算进去，分母虚大，H偏低。校验方法：手里有表3和表5的检测结果；逐条核对命中项对应的二级记录；算出的H超过30%时，说明已确认的二级层中接近三分之一涉及共享或同一控制，下一轮穿透优先核对这些共享节点的替代来源。示例：R=19，S=7（5条同一输入共用，2条同一控制），H=7÷19×100%=36.8%。超过30%，下一轮穿透优先核对7条共享节点的替代来源和替代周期。五、扫不到的地方怎么标：缺口、置信度和下一步动作穿透不可能把所有二级三级都确认到“已确认”状态。未确认的部分如果只写“数据缺失”，下一轮仍然不知道从哪里继续。表6把缺口转成可执行记录。表6缺口标记与置信度表缺口编号关联记录缺口类型置信度当前依据下一步动作责任人复核日期G-004M-012来源未验证中提单记录出现，无供应商确认下一轮RFI指定该节点要求供应商验证采购甲2027-01-15G-005M-013层级推断低贸易记录多层反推，无直接证据向二级M-012发RFI确认其硅片来源采购乙2027-02-01G-006一级S-05全链渠道均未返回无合同无披露条款，RFI未回复续签合同时加入分包披露附件合同管理丙合同续签前60天“置信度”列只填“高”“中”“低”“无”四档。“高”指供应商验证流程确认或合同披露文件载明；“中”指公开贸易记录中出现且与已知输入匹配；“低”指多层推断；“无”指四条渠道均未产生可记录信息。置信度为“低”和“无”的缺口不进入正式穿透覆盖率K的分子，但在表6中保留，作为下一轮的输入。式(3)置信度加权覆盖指数W=(F高+0.6×F中+0.3×F低)÷P×100%变量定义：W为置信度加权覆盖指数，以百分比表示；F高、F中、F低分别为表3中穿透状态为“已确认”（高）、“待验证”（中）、“推断”（低）的记录数；P同式(1)。权重0.6和0.3为本组织经验取值，可在下一轮按数据质量调整。两个常见错误：权重长期不调整，导致“推断”记录多时W虚高，掩盖实际确认不足；把“渠道均未返回”的缺口按“低”置信度计入W，实际这些记录没有任何依据。校验方法：手里有表3和表6；按穿透状态分组计数；算出的W与K对照，W与K的差距反映“待验证”和“推断”记录在覆盖中的占比。差距超过15个百分点时，下一轮优先把“待验证”转为“已确认”。示例：P=34，F高=11，F中=14，F低=9，W=(11+0.6×14+0.3×9)÷34×100%=(11+8.4+2.7)÷34×100%=65.0%。K=32.4%，差距32.6个百分点，说明覆盖中有大量待验证和推断记录，下一轮穿透的重点是把中置信度记录转为高置信度。六、穿透做了一轮就停，先查这五处二级三级映射表在第一轮填充后不再更新，按表7顺序查。第一检查点不打开穿透表，先打开一级供应商合同。表7停摆排查表检查点打开什么看什么什么算正常不正常时怎么改一一级供应商合同是否有分包披露条款穿透名单内一级合同均有相关条款在续签或补充协议中加入披露附件二表3穿透状态列“已确认”占比是否在上升本轮K不低于上一轮K对“待验证”记录逐条发起供应商验证三表4四条渠道是否只用了RFI一条至少两条渠道有本轮的返回记录补跑公开贸易记录侧扫或中立披露四表5钻石结构检测共享节点是否已写入风险登记册每个命中节点有登记册编号逐条补录并指定负责人五表6复核日期是否有过期未复核的缺口过期缺口数为0逐条复核或重新指定日期示例：检查点三发现本轮只发了RFI，公开贸易记录侧扫上一轮做过但本轮未更新。补跑侧扫后，新增6条“待验证”二级记录，K从29.8%升至32.4%。检查点一发现穿透名单中3家一级供应商的合同没有分包披露条款，记录为“合同缺口”，下次续签前60天处理。七、什么时候往下钻、什么时候停在一级：四条规则和一处矛盾决策规则：规则一：如果表5命中“同一输入共用二级”且该二级节点供给两个及以上一级供应商，则该二级节点进入风险登记册，穿透深度至少到该二级节点的站点级；如果该二级节点同时命中地理集中，穿透深度延伸到该节点的关键输入来源（三级）。规则二：如果表3中某一级供应商对应的二级记录“穿透状态”全部为“推断”或“渠道均未返回”，则下一轮不扩大穿透名单，先把该一级供应商的信息获取渠道从RFI扩展为合同条款加公开记录双渠道；如果连续两轮仍无“已确认”记录，该一级供应商的穿透优先级从“高”降为“中”。规则三：如果式(3)的W与K差距超过20个百分点，则下一轮穿透的产出目标不是新增记录数，而是把“待验证”转为“已确认”；如果差距低于10个百分点，可以同时增加穿透名单。规则四：如果合规登记册要求覆盖子外包层，则穿透范围不以表2的优先级为限，登记册列出的每一类子外包都必须有至少一条记录，穿透状态可以是“待验证”，但不能空白。矛盾陈述：穿透越深，看到的隐藏集中和单点越清楚，但信息获取的阻力越大；停在一级，数据可得性高，但一级的“双源”可能掩盖同一个二级来源。实质分析：穿透深度不是由“想知道多深”决定，是由可获取的信息渠道和该节点在收入关键产品中的位置共同决定。有合同披露条款或公开贸易记录可用的节点，穿透到二级站点的成本低；既无合同依据、贸易记录也不覆盖的节点，强行要求全确认会把穿透项目拖入无限等待。权衡规则：穿透深度按表2的优先级分层。优先级“高”的一级供应商，穿透目标至少到二级站点级，穿透状态“已确认”或“待验证”均接受；优先级“中”的，穿透到二级实体级即可，不要求站点地址；优先级“低”的，只做公开记录侧扫，不发起RFI。合规登记册要求的子外包不受此分层限制，按规则四执行。退路：如果某优先级“高”的一级供应商连续两轮所有渠道均无返回，将其二级记录全部标为“渠道均未返回”并写入表6，下一轮不再对该供应商发起穿透，转为在合同续签时加入披露条款。穿透资源转移到下一个优先级“高”的供应商。八、完整版、精简版、极简版按供应链类型选离散制造、流程工业、服务外包对二级三级的依赖方式不同，穿透范围也不同。三套版本的差异写在表8。表8三套场景表场景跑什么用哪个公式不能妥协的底线修复后重跑什么完整版（离散制造、多级BOM）表2五项、表3全列、表4四渠道、表5四项、表6全列、表7五项式(1)、式(2)、式(3)表5共享节点全部进入风险登记册；K和W均报告全量重跑：表5共享节点、表6过期缺口、表7五项精简版（流程工业、少数关键输入）表2前三项、表3前七列、表4前三渠道、表5前两项、表7前三项式(1)、式(2)每个穿透对象至少有一条“已确认”或“待验证”二级记录只重跑表5前两项和表7前三项极简版（服务外包、无实物BOM）表2第一和第五项、表3前六列、表4合同渠道和RFI、表7第一项式(1)合规登记册要求的子外包层不空白只重跑表7第一项和登记册对应条目完整版用于有实物BOM、二级三级通过物料和部件连接一级的供应链；精简版用于输入品类集中、穿透对象数量少的场景；极简版用于服务外包场景，穿透对象是ICT或运营子外包，不涉及物料层级，映射以合同和登记册为主线。DORA框架下的信息登记册要求子外包安排以结构化方式记录，极简版的最低底线对应这一要求。完整案例：某采购风险经理的二级三级穿透第一轮示例案例，细节为合理设定。起点：一级供应商清单41家，按表2筛出穿透名单9家。手里有一级合同、采购订单和可用的公开贸易记录。二级三级映射表为空。第一轮试错。向9家一级供应商发RFI，要求填写二级供应商名称和地址。信号：9家中3家完整回复，4家只给公司名不给地址，2家未回复。当时以为RFI字段不够清楚，试了把字段拆细、加填表说明，重发后只多收回1家，地址栏仍然空白居多。试完发现新信息：不给地址的一级供应商担心采购方绕过它直接联系二级，RFI渠道本身触发了防御。推翻“字段设计问题”的假设，换路：不把RFI作为唯一渠道，同时跑公开贸易记录侧扫。第二轮试错。按穿透名单中一级供应商的名称和关键HS编码检索提单记录，提取高频出口方，得到23条二级候选。信号：其中7条候选同时出现在两家或三家一级供应商的贸易记录中。当时以为这是贸易数据噪声，试了只保留出现次数最高的3条，结果漏掉了同一个二级来源供给两条产品线的事实。新信息：贸易记录中的重复出口方不是噪声，是共享二级节点的信号。推翻“贸易记录只需去重”的假设，换路：把所有重复出现的出口方保留，逐条进入表5做钻石结构检测。第三轮试错。表5检测命中5条“同一输入共用二级”。把5条共享节点写入风险登记册后，算式(2)的H=5÷12×100%=41.7%（此时已确认加待验证二级记录12条）。信号：H超过30%，但表6中这5条共享节点的“下一步动作”多数写的是“待验证”，没有替代来源信息。当时以为命中即完成，试了直接交报告，评审时被问“如果这个共享节点中断，两条产品线还能从哪拿货”，答不出。新信息：共享节点进入登记册只解决了“看见”，没有解决“有没有替代”。推翻“命中即完成”的假设，换路：对每条共享节点，在表6增加“替代来源”和“替代再认证周期”两个字段，逐条填写。第四轮试错。补完替代信息后，某共享二级节点的替代再认证周期为9个月，超过一个采购周期，按表5标记“替代受限”。信号：该节点在风险登记册中的等级为高，但穿透状态仍是“待验证”（公开记录发现，供应商未确认）。当时以为穿透状态不影响风险等级，试了保持“待验证”不变，结果季度评审时负责人问“这条到底算不算确认的风险”。新信息：穿透状态决定这条记录在报告中的可信度，不能和风险等级混在一起。推翻“状态不影响使用”的假设，换路：在风险登记册该行同时记录“风险等级：高”和“穿透状态：待验证”，下一轮RFI指定该节点要求供应商验证确认。终点：穿透名单9家一级供应商，表3共34条二级三级记录（其中已确认11条、待验证14条、推断9条）；K=11÷34×100%=32.4%；H=7÷19×100%=36.8%（已确认加待验证二级记录19条，命中7条）；W=65.0%；表5命中共享节点7条，其