第三方/供应商风险分级管理（TPRM）实操
跨境电商的合规责任不会因"外包"而转移：供应商、物流商、支付商、海外仓、代运营、MCN 的任何违规都可能传导至卖家（GPSR 责任主体、GDPR 连带责任、UFLPA 供应链审查、平台连带封号）。本文件给出三级分类模型与年度管理节奏。 关联：supplier_agreement_clause_library（合同条款库）、gdpr_dpo_appointment_standard（DPO）、eu_gpsr_seller_obligations（GPSR 责任主体）、esg_sustainability_compliance（ESG）。
一、为什么必须管第三方：风险传导链
- GDPR Art.28：处理者违约 → 控制者（卖家）连带责任，最高 €2000 万/4% 全球营业额。
- EU GPSR：卖家作为"经济运营者"须确保供应链上每个环节（制造商、进口商、授权代表）可追溯——找不到责任人，责任落到卖家头上。
- UFLPA（美国涉疆法案）：供应链任何环节使用强迫劳动产品 → 货物被 CBP 扣押，卖家承担损失。
- 平台政策：Amazon 对供应商资质（发票、检测报告）审查失败 → listing 下架/账户冻结。
- 制裁合规：OFAC/EU 制裁名单上的第三方 = 直接合规事故（见 01章 export_control_sanctions_screening）。
二、三级分类模型
Tier 1 —— 高风险（年度深度尽调 + 合同强约束 + 审计权）
判定标准：接触消费者数据 / 经手资金 / 影响产品安全 / 承担法定义务。 典型：支付服务商（PayPal、Stripe）、海外仓（FBA/第三方仓）、产品制造商（代工厂）、税务代理、欧洲授权代表（GPSR）、数据处理商（CRM/客服系统）。
管理动作：
- 年度尽调（资质/财务/制裁/数据保护/ESG 五维）；
- 合同必须含：SLA、审计权、数据保护条款（GDPR Art.28 DPA）、责任与赔偿、退出机制（数据归还/删除）；
- 关键 Tier 1（制造商/授权代表）保存再验证触发点：重大事故、股权变更、监管处罚时即时重审。
Tier 2 —— 中风险（年度审查 + 重点抽查）
判定标准：影响运营但风险传导有限。 典型：物流货代、清关代理、检测机构、广告服务商、代运营/TP、MCN 机构。
管理动作：
- 年度一次资质复查（证照有效期、无新增处罚记录）；
- 抽查其合规承诺（如清关代理的申报数据准确性——申报错误责任在卖家）。
Tier 3 —— 低风险（定期抽查）
判定标准：无数据/资金/安全接触。 典型：办公软件、翻译服务、设计外包。
管理动作：证照存档 + 每 2 年抽查。
三、尽调清单（Tier 1 五维模板）
1. 资质与合规
- 营业执照/注册证明在有效期内
- 行业资质：制造商 → FDA/CE/FCC 报告（按品类）；清关代理 → AEO/报关资质；授权代表 → GPSR 授权书
- 无重大监管处罚记录（查 OFAC SDN、EU 制裁清单、中国失信名单、平台卖家黑名单）
2. 财务健康
- 近 2 年财报或信用报告（海外仓/支付商尤其重要——跑路风险）
- 保险：产品责任险（制造商）、货运险、网络安全险
3. 数据保护（接触个人数据时必查）
- GDPR 处理者资格确认 → 签署 DPA（Art.28）
- 数据传输路径（是否跨境、是否有 SCC/DPF 依据）
- 安全认证：ISO 27001 / SOC2（SaaS 服务商）
4. ESG / 劳工（供应链高风险品类）
- 生产地劳工合规声明（UFLPA 风险）
- 环境合规（REACH/PPWR 包装材料供应商需提供合规文件）
5. 制裁与出口管制
- 股东/实控人制裁筛查
- 受管制物项（芯片、加密技术）的最终用途声明
四、年度管理节奏（12 个月日历）
| 月份 | 动作 |
|---|---|
| M1 | 更新第三方台账（新增/变更/退出） |
| M2 | Tier 1 年度尽调启动（发问卷 + 收证照） |
| M3 | 供应商合同年审（补 DPA/审计权条款） |
| M4 | 制裁名单季度筛查（OFAC/EU/UN） |
| M5 | 制造商再验证（检测报告有效期核对） |
| M6 | 半年复盘：第三方相关客诉/处罚事件 |
| M7 | 海外仓/支付商财务健康复查 |
| M8 | 授权代表协议审查（GPSR 责任人有效性） |
| M9 | 制裁名单季度筛查 |
| M10 | 物流商申报准确率抽查（清关数据比对） |
| M11 | Tier 2 年度复查 |
| M12 | 年度 TPRM 报告（董事会/合规负责人签字） |
五、事件响应与退出机制
第三方出事怎么办（72h SOP）
- T+0：确认事件性质（数据泄露/产品召回/制裁/倒闭），评估对我方影响面；
- T+24h：启动合同违约通知；Tier 1 供应商出事 → 同步通知保险；
- T+48h：要求对方提供事件报告 + 补救计划；涉数据事件 → 按 GDPR Art.33 评估是否上报监管（72h 时限！）；
- T+72h：决定"继续合作（整改计划）"还是"切换供应商（备选方案启动）"。
退出清单
- 数据归还/删除证明（GDPR Art.28 终止条款）
- 在途货物/库存移交（海外仓切换）
- 平台备案信息变更（FBA 发货人/制造商信息更新）
- 客户通知（若涉及服务变更）
- 档案归档（合作记录保存 ≥ 3 年）
六、台账字段建议（Bitable/Excel）
第三方名称 | 类别(Tier) | 合作范围 | 合同到期日 | 证照到期日 | 最近尽调日期
制裁筛查结果 | 数据接触(Y/N) | DPA签署(Y/N) | 保险(Y/N) | 风险评分 | 责任人
复核基准：GDPR Art.28、EU GPSR (EU) 2023/988、UFLPA、OFAC SDN。更新：2026-08-25。