การประเมินความเสี่ยงของซัพพลายเออร์: วิธีการแบบลำดับชั้นและคู่ขนาน

การประเมินความเสี่ยงของซัพพลายเออร์คืออะไร

การประเมินความเสี่ยงของซัพพลายเออร์จะเปลี่ยนความสัมพันธ์ที่ตั้งใจไว้ให้เป็นการตัดสินใจที่มีขอบเขตเกี่ยวกับการเปิดเผยข้อมูล โดยจะระบุว่าซัพพลายเออร์จะทำอะไร ระบบ ข้อมูล ไซต์ บุคลากร เงินทุน หรือกิจกรรมที่ได้รับการควบคุมใดบ้างที่อาจได้รับผลกระทบ หลักฐานที่จำเป็น และเจ้าของรายใดที่สามารถยอมรับ บรรเทา ถ่ายโอน หรือหลีกเลี่ยงความเสี่ยงที่เกิดขึ้นได้ ผลลัพธ์ที่ได้ไม่ใช่แค่คะแนน แต่เป็นบันทึกที่เชื่อมโยงหลักฐาน คำถามที่ยังไม่ได้รับการแก้ไข การควบคุม เจ้าของ กำหนดเวลา และการตัดสินใจครั้งต่อไป

บันทึกนั้นควรเดินทางไปพร้อมกับความสัมพันธ์ การตรวจสอบคุณสมบัติเบื้องต้นอาจตัดสินว่าซัพพลายเออร์สามารถเข้าร่วมกิจกรรมการจัดหาได้หรือไม่ การตรวจสอบในภายหลังอาจตัดสินว่าสามารถเข้าถึงข้อมูลการผลิตได้หรือไม่ การตรวจสอบอย่างต่อเนื่องอาจเปลี่ยนช่องทางหลังจากความล้มเหลวในการควบคุมหรือคำเตือนทางการเงิน นี่คือเหตุผลที่การประเมินควรอยู่ควบคู่ไปกับ กระบวนการเริ่มต้นใช้งานซัพพลายเออร์มากกว่าที่จะเป็นแบบฟอร์มที่แยกต่างหากซึ่งหายไปหลังจากการอนุมัติ

สัญญาณความเสี่ยงใดที่ควรกำหนดระดับความเสี่ยงเริ่มต้น

เริ่มต้นด้วยผลกระทบที่เจ้าของธุรกิจสามารถอธิบายได้: การพึ่งพาการดำเนินงาน, เวลาในการเปลี่ยน, การเข้าถึงระบบและข้อมูล, การเข้าถึงทางกายภาพ, อำนาจการทำธุรกรรม, การทำสัญญาช่วง, ขอบเขตทางภูมิศาสตร์, ความต่อเนื่องของบริการ และผลกระทบจากความล้มเหลวของซัพพลายเออร์ เพิ่มมูลค่าสัญญาและความสำคัญทางการเงิน แต่อย่าให้การใช้จ่ายมาบดบังความเสี่ยงที่มีผลกระทบมากกว่า วัตถุประสงค์ของการประเมินครั้งแรกไม่ใช่การตัดสินความเสี่ยงสุดท้าย แต่เป็นการส่งคำถามที่ถูกต้องไปยังผู้ตรวจสอบที่เหมาะสม

แปลงสัญญาณเหล่านั้นให้เป็นระดับชั้นที่มีชื่อจำนวนน้อยพร้อมหลักฐานที่ชัดเจน คำแนะนำปัจจุบันของ NIST ระบุว่า การปรับแต่งควรอยู่ในขอบเขตของความต้องการในการบริหารความเสี่ยงขององค์กรสำหรับแต่ละระดับ ให้กำหนดผู้ตรวจสอบเริ่มต้น หลักฐานที่จำเป็น เวลาตอบสนอง ตัวกระตุ้นการยกระดับ การหมดอายุ และความถี่ในการตรวจสอบ จากนั้นอนุญาตให้ผลการตรวจสอบยกระดับขึ้นได้ ห้ามมิให้ข้อมูลที่ขาดหายไปลดระดับลงอย่างเงียบๆ

ผู้ร้องขอจะหลีกเลี่ยงการกรอกแบบสอบถามสามชุดที่แตกต่างกันได้อย่างไร

แยกบริบททางธุรกิจออกจากหลักฐานของผู้เชี่ยวชาญ ผู้ร้องขอควรชี้แจงความต้องการ การใช้งานที่ตั้งใจไว้ ผู้ใช้ ระยะเวลา การพึ่งพา จุดเชื่อมต่อข้อมูลและระบบ ทางเลือก และผู้สนับสนุนที่รับผิดชอบ ฝ่ายจัดซื้อสามารถระบุตัวตนของซัพพลายเออร์และบริบททางการค้าได้ จากนั้นฝ่ายการเงิน การดำเนินงาน และความปลอดภัยสามารถตรวจสอบบันทึกเดียวกันและขอหลักฐานที่จำเป็นสำหรับการตัดสินใจของพวกเขาเท่านั้น ผู้ร้องขอไม่ควรต้องแปลการควบคุมของผู้เชี่ยวชาญหรือกระทบยอดแบบฟอร์มที่ขัดแย้งกัน

• สร้างบันทึกความสัมพันธ์ที่มั่นคงหนึ่งรายการพร้อมเจ้าของธุรกิจและข้อมูลระบุตัวตนของซัพพลายเออร์ที่ระบุชื่อ
• นำหลักฐานปัจจุบันที่ได้รับการยืนยันแล้วสำหรับซัพพลายเออร์นั้นและการใช้งานที่ตั้งใจไว้กลับมาใช้ใหม่ บันทึกอายุและขอบเขตของหลักฐานนั้น
• ส่งช่องว่างไปยังผู้ตรวจสอบโดเมนที่รับผิดชอบ แทนที่จะส่งไลบรารีหลักฐานทั้งหมดให้ทุกคน
• ส่งคำขอรวมไปยังซัพพลายเออร์เมื่อหลายช่องทางต้องการหลักฐานที่เกี่ยวข้อง
• แสดงให้ผู้ร้องขอเห็นว่าอะไรเสร็จสมบูรณ์ อะไรกำลังรออยู่ การค้นพบใดมีความสำคัญ และใครเป็นผู้รับผิดชอบการดำเนินการต่อไป

ทีมสามารถดำเนินการตรวจสอบความเสี่ยงพร้อมกันได้อย่างไรโดยไม่สูญเสียการควบคุม?

• เงื่อนไขการเข้า: บริบททางธุรกิจขั้นต่ำและข้อมูลระบุตัวตนของซัพพลายเออร์ที่จำเป็นก่อนที่งานของผู้เชี่ยวชาญจะเริ่มต้นขึ้น
• คำถามของเลน: การตัดสินใจที่แน่นอนซึ่งเป็นของฝ่ายปฏิบัติการ การเงิน หรือความปลอดภัย โดยไม่มีการทบทวนซ้ำซ้อนที่ครอบคลุมทั้งหมด
• หลักฐานขั้นต่ำ: ชุดหลักฐานที่เล็กที่สุดที่สามารถตอบคำถามของช่องทางนั้นในระดับชั้นที่กำหนดได้
• การพึ่งพา: ผู้ดำรงตำแหน่งก่อนหน้าที่มีชื่อเฉพาะเมื่อผลการค้นพบของช่องทางอื่นเปลี่ยนแปลงการตรวจสอบนี้อย่างมีนัยสำคัญเท่านั้น
• หยุดการกระตุ้น: ผลการวิจัยที่ทำให้ความสัมพันธ์ที่ได้รับผลกระทบหยุดชะงักหรือยกระดับขึ้น โดยไม่ระงับคำขอที่ไม่เกี่ยวข้อง
• สถานะการออก: ผ่าน, ผ่านแบบมีเงื่อนไข, ต้องการหลักฐาน, บรรเทา, ยอมรับ, หรือปฏิเสธ—แต่ละรายการมีเจ้าของและเหตุผล
• กฎการเปิดใหม่: วันที่, เหตุการณ์, วันหมดอายุของหลักฐาน หรือการเปลี่ยนแปลงความเสี่ยงที่ทำให้ต้องทบทวนการตัดสินใจ

สัญญาการกำหนดเส้นทางความเสี่ยงนี้ทำให้งานคู่ขนานสามารถตรวจสอบได้ ช่องทางอิสระเริ่มต้นพร้อมกัน; งานที่ต้องพึ่งพาจะรอเหตุผลที่ระบุ; ตัวกระตุ้นการหยุดที่กำหนดไว้หรือการตัดสินใจยกเว้นที่รับผิดชอบสามารถหยุดชั่วคราวหรือยกระดับความสัมพันธ์ได้ ผู้ประสานงานสามารถดูได้ว่าความล่าช้าเกิดจากหลักฐานซัพพลายเออร์ที่ขาดหายไป, ความสามารถของผู้ตรวจสอบ, การพึ่งพาที่แท้จริง, การค้นพบที่มีนัยสำคัญที่ไม่ได้คาดการณ์ไว้, หรือการตัดสินใจที่ยังไม่ได้รับการแก้ไข ความแตกต่างนั้นสำคัญกว่าตัวจับเวลาแบบครบวงจรเพียงตัวเดียว เพราะแต่ละสาเหตุมีวิธีแก้ไขที่แตกต่างกัน

เมื่อใดที่ควรเร่งการตรวจสอบซัพพลายเออร์แทนที่จะข้ามไป?

ช่องทางด่วนคือเส้นทางหลักฐานที่เล็กกว่าซึ่งมีขอบเขตที่ชัดเจน ไม่ใช่การไม่มีการตรวจสอบ NIST อนุญาตให้ใช้ดุลยพินิจว่าส่วนใดของพื้นฐานที่พิจารณาสำหรับแหล่งที่ไม่สำคัญ แต่กล่าวว่า ผลการวิจัยที่น่าเชื่อถืออาจต้องมีการประเมินที่ครอบคลุมมากขึ้นรูปแบบที่ปลอดภัยคือการเร่งความเร็วแบบมีเงื่อนไข: พิสูจน์เงื่อนไขที่มีความเสี่ยงต่ำ ระบุสิ่งที่ยังคงอยู่นอกขอบเขต กำหนดวันหมดอายุ และยกระดับชั้นโดยอัตโนมัติเมื่อมีสิ่งกระตุ้นปรากฏขึ้น

• อย่างน้อยที่สุด การใช้งานที่ตั้งใจไว้ไม่มีการเข้าถึงระบบที่มีสิทธิ์ ข้อมูลการผลิต การชำระเงิน ข้อมูลส่วนบุคคล ข้อมูลที่เป็นความลับ ข้อมูลที่ถูกควบคุม หรือการเข้าถึงทางกายภาพที่ละเอียดอ่อน
• ความล้มเหลวในการปฏิบัติงานมีสิ่งทดแทนที่ผ่านการทดสอบแล้วหรือเส้นทางการกู้คืนที่ยอมรับได้
• ซัพพลายเออร์และบริการตรงกับบันทึกความสัมพันธ์ปัจจุบันที่เคยได้รับการตรวจสอบแล้ว
• การตรวจสอบผู้เชี่ยวชาญที่จำเป็น เช่น การลงโทษ ตัวตน ภาษี ประกันภัย นโยบาย ความปลอดภัย กฎหมาย กฎระเบียบ และอื่นๆ ที่จำเป็นเสร็จสมบูรณ์สำหรับขอบเขตที่กำหนด
• เจ้าของธุรกิจยอมรับเงื่อนไขที่บันทึกไว้และวันที่ประเมินใหม่ที่กำหนดเวลาไว้
• การเปลี่ยนแปลงใดๆ ในการใช้งาน, การเข้าถึง, การทำสัญญาช่วง, ภูมิศาสตร์, ความสำคัญ, หรือคุณภาพของหลักฐาน จะทำให้ช่องทางที่เกี่ยวข้องถูกเปิดขึ้นใหม่

ข้อมูลที่ขาดหายไปไม่ใช่ข้อพิสูจน์ว่ามีความเสี่ยงต่ำ คำแนะนำระหว่างหน่วยงานระบุว่าองค์กรควร บันทึกข้อจำกัดในการตรวจสอบสถานะ ทำความเข้าใจความเสี่ยงที่เกิดขึ้น และพิจารณาทางเลือกอื่นเช่น ข้อมูลอื่น ๆ การควบคุมเพิ่มเติม การตรวจสอบ หรือบุคคลที่สามอื่น ๆ นอกเหนือจากการธนาคาร หลักการที่ถ่ายทอดได้นั้นชัดเจน: ความไม่แน่นอนต้องการการจัดการและเจ้าของ ไม่ควรหายไปเบื้องหลังคะแนนที่ไม่สมบูรณ์

รายงานการประเมินความเสี่ยงของซัพพลายเออร์ควรมีอะไรบ้าง

• ขอบเขตความสัมพันธ์ วัตถุประสงค์การใช้งาน เจ้าของธุรกิจ ข้อมูลประจำตัวของซัพพลายเออร์ และกำหนดเวลาการตัดสินใจ
• ลำดับชั้นเริ่มต้น, ปัจจัยการจัดลำดับชั้น, วันที่ของหลักฐาน, และข้อสันนิษฐานหรือข้อมูลที่ขาดหายไป
• แยกผลการดำเนินงาน การเงิน และความปลอดภัย โดยแต่ละรายการมีหลักฐาน ความรุนแรง ความเชื่อมั่น และเจ้าของ
• การพึ่งพาระหว่างผลการวิจัยและเหตุผลที่งานใดๆ ต้องยังคงเป็นลำดับ
• สถานะการตัดสินใจ, เงื่อนไข, การบรรเทาผลกระทบ, ความเสี่ยงที่ยอมรับได้, อำนาจในการยกเว้น และวันหมดอายุ
• การตรวจสอบสัญญาณ ความถี่ในการประเมินซ้ำ ตัวกระตุ้นการเปิดใหม่ และประวัติการเปลี่ยนแปลงที่ไม่สามารถแก้ไขได้

รายงานควรทำให้การดำเนินการง่ายขึ้น ไม่ใช่แค่ทำให้การวัดผลเป็นที่ประจักษ์ Schoenherr และเพื่อนร่วมงานเตือนว่า การวัดความเสี่ยงไม่ควรทำเพื่อการวัดผล และต้องมีการดำเนินการตามมาดังนั้น ทุกข้อค้นพบที่เป็นสาระสำคัญจึงต้องมีผลลัพธ์: ขอหลักฐาน, เพิ่มการควบคุม, เปลี่ยนเงื่อนไข, จำกัดการเข้าถึง, ตรวจสอบ, ยอมรับ, เลือกทางเลือกอื่น, หรือหยุด หากไม่มีใครสามารถดำเนินการกับฟิลด์ได้ ให้พิจารณาใหม่ว่าทำไมจึงอยู่ในรายงาน

ควรใช้สัญญาณความยากลำบากทางการเงินอย่างไร?

ใช้ตัวบ่งชี้ทางการเงินเพื่อตัดสินใจว่าจะตรวจสอบอะไร ไม่ใช่เพื่อจำลองความแน่นอน ในชุดข้อมูลบริษัทมหาชนในอดีตของ Audit Analytics ประมาณ 84% ของบริษัทที่ยื่นขอการล้มละลายระหว่างปี 2014 ถึง 2019 มีคะแนน Altman Z-Score ที่น่าสังเกตในช่วงสามปีก่อนหน้าข้อสังเกตนั้นสามารถใช้เป็นเหตุผลในการตรวจสอบสุขภาพทางการเงินที่เสื่อมถอยได้ แต่ไม่ใช่ความน่าจะเป็นที่ซัพพลายเออร์จะล้มเหลว และไม่สามารถถ่ายทอดโดยตรงไปยังธุรกิจส่วนตัวหรือธุรกิจที่มีสินทรัพย์น้อยได้

การวิเคราะห์เดียวกันนี้ระบุว่า บริษัทจำนวนมากที่มีคะแนน Z ที่น่าสังเกตไม่ได้ล้มละลายมากกว่าที่ล้มละลายสัญญาณเตือนภัยควรนำไปสู่การทบทวนสภาพคล่อง, อัตราส่วนหนี้สินต่อทุน, การสร้างกระแสเงินสด, การกระจุกตัว, การประกันภัย, ความต่อเนื่อง, คุณภาพการเปิดเผยข้อมูล และการคุ้มครองตามสัญญาอย่างเหมาะสม บันทึกรูปแบบและวันที่ของข้อมูล จากนั้นให้เจ้าของฝ่ายการเงินตีความสัญญาณในบริบทจริงของซัพพลายเออร์ อย่าเปลี่ยนเกณฑ์เป็นกฎการปฏิเสธอัตโนมัติ

ควรประเมินความเสี่ยงของซัพพลายเออร์ซ้ำบ่อยแค่ไหน

ใช้ทั้งจังหวะและเหตุการณ์ คำแนะนำระหว่างหน่วยงานระบุว่าการตรวจสอบอาจเป็นไปตามช่วงเวลาหรือต่อเนื่อง และ การตรวจสอบที่ครอบคลุมหรือบ่อยครั้งขึ้นเหมาะสมกับความสัมพันธ์ที่มีความเสี่ยงสูง. กำหนดช่วงเวลาการตรวจสอบสูงสุดตามระดับ จากนั้นเปิดใหม่เร็วขึ้นเมื่อมีการเปลี่ยนแปลงการเข้าถึง, การเป็นเจ้าของ, การทำสัญญาช่วง, ภูมิศาสตร์, สภาพทางการเงิน, ประสิทธิภาพ, เหตุการณ์, กฎระเบียบ หรือความสำคัญทางธุรกิจ หลักฐานวันหมดอายุควรปรากฏให้เห็นก่อนที่จะกลายเป็นช่องว่างที่ซ่อนอยู่

ต่อเนื่องไม่ได้หมายความว่าจะต้องละเอียดถี่ถ้วน บทความที่ผ่านการตรวจสอบโดยผู้ทรงคุณวุฒิระบุว่า ไม่ใช่ทุกการตัดสินใจที่จะต้องนำหน้าด้วยการวัดความเสี่ยงที่ครอบคลุมโดยให้เหตุผลว่าระดับความเข้มงวดควรเหมาะสมกับการตัดสินใจเฉพาะนั้น ทำให้การรวบรวมและการแจ้งเตือนเป็นไปโดยอัตโนมัติในกรณีที่หลักฐานมีความเสถียร แต่ต้องมีการตีความโดยมนุษย์สำหรับการเปลี่ยนแปลงที่สำคัญ ข้อยกเว้น สัญญาณที่ขัดแย้งกัน และการยอมรับความเสี่ยงที่เหลืออยู่

ตัวแทน AI เปลี่ยนการประเมินความเสี่ยงของซัพพลายเออร์อย่างไร

คุณจะนำการประเมินความเสี่ยงซัพพลายเออร์แบบแบ่งระดับมาใช้ได้อย่างไรโดยไม่สร้างปัญหาคอขวดใหม่?

1. เลือกประเภทคำขอทั่วไปหนึ่งประเภท และระบุสถานะการรอคอยปัจจุบัน คำขอหลักฐาน เจ้าของสิทธิ์การตัดสินใจ และการพึ่งพาที่แท้จริง
2. กำหนดบันทึกการรับเข้าหนึ่งรายการและแบบจำลองระดับชั้นขนาดเล็ก; เชื่อมโยงกับวิธีการที่ทีมดำเนินการอยู่แล้ว การค้นหาซัพพลายเออร์.
3. เขียนคำถามเกี่ยวกับช่องทางปฏิบัติการ การเงิน และความปลอดภัย รวมถึงหลักฐานประกอบ ทริกเกอร์หยุด และสถานะการออก
4. ดำเนินการในช่องทางต่างๆ พร้อมกันกับกลุ่มตัวอย่างขนาดเล็ก โดยให้ทุกการตัดสินใจยังคงเป็นของมนุษย์ วัดเวลาตามสถานะและเหตุผล ไม่ใช่แค่ตั้งแต่ต้นจนจบ
5. ตรวจสอบการยกระดับที่ผิดพลาด ความเสี่ยงที่พลาดไป หลักฐานที่ไม่สมบูรณ์ ความพยายามของผู้ร้องขอ ความพยายามของผู้ตรวจสอบ ข้อยกเว้น และการตัดสินใจที่เปิดใหม่ก่อนที่จะขยายผล
6. กำหนดเวอร์ชันของสัญญาการกำหนดเส้นทาง กฎหลักฐาน และความเป็นเจ้าของ และนำบันทึกที่ได้ไปใช้ใน การบริหารความสัมพันธ์กับซัพพลายเออร์.
7. ยกเลิกแบบฟอร์มที่ซ้ำกันและช่องที่ไม่ได้ใช้หลังจากที่บันทึกการตัดสินใจใหม่พิสูจน์ว่าหลักฐานที่จำเป็นยังคงมองเห็นได้เท่านั้น