用途：评估新供应商准入，建立或成熟化第三方风险管理（TPRM）流程，按风险对既有供应商组合分级，审阅 SOC 2 Type II、ISO 27001、CAIQ、渗透测试等证据，把安全与隐私要求写入合同/DPA（含泄露通知 SLA、审计权），应对供应商或其分包商泄露，并管理软件供应链与第四方（N 方）风险。
主要能力：覆盖 TPRM 全流程——盘点与分类供应商；按数据敏感度、访问类型、业务关键性、监管范围等固有风险因素评分并分级（如严重/高/中/低）；按级别执行相应尽调（严重/高用完整 SIG、SOC 2 Type II、ISO 27001、渗透测试摘要；中用 SIG Lite 或 CAIQ；低用轻量自评）；批判性审阅证据（SOC 2 的范围、信任服务标准、审计期间及例外项；ISO 27001 范围声明与适用性声明；CAIQ 的“否”答案与空白域；渗透测试时效、范围及高危整改）；对比控制要求识别差距，决定接受、限期整改、补偿控制或退出，并记录剩余风险与风险责任人；将要求写入合同/DPA，含分包商流转与责任/保险条款；持续监控（定期复评、安全评级、泄露与新闻监测、证书到期跟踪、重大变更触发再分级）；映射关键第四方与集中度风险；下线时撤销访问与凭证、确认数据返还或销毁、移除集成/API 密钥并更新台账。
使用方式：需先具备供应商台账、与业务商定的分级模型、标准问卷（SIG、CAIQ）与证据收集方式、自身监管义务（HIPAA BAA、CMMC 流转、GDPR 处理者条款、PCI）及利益相关方（采购、法务、安全、数据所有者、业务发起人）。产出为按 assets/template.md 的供应商风险评估，含供应商画像、固有风险评分与分级、已执行尽调、发现的问题与严重度、决策与剩余风险、合同要求、监控与复评计划、N 方说明。可用 scripts/process.py 从画像 JSON 计算固有风险等级、设定评估深度与复评周期，并标记该级别缺失的证据。
适用场景：新 SaaS 准入；400 家供应商却无分级时先分级并把精力集中在严重/高尾部；供应商泄露新闻出现时评估暴露并援引通知条款；审计要求出示 TPRM 方案并按 GV.SC 映射持续监控证据；识别关键第四方并制定应急方案。
限制：资料未提供具体定价、平台集成细节或实施工时；工具与系统提及 NIST SP 800-161 Rev 1、NIST CSF 2.0 GV.SC、Shared Assessments SIG、CSA CAIQ/STAR、BitSight/SecurityScorecard 类评级、OneTrust/ProcessUnity/Prevalent/ServiceNow VRM 等 TPRM 平台，但未说明本技能对它们的自动化支持范围。