该技能用于对第三方或供应商开展安全审查，并输出可辩护的风险分级与处置建议。其核心逻辑是：供应商的风险取决于其接触的数据与系统访问权限，而非公司规模或知名度。
必要输入包括四项：供应商的业务与将访问的数据类型（无、内部、客户PII、敏感、受监管）；访问级别（无系统访问、有限、特权/管理员）；关键性（该供应商故障或泄露是否会对自身造成实质影响）；可获取的证据（SOC 2 / ISO 27001 报告、渗透测试摘要、DPA、安全问卷回复）。资料中注明，这些输入仅在未提供时才需询问。
输出格式包含四部分：一是风险分级，由数据敏感度×访问权限×关键性决定，分为低、中、高、关键四级并给出理由；二是尽调范围，按等级要求对应材料，例如低等级为自我声明，高/关键等级需 SOC 2 Type II 或 ISO 27001、渗透测试摘要、DPA/子处理者清单、事件响应与违规通知条款；三是发现表，按领域列出期望、发现与风险状态，如加密、合规、子处理者等；四是剩余风险与建议，明确批准、有条件批准或拒绝，并附条件与复审日期。
技能附带一个仅使用标准库的脚本 scripts/vendor_risk.py，可根据供应商的数据、访问、关键性画像计算风险等级和基线所需证据，以保证不同审查者之间的一致性。用法示例：python3 scripts/vendor_risk.py vendor.json 或加 --json 参数。输入文件字段示例为包含 name、data_sensitivity、access、criticality、certs 的 JSON。
限制与要求：不得按品牌规模决定尽调深度；不得将 SOC 2 Type I 等同于 Type II；必须追问子处理者；高风险供应商不得仅凭承诺批准，需以合同条款（DPA、违规通知 SLA）绑定证据；审查不是一次性的，需按等级设置复审节奏。资料未提供价格、平台支持范围或具体效果数据。