P04 采购管理

责任部门：采购部

过程流程

采购需求；供方评价；采购；外部供方控制；进货验证；供方绩效评价

审核要点

是否根据产品、服务及项目实际情况确定采购及外部提供过程。
是否明确采购、供应商管理及外部提供过程的职责、权限和工作接口。
是否识别需要由外部提供的产品、服务、技术、软件、设备及其他资源。
是否根据采购内容的重要程度及对最终产品、服务的影响确定相应控制方式。
是否对关键供应商、重要外包服务及高风险外部提供方实施重点管理。
是否结合质量、环境、职业健康安全、IT服务及信息安全等因素确定外部提供方的控制要求。
是否根据项目实际情况确定供应商准入、评价、选择、采购、验收及绩效评价要求。
供应商选择与评价
是否根据产品、服务及项目要求选择适宜的供应商。
是否对供应商的技术能力、服务能力、质量水平及交付能力进行评价。
是否考虑供应商相关资质、人员能力及专业能力。
对IT、软件、网络及信息系统相关供应商，是否考虑其技术能力和信息安全能力。
对涉及现场作业的供应商或承包商，是否考虑其职业健康安全管理能力。
对重要环境相关外部服务，是否考虑其环境管理能力及相关要求。
是否明确供应商准入条件。
是否保留供应商评价、选择及重新评价的相关记录。
供应商出现重大质量、服务、安全或信息安全问题时，是否重新评价其适宜性。
采购要求
采购文件、订单、合同或技术协议是否明确采购产品或服务的要求。
是否明确产品规格、型号、数量、技术参数及质量要求。
是否明确交付时间、地点、服务范围及验收要求。
对软件、系统、网络设备等采购，是否明确版本、功能、接口、兼容性及技术要求。
对信息技术产品和服务，是否明确必要的信息安全要求。
对涉及客户数据、业务数据或敏感信息的外部服务，是否明确保密和数据保护要求。
对现场施工、安装、调试及维护服务，是否明确安全作业要求。
是否明确需要供应商提供的资料、报告、测试结果、合格证明等交付物。
采购要求是否经过必要的确认和审批。
外部提供过程控制
是否根据采购产品和外部服务的重要程度实施相应控制。
是否对供应商提供的产品和服务进行必要的验证、检查或验收。
采购的软件、硬件及技术产品是否经过适当测试或确认后投入使用。
外包服务是否按照合同、服务协议及规定要求实施。
IT服务外包是否明确服务水平、响应时间、服务内容及双方职责。
信息系统外包是否明确访问权限、账号、数据及信息安全管理要求。
外部开发的软件或程序是否经过必要的测试、验证及确认。
是否控制供应商人员进入组织工作区域或信息系统。
外部人员的系统访问权限是否与工作需要相适应。
外部人员离开项目或合同终止后，相关账号和权限是否及时取消。
是否对外部提供过程中的质量、环境、安全及信息安全风险进行控制。
外部提供产品及服务验收
是否按照规定要求对采购产品和服务进行验收。
验收是否有明确的依据和接收准则。
关键设备、软件、系统及服务是否经过必要的测试和确认。
不符合采购要求的产品和服务是否得到识别和处理。
验收记录是否能够证明采购产品或服务满足规定要求。
软件、系统及信息技术产品上线前是否完成必要的测试和确认。
对外包服务是否根据服务结果、服务记录及客户反馈评价其满足要求的情况。
供应商绩效评价
是否定期或根据实际情况评价供应商表现。
是否评价产品质量、交付及时性、服务能力及问题处理情况。
对IT服务供应商，是否评价服务可用性、响应能力及故障处理情况。
对涉及信息安全的供应商，是否评价信息安全事件、数据保护及权限管理情况。
对承包商，是否评价现场安全管理情况。
是否根据供应商绩效评价结果采取改进、重新评价、限制采购或更换供应商等措施。
供应商评价结果是否作为后续采购和供应商选择的依据。
外部提供的信息安全控制
是否识别供应商及外包方可能接触的组织信息、客户信息及系统资源。
是否根据实际需要限制供应商访问组织的信息系统。
是否按照最小必要原则配置外部人员访问权限。
是否对供应商账号进行管理。
是否避免将个人账号直接提供给外部人员长期使用。
是否对远程访问、VPN、堡垒机等外部访问方式实施适当控制。
是否对供应商接触的客户数据、技术资料及敏感信息实施保密控制。
供应商需要传输数据时，是否采取适当的信息保护措施。
是否明确供应商发生信息安全事件时的报告和处理要求。
合同终止后，是否及时收回资料、设备、账号及访问权限。
是否根据合同及实际要求处理供应商持有的数据和信息。
外部提供的环境及职业健康安全控制
涉及外包服务、现场施工、安装、维修等活动时，是否明确相关安全要求。
是否对承包商人员的安全作业条件、资质及防护措施进行适当控制。
是否向外部人员传达必要的安全、消防及现场管理要求。
对涉及环境影响的外部活动，是否明确相关环境要求。
是否对外部提供方产生的废弃物、能源使用、污染物等进行适当管理。
是否针对外部提供活动中的重大风险采取相应控制措施。

审核记录示例

现场与采购及相关管理人员沟通采购和外部提供过程，结合组织实际业务了解供应商选择、采购、验收及绩效评价情况。组织能够根据产品、服务及项目实际需求确定采购内容，并根据采购产品及外部服务的重要程度实施相应管理，对主要供应商进行选择、评价及管理。
现场抽查供应商评价及选择资料，组织能够根据供应商提供的产品、技术及服务内容，对其能力、质量、交付及服务情况进行评价，并根据评价结果选择适宜的供应商。对于软件、硬件、技术服务及IT相关外部提供方，能够结合实际工作要求对其专业能力及服务能力进行确认。
现场抽查某采购合同及订单，合同能够明确采购产品或服务的规格、型号、数量、技术要求、交付要求及验收要求等内容。涉及软件、网络设备及信息系统相关产品的，能够根据项目实际情况明确相关技术参数、功能及配置要求，并将必要的要求传递给供应商。
现场查看某IT服务外包项目，组织与外部服务提供方签订相关服务协议，明确服务范围、双方职责、服务要求及问题处理方式。涉及客户系统及业务数据的外包服务，能够根据实际工作需要对外部人员的访问权限进行控制，外部人员按照授权范围开展工作。
现场抽查外部人员系统访问情况，组织能够根据实际工作需要配置相应的账号及访问权限，对外部人员访问系统进行适当控制。现场抽查项目人员权限，相关人员访问权限与实际工作基本相符；项目结束或人员职责发生变化时，能够根据实际情况调整相关权限。
现场抽查采购产品及服务验收资料，组织能够依据合同、订单及技术要求对采购产品和服务实施验收。抽查某网络设备采购项目，能够通过设备检查、配置确认及功能测试等方式确认采购产品满足规定要求，验收结果形成相应记录后投入使用。
现场抽查软件及信息系统相关外部开发项目，组织能够对供应商提供的软件程序进行测试和确认，测试结果能够作为软件上线或交付的重要依据。涉及客户数据和技术资料时，能够采取相应的信息保护措施，未发现无关人员随意获取相关项目资料的情况。
现场结合供应商绩效评价情况进行了解，组织能够根据产品质量、交付及时性、服务响应及问题处理情况对供应商进行评价。对于服务过程中出现的问题，能够与供应商进行沟通处理，并根据实际情况采取改进、重新评价等措施。
现场与相关人员沟通承包商及外部人员现场作业管理情况，涉及安装、调试、维修等现场活动时，组织能够向外部人员传达相关工作要求，并结合现场实际情况对人员、设备及作业活动实施相应管理。现场未发现明显违反组织现场管理要求的情况。
结合供应商信息安全管理情况进行抽查，组织能够根据供应商实际接触的信息及系统资源确定相应控制要求，对涉及客户数据、技术资料及系统访问的外部人员采取权限控制、保密要求及访问管理等措施。合同终止或项目完成后，能够根据实际情况处理相关资料、账号及访问权限。
现场查看供应商管理及相关记录，总体来看，组织能够根据采购产品和外部服务的重要程度实施相应的选择、评价、采购、验收及绩效管理，并结合质量、环境、职业健康安全、IT服务及信息安全等方面的实际风险采取相应控制措施，采购及外部提供过程基本处于受控状态。

高频问题

供应商选择主要看价格，没有考虑能力和风险。
供应商没有经过必要的评价就直接使用。
供应商评价流于形式。
关键供应商没有实施重点管理。
采购合同没有明确具体技术要求。
采购文件、合同及实际需求之间存在差异。
软件、硬件采购没有明确版本、配置和技术要求。
采购产品没有经过验收就直接投入使用。
外包服务没有明确服务范围和验收要求。
IT服务外包没有明确服务水平和响应要求。
供应商人员可以长期使用组织内部账号。
外部人员访问权限超过实际工作需要。
供应商人员离场后账号没有及时关闭。
供应商可以直接访问客户数据或敏感信息。
供应商通过个人邮箱、微信等方式传递敏感资料，没有适当控制。
外部开发的软件没有经过充分测试就上线。
第三方软件存在安全风险但没有进行识别。
外包服务出现问题后没有重新评价供应商。
供应商发生信息安全事件后没有及时报告。
承包商进入现场作业但没有明确安全要求。
外部人员安全培训或现场安全交底不足。
环境相关外包活动没有明确环境要求。
供应商绩效评价结果没有用于后续供应商管理。
供应商管理资料与实际使用情况不一致。