供应商审核工作流

如何建立 ICT 供应商安全尽职调查证据包

把获准的软件供应商资料整理成可追溯的证据包，明确标注来源、适用范围、缺口、负责人和复审日期。

Qi-Xuan Lu更新 Aug 20269 分钟阅读

文章封包

Workflows

在采购或续约前审核单个 ICT 或软件供应商的采购、安全与 IT 负责人

9 分钟阅读

让每个供应商主张都连接到获准文件、日期、修订和适用服务范围。

分别记录数据访问、业务韧性、安全证据、依赖关系和尚未回答的问题。

为证据包指定负责人和复审日期，不把旧问卷答案当成永久事实。

复用供应商主张前，先检查来源与审核状态

这是来自 Wenlan App 确定性测试资料的真实桌面画面，不是供应商或客户工作区。画面显示带有来源数量的 Pages 和审核队列，可用同一界面让来源变化与未解决证据保持可见。

这是中立的审核结构，不是认证或采购结论。请使用单个供应商与服务范围的获准证据替换每一行。

先固定供应商、产品或服务、采购或续约决策、数据访问范围、审核人员与获准来源。证据包至少要记录来源文件、修订、适用范围、韧性与安全证据、依赖服务、缺口、待确认事项、负责人和复审日期。

无法由来源支持或已经过期的主张要明确标为未验证。最终采购判断仍由组织内的采购、安全、法务和隐私负责人按照现有制度作出。

供应商审核经常把现行安全政策、旧问卷、架构图、认证声明和邮件补充混在一张表里。没有日期和适用范围，再流畅的摘要也无法说明某项控制是否适用于正在采购的服务。

有边界的供应商证据工作流

wenlan status
wenlan sources add ~/Reviews/approved-supplier-docs
# 在 Wenlan plugin client 中：
/distill <供应商与审核范围>
/pages <供应商证据包>
/lint
/curate

把每项内容标为当前有效、过期、互相矛盾、缺乏支持或待补件，并保留证据负责人、审核人、依赖服务和下次复审日期。问卷答案只能算供应商提供的一项主张，不能直接等同控制已经有效落实。

即使不使用 Wenlan，这份来源登记、缺口清单和复审字段仍可作为采购会议中的独立工作成果。

Wenlan 能把获准的 Markdown、文本、可提取文本的 PDF、文件夹与只读 Obsidian 来源整理成有来源的 Pages，并显示引用、修订、过期状态、lint 和人工审核。

Wenlan 不会验证认证真伪、不提供法律或隐私意见、不发现供应商、不爬取网站、不做实时监控或漏洞扫描、不自动评分，也不批准或拒绝采购。敏感资料仍须留在组织批准的访问控制中。

选定一个供应商与服务范围，连接获准证据，并在决策会议前保留所有过期或缺乏支持的主张。

FAQ

Wenlan 可以验证供应商认证或直接批准采购吗？+

不可以。Wenlan 不验证认证、不为供应商打分，也不做采购决策；它只让获准资料、主张、缺口、修订和审核状态可追溯。

完成供应商风险评估问卷就足够吗？+

不够。每个答案都要附来源、日期、适用范围、负责人和支持文件；缺乏证据、互相矛盾或已经过期的答案必须明确标注。