上海黄浦区一家外贸服装企业的供应链总负责人，伙同生产部门和采购部门负责人，利用职务便利伪造供应商材料，将其亲属名下的多家空壳公司纳入公司供应商名单，并指定真实供应商与之对接。通过虚增交易环节，他们非法侵吞公司财产上千万元。
这起案件并非孤例。它揭示了一个许多企业不愿正视的问题：供应商准入审核的失控，本质上是内控体系的系统性溃败。
空壳供应商是如何“合法”进入名单的？
复盘该案可以发现，问题的根源不在于审核流程不存在，而在于流程被内部人操控。供应链总负责人拥有供应商准入的审批权，生产部门和采购部门负责人则负责推荐和对接。当这三个环节被同一利益链条上的人控制时，所谓的“审核”就变成了走过场。
伪造的供应商材料之所以能通过审核，是因为审核者本身就是造假者。更致命的是，这种操作持续了相当长的时间而未被发现，说明企业缺乏对供应商准入的独立监督机制。
供应商审核失效的典型模式
供应商审核项目失败的原因，往往不是“人不够认真”，而是治理和控制的顶层设计出了问题。常见的失败模式包括：审核与供应商资质脱钩——即使供应商出现逾期或违约，采购部门仍然继续下单；审核范围模板化——以通用清单代替风险导向的审查，真正的失效模式反而被忽略；后续跟进薄弱——审核发现变成了“建议”，供应商学会了一拖再拖；重复问题不升级——同一项控制连续多次不合格却不影响供应商状态。
这些模式共同指向一个结论：如果供应商绩效下降不能触发实质性的审查或状态变更，那么供应商审核计划不是在控制风险，而是在记录历史。
从“资质审核”到“风险审核”的转变
传统的供应商审核侧重于资质文件的齐全性：营业执照、ISO证书、行业许可。但这类审核只能回答“纸面上是否合格”，无法回答“实际运作中是否存在风险”。
更有效的做法是建立基于风险的供应商细分模型。根据产品影响、流程复杂度、供应商成熟度、验证强度等因素，将供应商划分为高、中、低风险等级，匹配差异化的审核频率和深度。高风险供应商（如关键原材料、无菌包装、合同制造商）需要年度现场审核和严格的变更通知要求；低风险供应商可以接受问卷调查加定期绩效评估。
但再精细的风险模型，如果缺乏独立监督和制衡机制，仍然可能被内部人绕过。上述案件中，如果供应商准入的审批、执行、验证由不同部门独立负责，如果财务部门能够直接与供应商核实对账信息，如果内审部门对关键岗位进行不定期穿透测试，那么伪造材料的链条就会在某个环节断裂。
供应商审核的价值不在于产生多少份报告，而在于能否触发实质性的行动。当审核发现问题时，必须有明确的升级路径：状态降级、暂停采购、要求整改、终止合作。没有行动后果的审核，比不审核更危险——它制造了一种“我们在管理”的假象，却让真正的风险在暗处持续累积。
颐卓咨询管理集团-广州总部
地 址：广州市海珠区琶洲数字科技产业园A15-2栋（总部）
广州市番禺区南村镇捷顺路9号2栋1101房
公司总机：020-38626755
业务咨询：137 1119 5757
邮 箱：liaojun@chinakec.com
公司官网：www.chinakec.com
集团分支机构：上海、重庆、成都、深圳、佛山、东莞、武汉、福建、杭州等