新版标准强化供应链管控，内审如何延伸到多级供应商

这几年因为供应商问题导致企业踩坑的案例越来越多：原材料质量不合格导致整批产品报废交付延误，供应商环保违规被停产导致企业断供，供应商发生安全事故被追责牵连到采购方，甚至二级、三级供应商出问题，一级供应商隐瞒情况，最终导致下游企业受到损失。随着产业链分工越来越细，企业对供应链的依赖度越来越高，供应链风险已经成为企业必须直面的重大经营风险。

这次改版，到底改了什么

新版ISO标准回应了这个现实需求：ISO9001:2026将供应链管控范围从原来的外包过程延伸到所有外部提供的过程、产品和服务，要求强化供应链韧性，建立多级供应商管控机制；ISO14001:2026更是明确将价值链环境管控纳入要求，不仅要管控一级供应商，还要对间接物料提供商、物流服务商等全价值链相关方提出环境要求。这意味着企业的管理体系边界不能再局限在自己厂区内部，必须延伸到整个供应链。

很多企业的供应商管理还停留在非常初级的阶段：选供应商看价格高低，进货的时候做个来料检验，每年填个供应商评价表打个分，就算完成供应商管理了。这种管理方式根本应对不了现在的供应链风险，也满足不了新版标准的要求。供应商管控是个全流程的工作，从供应商准入、合作过程管控、绩效评价到动态退出，每个环节都要管到位，还要能延伸管控到下级供应商。

内审该怎么审

内审员在做供应链相关审核的时候，不能再像以前一样只查采购部有没有供应商名录、有没有每年的评价记录，要建立全链条的审核思路，重点核查以下几个核心环节。

企业最容易踩的坑

第一是供应商准入环节的风险管控。很多企业供应商准入非常随意，老板一句话或者采购找个熟人就引进了，根本没有做系统的准入评审，等合作之后出了问题才发现供应商根本没有相应的质量、环境、安全保证能力。审核的时候要查：不同类别的供应商有没有明确的准入标准和评审流程？对关键物料供应商、高风险供应商，准入评审有没有覆盖质量保证能力、环保合规资质、安全生产条件这些维度？有没有要求提供营业执照、相关资质证书、ISO体系认证证书？涉及危化品、特种设备等高危供应商，有没有查验相关的行政许可资质？有没有对高风险供应商做现场审核？准入评审记录是不是真实完整，有没有相关部门共同参与评审签字，还是采购一个部门说了算？特别要查有没有先供货后补评审、不走准入流程直接引进供应商的情况。

第二是分级分类管理要求

不同供应商提供的产品和服务对企业的影响程度不一样，管控力度也应该不一样，不能所有供应商都用同一套管理方法。要查企业有没有对供应商进行分级分类：按供应产品的重要程度分为关键供应商、重要供应商、一般供应商，按风险等级分为高风险、中风险、低风险供应商。对不同级别、不同风险的供应商，有没有制定差异化的管控要求？比如关键高风险供应商要每年做现场审核，一般供应商只需要做书面评价；提供危化品的供应商要重点查安全和环保资质，提供普通办公用品的供应商就不需要那么复杂的管控。很多企业对所有供应商用一样的评价标准，既浪费管理资源，又管不住核心风险。

第三是合作过程的动态管控

很多企业供应商一准入就再也不管了，只要来料能用就一直合作，根本不跟踪供应商的动态变化，直到供应商出了大问题才反应过来。审核的时候要查：有没有定期跟踪供应商的绩效情况，从来料质量、交付及时率、服务响应速度、环保安全合规情况这些维度动态评价？供应商出现质量问题、交付延迟、环保安全违规的时候，有没有要求整改，有没有跟进整改效果？有没有建立供应商黑名单和退出机制，对整改不到位、出现重大问题的供应商及时淘汰？特别要关注供应商的合规动态，有没有定期查询供应商有没有环保处罚、安全事故、行政处罚记录，不要等供应商被停产整顿了才临时找替代供应商，造成断供。

第四是供应链风险应急和韧性建设。新版标准特别强调供应链韧性，也就是应对供应链中断的能力。新冠疫情、极端天气、地缘冲突、环保限产这些事件，都可能导致供应商突然断供，很多企业因为只有一家供应商，一断供就全线停产，损失惨重。审核的时候要查：关键物料是不是至少有两家及以上合格供应商？有没有制定供应链中断应急预案？有没有对高风险供应链做风险识别，有没有备选供应商预案？当供应商发生变更、生产异常、产能不足的时候，有没有及时通知企业，有没有应对措施？

第五是下级供应商延伸管控

这是新版标准提出的新要求，也是审核的难点。很多企业说我管不了二级、三级供应商，他们不和我签合同，我怎么管？实际上不需要企业直接去管下级供应商，而是要把管理要求传递给一级供应商，要求一级供应商对他们自己的供应商实施管控，企业通过审核一级供应商的供应链管理体系，验证他们有没有把要求传递下去。比如企业采购的零部件，其中关键原材料是一级供应商外购的，就可以要求一级供应商提供他们对该原材料供应商的评审记录、质量检验记录；出口企业应对碳关税要求，需要核算产品全生命周期碳足迹，就需要一级供应商提供他们原材料的碳排放数据，一级供应商再向他们的供应商收集数据，这样就把管控要求一层层传递下去了。审核的时候要查：对关键供应链，有没有在采购合同中明确对下级供应商的管控要求？有没有验证一级供应商对他们自己供应商的管控能力？必要的时候有没有对下级供应商做延伸审核或者联合审核？

第六是采购合同中的合规要求传递。很多企业的采购合同只写价格、交付时间、质量标准，没有把质量、环境、职业健康安全的相关要求写进合同里，供应商自然没有义务落实这些要求。审核的时候要查：采购合同里有没有明确质量标准、验收要求？有没有明确环保要求，比如禁止使用国家明令淘汰的材料、包装材料符合环保要求、供应商生产过程符合环保法规？有没有明确安全要求，比如供应商进厂施工要遵守企业安全管理规定、提供的设备要符合国家安全标准、劳保用品要符合国标要求？有没有明确如果供应商违反相关要求造成损失的赔偿责任？把要求写进合同，管控才有法律依据。

供应链审核不能只坐在采购部查资料，必要的时候要安排对高风险、关键供应商的现场审核。内审员可以牵头组织质量、技术、EHS部门的人员共同参与供应商现场审核，去供应商的生产现场看他们的质量管控能力、环保设施运行情况、安全生产条件，实际评估他们的保障能力，比只看书面材料要真实可靠得多。很多问题坐在办公室里看资质文件是发现不了的，到现场一看就清楚了。

当然，供应链延伸管控不是说要把所有供应商都管起来，企业没有这个精力，也没有这个必要。重点要放在高风险、关键物料供应商上，尤其是提供核心原材料、危化品、特种设备、关键外包服务的供应商，把这些重点供应商管住了，80%以上的供应链风险就防控住了。一般的低价值、普通物料供应商，可以简化管控，不用投入太多精力，平衡好管控效果和管理成本。

礼明讲堂三体系内审员培训专门设置了供应链审核模块，结合新版标准对供应链管控的新要求，讲解供应商全流程管理要点、分级分类方法、供应商现场审核技巧、供应链风险识别和应急管理方法，帮助内审员掌握供应链延伸审核的能力，不再只停留在查采购部评价表的层面，真正帮助企业筑牢供应链防线。

11月23-27日三体系内审班即将开班，课程中包含大量不同行业的供应商审核案例和实操练习，学员可以模拟开展供应商审核，快速掌握相关技能。对于采购管理人员、质量管理人员、体系人员来说，掌握供应链审核能力，不仅能满足新版标准的审核要求，更能实实在在帮助企业降低供应链风险，避免因为供应商问题造成不必要的损失，这也是内审价值的重要体现。