建立基于風險基礎的供應商合規管理

建立基于風險基礎的供應商合規管理

編者按

本文作者索娜爾·辛哈（Sonal Sinha）是MetricStream公司助理副總裁，負責消費品、零售和科技行業的解決方案和策略。她擁有超過十年的工作經驗，曾在谷歌、Visa和畢馬威會計師事務所等公司從事風險管理、審計、咨詢和合規工作。本文介紹了當前美國企業供應商的合規狀況，以及如何建立基于風險基礎的供應商合規管理，對于中國企業履行社會責任、開拓國際業務將有所助益。

由于諸如《反海外腐敗法》（FCPA）、《英國反賄賂法》等法規，眾多企業不得不將合規性和監測方面的工作擴展到企業自身范圍之外，比如他們龐大的全球供應鏈。如果上游供應商出現不合規或不遵守政策的情況，企業將不能再忽視。因為，最終的后果，包括所有經濟、品牌和聲譽的損失，都將由與供應商（或供應商的供應商）有關系的企業來承擔。

換句話說，現在的企業面臨著前所未有的壓力，他們要有效地設計、溝通、執行、監控、跟蹤和解決供應商遵守不同司法管轄區和特定行業的法規，這將是一個艱巨的任務，因為今天的供應鏈是復雜、巨大、多層次的，分散在全球各地。

然而，對于所有企業而言，在整個供應鏈實現完整和實時的可見性勢在必行。來自監管機構的壓力持續快速上升，來自客戶和消費者的期望和壓力將上升得更快。對企業來說，關鍵問題是在風險和違規問題造成更大的經濟損失之前，或影響品牌和聲譽之前，進行預先識別和應對。

供應商的合規情況

由于成本和效率的原因，企業越來越多地采用新興市場的供應商，但這也帶來了各種各樣的法規風險。在德勤（Deloitte）2012年的一份調查報告中，70%的高管表示，他們極其或非常關注新興市場中與合規和誠信相關的風險。同時，只有40%的高管對自己的公司管理供應商合規風險的能力極其或非常有信心。如果公司是與第三方代理合作，只有36%的高管有這樣的信心。

事實上，在許多企業，供應商的合規管理工作做得并不到位。以沖突礦產法規為例，首次報告的最后期限是2014年6月2日。然而，普華永道會計事務所最近的一個調查顯示，25%的受訪者仍然處于合規的早期階段;26%的受訪者要么在確定范圍，要么還在規劃和執行合理原產國調查（RCOI，reasonable country of origin inquiry）。

不幸的是，企業仍然視供應商合規為昂貴的負擔。他們追求合規，主要是為了避免法律訴訟和監管處罰。然而，許多供應商的合規程序已被證明能產生可衡量的好處。美中貿易委員會（US-China Business Council ）的一份合規報告，講述了一家擁有中國業務的美國公司如何評估約300名當地經銷商遵守《反海外腐敗法》的情況。通過這種做法，該公司淘汰了三分之二的分銷商，提高了17%的利潤率。

所以，如果供應商的合規管理不僅僅被視為一個必要的、監管規定的活動，而是也會產生商業價值的東西，就會產生一個問題：如何在整個供應鏈創建一種合規文化？

根據以往的經驗以及與業內高管的交流，以下是幾個值得采納的良好經驗。

視供應商合規為自身商業過程的延展

供應商可能是第三方機構，但他們也是你企業的延展，通過完成你自身不能完成的任務來推動你的事業發展。因此，在供應鏈中，有必要用和你的組織相同的努力、緊迫性以及責任來實施合規標準、政策和行動，這一點非常重要。

它首先決定于高層的態度。董事會、最高管理層和其他的高管層明白供應鏈風險管理和合規的重要性，以及合規對企業風險的影響，他們的支持和資源是非常重要的。一些高管會向所有的供應商（或至少是最高優先級的供應商）發送個性化信函，介紹組織的培訓、教育和認證過程，此類信件強調了合規的重要性，并確保供應商清楚了相關要求。

為了創建一個真正具有合規和風險意識的供應鏈，另一個重要步驟是在第三方風險評估的基礎上選擇合適的供應商。除了你的一級供應商之外，要清楚你在和誰一起合作。仔細審查每一個供應商，并進行有效的盡職調查。找出誰是你供應商的供應商，了解他們的企業目標和合規目標，只選擇那些和你目標一致的供應商。比起供應商對合規的承諾，企業可能會更注重供應商的成本，但從更長遠來看，不合規的供應商將使你花費更多的成本。

一旦和供應商簽訂合同，就要確保他們基于你們的合規政策受到良好訓練和教育。最好在一個在線知識庫保存這些政策，以便供應商可以很容易地查詢。這一點很重要，因為合規行為最終將歸結為意識，而意識只能通過良好的溝通、培訓和教育計劃來提升。在整個企業和供應鏈的所有層次使用這些程序，以加強合規的信號。

激勵你的供應商合規

當企業的一名員工有著高質量和始終如一的表現，他通常會得到認可和獎勵。另一方面，如果供應商一貫遵循政策和法規，卻很少會被注意到。相反，如果這些供應商未能合規或犯了錯誤，所有的眼睛都會盯著他們。

如果供應商是組織的一個延展，你應該像對待員工一樣對待他們。在最近一次與大型零售商的談話中，我了解到公司按照零售商的程序和進程對供應商采取貨幣和非貨幣性激勵。激勵供應商以一種更配合的方式合作，并對缺陷進行報告，這樣做往往能加強合規行為。因此，你需要找到獎勵你的供應商合規的合適方法。

你還可以簡化合規手冊，以一種明確和簡潔的方式闡述你的目標和措施。這樣的做法能使供應商更好地合規。

減少說教也能使合規行動更具合作性。和你的供應商實時共享合規行為數據，為他們提供一些關于最佳合規性實踐的洞見。鼓勵他們披露不足，并與他們緊密合作解決這些問題，而非懲罰他們。這將促使供應商對你更加開放和透明。

靈活的做法

一個合規專員面臨的最大挑戰是試圖平衡全球法規和當地指令之間的差異。一些做法，如送禮，在一些國家被認為是不可接受和不能變通的，卻可能是另一個國家當地文化的一個組成部分。所以，當你為供應商開發合規政策時，要把這些文化差異考慮進去。

最好的辦法是建立一個整合的政策實施模式。在企業層面，制定關注整個供應鏈關鍵性合規問題和風險的工作準則和工作規程。在供應鏈層面，只要不違背基本政策的“精神”，允許這些合規政策具有適應當地文化所要求的某種程度靈活性。

同時，建立一個貫穿整個供應鏈的通用、標準化的合規控制和活動的分類報告系統。通過這種方式，從不同地方的供應商獲取的數據可以匯聚到公司層面，能夠為全球供應鏈合規的整體水平和地區性問題提供清晰、一致的觀點。技術是這種模式能成功的一個重要因素。

基于風險水平管理供應商合規

供應商并不需要完全相同水平的控制或監控。例如，在美國，一個供應商可能不需要太多的反賄賂合規監測，而在賄賂風險較高的國家則不同。類似地，不接觸敏感客戶信息的供應商不需要達到與那些保存敏感信息的供應商相同的安全控制水平。

關鍵是要回答正確的問題。為什么你要使用這家供應商？這家供應商的業務涉及什么樣的信息（例如，客戶的機密信息）？上一次給這家供應商的評價是什么時候？這家供應商是否位于一個高風險地區？

基于這些問題，進行各供應商的合規風險評估，并對每個供應商的風險預測計分。相應地進行供應商排名，如果供應商是低風險的，他們不需要經常被進行審計。

使用數據驅動方法分析供應商的合規行為，需要你充分利用過去的供應商數據以及仿真和模型預測分析潛在供應商的合規風險，這些洞見可以在合規問題發生之前就對其進行預測和處理。

結論

已經發生的一些事件，如馬肉丑聞、供應商剝削工人以及備受矚目的腐敗和賄賂實例，凸顯出如果沒有對供應商進行有效的管理、培訓和監督，這些事情將快速擴散。在一個高度競爭的公共環境，一個簡單的失誤可能損害公司的品牌、價值、聲譽，甚至生存。為了使企業與供應商密切合作，加強基于風險的合規勢在必行。那些將供應鏈合規作為核心業務活動嵌入每個供應商流程以及為更廣泛的供應商關系管理而努力的公司，一定會笑到最后。

（熊 輝 編譯）