问题 / 你大概正在遇到
不知道该问供应商多少安全问题。
一、为什么会反复发生
- 对所有供应商用同一套问卷，浪费双方时间
- 只看资质证书，不看实际做法
- 审完不跟进整改
二、四步做法
- 分三档：只存公开数据、存内部数据、存客户数据
- 一二档看文档与条款；三档要现场或远程审计
- 审计清单不超过 15 项，聚焦权限、日志、备份、退出
- 发现问题写整改期限，到期复查
三、对照表
| 档位 | 深度 | 成本 |
|---|---|---|
| 公开数据 | 问卷 | 半小时 |
| 内部数据 | 文档 + 条款 | 半天 |
| 客户数据 | 现场/远程审计 | 1–2 天 |
四、常见问题
小供应商没证书怎么办？
看实际做法：有没有日志、备份、权限分级。
多久复审一次？
每年一次，或对方更换子处理方时。
五、怎么落地
上面这些做法，用一张表 + 一个看板就能先跑起来：免费模板里有窗口台账、日报、审批队列与周会议程； 跑通之后想固化成一屏，再看在线看板与定价。
我们不写客户案例（当前 ARR $0，没有可公开的付费客户），所以文中只给方法与边界，效果需要你自己测。
七、审计报告怎么写才有人看
一页纸：结论（可用/需整改/不可用）、三个关键发现、整改期限。
不要写二十页问卷结果——没人读，也就没人改。
问一个具体问题
「你们谁能看到我们的数据」——答不出来的供应商，后面所有答案都要打折。
"一句话：一个具体问题，胜过二十页问卷。
另：审计报告一页纸：结论、三个发现、整改期限。
RELATED // 继续读
相关的几篇（含跨分类）
- 主数据不治理，上什么系统都会对不上账 · ERP 与系统选型
- ERP 选型完整指南：什么阶段该上、怎么选、怎么不失败 · ERP 与系统选型
- AI 转型要不要招算法工程师：先看你要做哪一层 · AI 转型
- AI 转型要不要先建数据中台：多数团队不需要 · AI 转型