用途：指导第三方与供应商网络风险工作，包括TPRM准入（新供应商申请、续约、范围变更、退出风险）、按数据、访问权限、关键性、可替代性和集中度对供应商分级、分析SIG/CAIQ/自定义安全问卷的一致性、缺口与评分、审查SOC 2、ISO 27001、渗透测试函、信任中心等证据与认证、开展持续监控（泄露信息源、评级变化、证书到期、新闻）、评估集中度与第四方（子处理商）暴露、跟踪整改（发现、负责人、截止日期、复评触发条件），以及为采购、安全和高管受众生成供应商风险报告。
主要能力：按固有风险先分级再决定评估深度；以证据而非声明为准，对重要声明要求认证；将网络供应商风险与交易尽调区分；与安全风险分析师的企业风险登记册对齐而不重复项目归属；不提供法律意见，只给出风险等级和所需条款主题，条款问题升级给法务。
使用方式：核心工作流包括准入与分级、问卷分析、证据与认证审查、持续监控与事件、报告与整改。相关参考文件包括references/tprm_intake_and_tiering.md、references/questionnaire_scoring.md、references/evidence_and_attestation_review.md、references/continuous_monitoring_and_incidents.md、references/vendor_risk_reporting.md、references/vendor_cyber_risk_analyst_scope.md。
适用场景：TPRM日常运营、供应商分级、问卷评分、认证审查、持续监控、第四方登记、整改跟踪和风险报告。
限制：不适用于并购、投资或交易团队尽调（应使用cyber-diligence-governance）、企业风险登记册与FAIR模型（security-risk-analyst）、GRC项目与审计准备（compliance-specialist）、IAM部署（iam-specialist、information-security-engineer）、CISO战略（chief-information-security-officer）、物理供应链（supply-chain-manager）、安全架构与IR项目（cybersecurity）、渗透测试执行（penetration-tester）、合同红线谈判或法律解释（commercial-counsel）。具体安装命令、收费与平台信息暂未提供。