核心用法
Vendor Risk Assessment 是一款面向企业采购与合规团队的专业风险评估工具，用于系统性审查第三方 AI 及 SaaS 供应商。用户输入供应商基本信息后，该技能通过 6 大维度（安全态势、数据处理、合规认证、财务稳定性、运营韧性、合同条款）进行量化评分（1-10 分），最终输出带 go/no-go 建议的结构化风险报告。
使用场景覆盖：新供应商准入、年度复审、自建 vs 采购决策、并购尽职调查、SOC2/ISO 27001/GDPR 等合规矩阵要求。
评估流程：用户提交供应商名称、产品、官网、使用场景及数据敏感度后，AI 自动调研安全白皮书、认证状态、历史漏洞、财务信号、SLA 记录等公开信息，按数据敏感度权重计算综合风险分，并给出批准、条件批准或拒绝建议。
显著优点
- 框架完整：涵盖安全、隐私、合规、财务、运营、法律六大核心维度，避免单一视角盲区
- 动态加权：根据数据敏感度（低/中/高/关键）自动调整维度权重，关键业务场景强化安全与合规考核
- 可执行输出：不仅给分数，更列明关键发现、缓解要求及期限，直接用于 RFP 或安全问卷跟进
- AI 专项适配：特别加入 AI 训练数据退出政策、模型幻觉责任、输出生成权等新兴风险点
- 持续监控提示：内置状态页历史检查、漏洞新闻追踪等方法，支持从一次性评估向持续风控延伸
潜在缺点与局限性
- 依赖公开信息：若供应商未公开 SOC2 报告、未上市财务数据或缺乏历史漏洞披露，评估深度受限
- 无实时渗透测试：工具本身不执行技术测试，仅基于文档与 secondary research，无法替代专业红队评估
- 区域合规盲区：对非美欧市场（如中国网络安全审查、新加坡 PDPA）的覆盖程度取决于训练数据时效
- 权重公式刚性：虽有四级敏感度，但具体行业（如医疗 vs 金融）的特殊监管要求需人工微调
- 输出质量波动：AI 调研能力受限于可检索信源质量，小众或新兴厂商可能存在信息缺口
适合人群
- 企业采购与供应链团队：建立标准化 vendor onboarding 流程
- 信息安全与合规官：满足 SOC2、ISO 27001、GDPR 等第三方管理审计要求
- CIO/CTO：在 build-vs-buy 决策中量化 SaaS/AI 供应商风险
- 法务与合同管理：识别责任上限、自动续约陷阱、IP 归属等法律风险
- 投资与并购团队：快速筛查目标公司的安全与运营成熟度
常规风险
- 过度依赖评分：单一数字可能掩盖跨维度的风险传导（如财务不稳定→安全投入削减），需结合文字发现综合判断
- 时效性问题：认证状态、融资轮次、漏洞事件变化快，报告生成后需设定复审周期
- 供应商配合度：部分厂商对 SOC2 报告请求反应消极，可能延误评估周期，需纳入风险信号
- AI 供应商特有风险：模型训练数据溯源、幻觉责任归属等条款尚处行业探索期，标准答案未定型，建议法律终审
- 跨境数据主权：GDPR 数据驻留、美国 CLOUD Act 等冲突需结合具体数据处理地图分析，工具框架提供检查点但非法律意见
注：本工具由 AfrexAI 开发，定位为决策辅助而非审计替代，关键场景建议结合第三方审计与法律顾问。