第三方风险：关键供应商的集中度、替代性、退出成本

第三方风险：

关键供应商的集中度、替代性、退出成本本文档提供：关键供应商判定表（表1）；三维评估框架与评分锚点表（表2至表4）；集中度份额式(1)与HHI计算式(2)；三维加权评分式(3)与分级阈值表（表5）；关键供应商监控指标与触发线表（表6）；监控失效排查表（表7）；一次从“全部供应商统一评估”到“关键供应商单独监控”的完整示例与变量表（表8）；决策规则6条与矛盾四段式1处；完整版、精简版、极简版三套场景操作序列；数据来源与时效说明表（表9）。2026-11-04这一节的标题读完你能拿到什么这一节在全文中的功能一、先判断这个供应商要不要按关键供应商管关键供应商判定表（表1），五问定“评不评、评多深”在填评估表之前拦下“所有供应商一张表”的起点错误二、集中度：一个供应商占了多大份额才算集中集中度份额式(1)、HHI式(2)与份额阈值对照把“集中度”从感觉换成可计算的份额和组合集中指标三、替代性：换掉它要多久、要花多少替代性评分锚点表（表2），含转换时间和转换成本两条线固定替代性的评估维度，避免“市场上有很多家”这种无效判断四、退出成本：合同、数据、流程三条线上的退出代价退出成本评分锚点表（表3），含合同罚金、数据迁移和流程中断把退出成本拆成可逐项取数的子项五、三维评分合成等级：关键、重要、一般三维加权评分式(3)与分级阈值表（表4）把三个维度的分数合成一个可审批的等级六、关键供应商的监控：频率、指标、触发线关键供应商监控指标与触发线表（表5）固定关键供应商的监控频率和触发动作七、监控跑了半年没有触发过一次，先查这五处监控失效排查表（表6），第一检查点是监控指标的取数来源定位监控空转的具体环节八、一次从“全部供应商统一评估”到“关键供应商单独监控”的完整示例含四次试错、判断转折、终点与变量表（表7）演示判定、三维评分、分级、监控四条线的联动九、什么时候降级，什么时候直接启动退出预案决策规则6条、矛盾四段式1处、权衡规则与退路处理集中度与替代性之间的张力十、报送、内部管理、个人查数各走哪套流程三套场景的检查项与评分步骤实际增减，逐套写明底线按交付对象与可用时间选择执行深度十一、每个判断的依据层级和复核方式数据来源与时效说明表（表8）交代关键判断的依据层级与复核路径按第一列在正文找对应那节，按第二列判断这节有没有要用的成品，按第三列判断这节是否对应当前卡住的位置。某银行年度第三方风险评估，IT类供应商47家，全部填了同一张评估表，评分维度包括“合作年限”“合同金额”“服务响应速度”。评估完成后，关键供应商名单有3家。风险委员会问：核心支付系统由一家供应商提供，它为什么不在关键供应商名单里。编制人翻回评估表，该供应商的“合同金额”一项得分中等，因为合同金额分摊到五年，年度金额不突出；“合作年限”得分高，反而拉高了总分，没有拉低。一、先判断这个供应商要不要按关键供应商管关键供应商的判定不取决于合同金额，取决于中断后果。一家年度合同金额不高的支付系统供应商，中断的后果可能超过一家年度金额更高的办公用品供应商。表1五问按顺序走，任何一问回答“是”，该供应商进入三维评估；五问全部回答“否”，按一般供应商管理。表1关键供应商判定表判定顺序问什么回答“是”时回答“否”时一个已填样例第1问该供应商中断是否直接影响客户服务或监管合规进入三维评估进入第2问核心支付系统供应商，是第2问该供应商是否处理客户数据或连接核心系统进入三维评估进入第3问处理交易数据，是第3问该供应商的替换是否需要超过6个月进入三维评估进入第4问替换估计12个月，是第4问该供应商的年度合同金额是否超过同类支出的30%进入三维评估进入第5问年度金额占IT外包支出18%，否第5问该供应商的失败是否会在30天内触发监管报告或客户通知进入三维评估按一般供应商管理支付中断需24小时内报告，是第1问和第5问在案例中都指向“是”，但编制人的评估表没有包含这两个问题。评估表的维度是合同金额、合作年限、响应速度，这三个维度与中断后果无关。第1问的判定动作不需要打开合同或评分表，只需要问一句“这个供应商停了，客户当天能不能用服务”。回答不了这个问题的供应商，先不要进入评分。五问中任何一问回答“是”即进入三维评估，不要求五问全部为“是”。这个规则的作用是防止高金额但低影响的供应商占用关键供应商的管理资源，也防止低金额但高影响的供应商被金额维度筛掉。案例中支付系统供应商的年度金额占比18%，低于第4问的30%门槛，但第1、2、5问均为“是”，应当进入三维评估。二、集中度：一个供应商占了多大份额才算集中集中度有两个层面：单一供应商在同类支出中的份额，以及供应商组合的集中程度。单一份额回答“这家供应商占了多少”，组合集中度回答“整个供应商群是否过度依赖少数几家”。单一供应商份额按式(1)计算。SSi为第i个供应商的份额；Ei组合集中度按式(2)计算。HSi为第i份额阈值不设统一数字。一个供应商占同类支出30%是否算集中，取决于该供应商的替代性。替代性强的供应商，份额高不构成集中风险；替代性弱的供应商，份额20%就可能构成集中。份额的计算结果是第三节替代性评估的输入，不是独立的判定结论。三、替代性：换掉它要多久、要花多少替代性评估两个维度：转换时间（从决定替换到新供应商稳定运行的时间）和转换成本（许可、集成、培训、数据迁移的合计支出）。两个维度都需要具体数值，不是“市场上有很多家”这类定性判断。表2替代性评分锚点表评分转换时间转换成本（占年合同金额比例）市场替代供应商数量一个已填样例1（替代性强）≤3个月≤20%≥5家可满足核心需求办公软件，2个月可切换，成本15%23—6个月20%—50%3—4家报表工具，4个月，成本30%36—12个月50%—100%2家核心支付系统，9个月，成本70%412—18个月100%—200%1家主机系统，15个月，成本150%5（替代性弱）>18个月>200%无合格替代清算接口，24个月，成本超200%转换时间的取数位置是IT项目计划或供应商替换的历史记录。没有历史记录的，取IT部门对同类系统替换的估算，估算需附估算依据（人月数、集成复杂度）。转换成本的取数位置是替换项目的预算，包括新供应商实施费、旧系统退役费、数据迁移费、人员培训费。市场替代供应商数量取采购部门的市场调研记录，调研需列明候选供应商名称和满足核心需求的程度。评分取三个子项中的最高分，不取平均。一个供应商转换时间9个月（评分3）、转换成本70%（评分3）、市场替代2家（评分3），评分为3。如果转换时间24个月（评分5）、转换成本150%（评分4）、市场替代1家（评分4），评分为5。取最高分的理由是：替代性的短板决定替换的实际可行性，三个子项中任何一项达到5，替换在操作上就不可行，平均分会掩盖这个事实。四、退出成本：合同、数据、流程三条线上的退出代价退出成本与替代性相关但不同。替代性衡量“换掉它有多难”，退出成本衡量“不换、但终止关系要付多少”。一个供应商可能替代性很强（市场上有很多家），但当前合同的终止罚金很高，退出成本仍然很大。表3退出成本评分锚点表评分合同退出成本数据退出成本流程退出成本一个已填样例1无罚金，提前30天通知数据格式标准，可完整导出流程可即时切换，无中断云存储，按量付费，随时退出2罚金≤3个月费用数据可导出，需格式转换切换窗口≤1周报表工具，罚金2个月费用3罚金3—6个月费用数据可导出，但迁移需供应商配合切换窗口1—4周核心支付系统，罚金4个月，迁移需配合4罚金6—12个月费用数据部分不可导出，或迁移依赖供应商专有工具切换窗口1—3个月主机系统，罚金8个月，专有格式5罚金>12个月费用，或无固定期限合同数据不可导出，或供应商拒绝配合迁移切换窗口>3个月，或流程无法拆分清算接口，罚金18个月，数据不可导出合同退出成本的取数位置是合同条款中的终止条款和罚金计算方式。数据退出成本的取数位置是数据处理协议中的数据可携带性条款，以及IT部门对数据导出格式的测试记录。流程退出成本的取数位置是业务连续性计划中的切换窗口估算。评分取三个子项中的最高分。合同罚金低但数据不可导出时，退出成本仍然高。案例中核心支付系统的合同罚金4个月（评分3）、数据可导出但迁移需供应商配合（评分3）、切换窗口2周（评分2），退出成本评分为3。五、三维评分合成等级：关键、重要、一般三维评分按式(3)合成总分，再按表4分级。TT为总分；C为集中度评分（按份额和HHI对照表取值）；S为替代性评分；E为退出成本评分；wc、ws、w表4分级阈值表等级总分任一维度为5管理要求一个已填样例关键≥4.0是季度评估、月度监控、退出预案核心支付系统，总分4.2，替代性5重要3.0—3.9否半年评估、季度监控报表工具，总分3.1一般<3.0否年度评估办公软件，总分1.8升级规则任一维度为5且总分<4.0—按关键供应商管理清算接口，总分3.6，替代性5，升为关键权重设定：集中度0.30、替代性0.45、退出成本0.25。替代性权重最高的理由是：替代性直接决定中断后的恢复能力，集中度和退出成本通过替代性起作用。权重每年校准一次，校准依据是上年度实际中断事件中各维度的贡献。案例中支付系统集中度评分3（份额18%，但HHI贡献高）、替代性5、退出成本3，总分0.30×3+0.45×5+0.25×3=3.90，低于4.0，但替代性为5，按升级规则列入关键供应商。六、关键供应商的监控：频率、指标、触发线表5关键供应商监控指标与触发线表监控指标取数来源监控频率绿色黄色触发线红色触发线触发后动作服务可用性供应商SLA报告或系统监控月度≥99.5%99.0%—99.5%<99.0%黄色：要求整改计划；红色：启动应急安全事故数供应商安全报告和内部事件台账季度0起1起（低影响）≥2起或1起高影响黄色：约谈；红色：启动替代评估财务健康供应商公开财报或信用评级半年评级稳定评级下调1档评级下调2档或出现违约信号黄色：增加监控频率；红色：启动退出预案集中度变化采购台账，该供应商份额季度变化季度份额变化≤5个百分点5—10个百分点>10个百分点黄色：分析变化原因；红色：触发重新评估合同到期剩余时间合同台账季度>12个月6—12个月<6个月黄色：启动续约谈判；红色：无替代方案时启动应急关键人员变动供应商通知或公开信息事件驱动无项目经理变更核心团队解散黄色：要求交接计划；红色：启动替代评估监控频率按等级区分：关键供应商月度监控服务可用性，季度监控安全事故和集中度，半年监控财务健康；重要供应商季度监控服务可用性，年度监控其他指标；一般供应商年度评估。监控指标的取数来源需要在供应商合同中约定，供应商不提供SLA报告时，服务可用性取内部系统监控数据替代，并在监控记录中标注“数据来源为内部监控”。触发线分黄红两级，不是为了区分严重程度，是为了对应不同的动作。黄色触发的动作是要求整改或增加监控频率，不启动替代评估；红色触发的动作是启动应急或退出预案。两级之间的分界在监控记录中写明触发依据，不能只写“触发”。七、监控跑了半年没有触发过一次，先查这五处表6监控失效排查表检查顺序第一检查点什么算异常换哪条路1打开监控报表，看每个指标的取数来源字段是否填写取数来源空白，或填“供应商提供”但无SLA报告存档补取数来源，供应商不提供时改用内部监控数据并标注2看触发线是否设在与实际服务水平脱节的位置触发线设为99.5%，但供应商历史水平一直在99.8%以上触发线按历史分布调整，设在历史均值下方1—2个标准差3看监控记录是否有“已触发但未记录”的迹象服务可用性月度值在99.2%—99.4%之间，但监控记录显示全绿核对原始数据与监控记录的对应关系，修正记录逻辑4看触发后的动作是否有责任人和完成记录触发记录只有“已通知”，无整改计划和完成日期触发动作增加责任人和完成日期字段5看关键供应商清单与监控清单是否一致关键供应商清单5家，监控清单只有3家对齐两份清单，监控清单缺项的补入第1项是排查起点。取数来源空白时，监控指标本身无法验证，触发线设在哪里都没有意义。第1项修复后，第2至5项的检查才有可读的数据。第2项的触发线脱节在供应商服务水平长期优于合同要求时出现。触发线按合同SLA设定（如99.5%），但供应商实际水平一直在99.8%以上，99.5%的触发线永远不会被触及。触发线的位置需要参考历史分布，不只看合同条款。历史均值99.8%、标准差0.1%时，触发线设在99.6%—99.7%之间，才能在实际服务水平下降时触发。八、一次从“全部供应商统一评估”到“关键供应商单独监控”的完整示例示例案例，细节为合理设定。起点。某银行年度第三方风险评估，IT类供应商47家，全部填同一张评估表。评估维度为合作年限、合同金额、服务响应速度。关键供应商名单3家。风险委员会问：核心支付系统供应商为什么不在名单里。第一轮试错。信号是支付系统供应商未列入关键名单。编制人第一反应是评估表维度不够。试了在评估表中增加“业务重要性”一栏，由业务部门打分。下一轮评估中，支付系统供应商的“业务重要性”填了“高”，但总分仍然没有进入关键名单，因为合同金额和合作年限的得分拉低了总分。新信息是增加维度不改变总分结构，权重仍然偏向金额和年限。推翻“加一栏就行”的假设。换路：按表1重新判定，不依赖总分。第二轮试错。信号是按表1第1问，支付系统供应商回答“是”。试了把它单独列入关键供应商，但三维评分没有做，监控指标沿用原来的“服务响应速度”。三个月后该供应商发生一次4小时的服务中断，监控记录显示“服务响应速度正常”，因为没有可用性指标。新信息是关键供应商的管理要求与评估维度脱节：列入关键名单但没有配套的监控指标。推翻“列入名单即完成”的假设。换路：按表2至表4补三维评分，按表5配监控指标。第三轮试错。信号是三维评分中替代性评了5（转换时间12个月、成本70%、市场替代2家）。试了按总分3.90列入“重要”等级，因为总分低于4.0。复核时发现替代性为5，按表4的升级规则应列入关键。新信息是总分阈值和单维度升级规则需要同时使用，不能只看总分。推翻“总分决定等级”的假设。换路：按升级规则列入关键，配月度监控。第四轮试错。信号是关键供应商监控跑了半年，服务可用性指标每月都是99.9%，没有触发过黄色。试了检查取数来源，发现服务可用性取自供应商的SLA报告，而SLA报告只覆盖合同约定的服务时间（工作日9—17点），非工作时间的系统中断不在报告范围内。新信息是监控指标的取数口径与客户实际使用时间不一致。推翻“供应商报告可信”的假设。换路：服务可用性改用内部系统监控数据，覆盖7×24小时，触发线按内部数据的历史分布重设。终点。关键供应商清单5家，含支付系统供应商（三维评分：集中度3、替代性5、退出成本3，总分3.90，替代性为5，升级为关键）。监控指标：服务可用性（内部监控数据，7×24小时，绿色≥99.5%、黄色99.0%—99.5%、红色<99.0%）、安全事故数（季度）、财务健康（半年）、集中度变化（季度）、合同到期剩余时间（季度）。一般供应商32家，年度评估。重要供应商10家，半年评估、季度监控。表7完整示例变量表变量案例中情形如果变量不同处置变化支付系统供应商年度金额占比18%，低于30%门槛达到35%第4问直接触发，无需依赖第1、2、5问替代性评分5（转换12个月）降到3（转换6个月）总分仍低于4.0时按重要管理，不升级服务可用性取数来源内部监控，7×24小时供应商SLA报告，仅工作时间监控存在盲区，需补内部数据或调整合同条款触发线设定按内部数据历史分布按合同SLA设定触发线可能永远不会被触及关键供应商数量5家增到15家监控资源不足，需按替代性排序分配监控频率权重较高的变量是服务可用性取数来源。从内部监控改为供应商SLA报告时，非工作时间的服务中断不被记录，监控指标在名义上正常，实际存在覆盖盲区；取数来源不变时，触发线的位置和监控频率的分配才有可靠的基础。九、什么时候降级，什么时候直接启动退出预案决策规则。第1条。如果供应商通过表1五问中任一问，则进入三维评估；五问全部为否时，按一般供应商管理，不进入三维评估。第2条。如果三维评分中替代性为5，则无论总分是否达到4.0，均按关键供应商管理；替代性为5且退出成本为5时，在列入关键供应商的同时启动退出预案编制。第3条。如果关键供应商的监控指标触发红色，则启动应急或退出预案；触发黄色时，要求供应商在10个工作日内提交整改计划，不启动退出。第4条。如果服务可用性监控的取数来源为供应商SLA报告且覆盖时间不足7×24小时，则该指标不作为红色触发的唯一依据，需补充内部监控数据或调整合同条款。第5条。如果关键供应商的合同剩余时间不足6个月且无替代方案，则启动续约谈判和替代评估并行；续约谈判不因替代评估未完成而延迟。第6条。如果监控指标连续两个季度全绿但期间发生过客户投诉或内部事件，则重新检查取数来源和触发线位置，不将全绿视为无风险。矛盾：集中度的高份额与替代性的低可行性之间的取舍。矛盾陈述。集中度高的供应商，份额大、议价能力强，银行在合同谈判中处于弱势；替代性低的供应商，替换成本高、时间长，银行在退出时处于弱势。两个维度同时偏高时，供应商关系实际上被锁定：既不能通过更换供应商来降低集中度，也不能通过谈判来改善合同条件。案例中支付系统供应商份额18%（集中度评分3），替代性5，两个维度叠加后的实际锁定程度高于任一维度单独指示的水平。实质分析。集中度和替代性不是独立的风险维度。高份额本身不构成风险，高份额加上低替代性才构成锁定。一个份额30%但市场上有五家合格替代的供应商，银行可以在下一次招标中更换；一个份额15%但转换需要12个月的供应商，银行在合同期内没有实际退出选项。三维评分中替代性权重最高（0.45），反映的就是这个判断：集中度和退出成本通过替代性起作用。权衡规则。替代性为5的供应商，无论集中度评分高低，均按关键供应商管理，监控频率和退出预案要求不因份额低而降低。集中度评分达到5（份额超过同类支出50%或HHI超过0.30）且替代性为3以上的供应商，在列入关键供应商的同时启动集中度压降计划，目标是在两个合同周期内将份额降至30%以下或引入第二家合格供应商。压降计划不替代退出预案，两者并行。退路。如果替代性为5且市场上确实没有合格替代，集中度压降在短期内不可行，则与供应商签订长期合同并附加服务水平条款和退出协助条款（数据导出、过渡期支持、源代码托管）。长期合同锁定价格和条件，退出协助条款降低未来退出的实际成本。这个退路不降低当前的锁定程度，它降低的是锁定的长期代价。十、报送、内部管理、个人查数各走哪套流程完整版（监管检查或年度第三方风险评估）。表1五问、式(1)至式(3)、表2至表4三维评分、表5监控指标、表6五项排查全部执行；每个关键供应商有三维评分底稿和监控记录；退出预案覆盖替代性为5的供应商。序列：五问定范围→式(1)(2)算集中度→表2评替代性→表3评退出成本→式(3)算总分→表4分级→表5配监控→表6排查。不能妥协的底线：替代性为5的供应商列入关键；监控取数来源可查；触发后有