要用 AI 建立供應商盡職調查問卷，先從採購情境和審核人必須掌握的風險入手。按處理的資料、系統存取、業務關鍵性和可替代性為供應商分層，再用 AI 整理獲批的問題模組，令每條問題都可以回答，並連結證據和人手負責人。不要讓模型為供應商評分、批准或拒絕供應商。

這是通用使用 AI 方法在風險受限情境中的應用。它設計的是證據要求，不是競爭分析、RFP 回覆或法律結論。需要評估答案時，應由合資格的保安、私隱、法律、財務、採購、抗逆和營運審核人判斷，不要讓草擬問題的同一個模型評審回覆。

關鍵要點

選題前先為合作關係分層。

只提出與明確風險目標相關的問題。

寫明回答格式、證據、證據日期和負責人。

刪除誘導性、複合式和無法回答的問題。

發出問卷前訂明追問和上報觸發條件。

評分、風險接受和供應商批准交由獲授權人員負責。

草擬問題前要定義甚麼？

寫一段簡短的採購情境：買甚麼、誰使用、哪個業務流程依賴它、可能接收哪些資料、需要甚麼存取權限、在哪裏運作，以及出問題的後果。缺少這些背景，問卷不是甚麼都問，就是漏掉最重要的風險面。

用四個因素建立分層紀錄：

因素	低風險例子	較高風險例子	負責人
資料	只有公開資訊	個人、機密、受規管或生產數據	私隱或數據負責人
存取	沒有帳戶或整合	特權、持續或生產環境存取	保安或系統負責人
關鍵性	可有可無的便利	收入、安全、合規或核心營運依賴它	業務負責人
可替代性	容易更換	遷移期長、專有格式或單一來源	採購及營運

有需要時再加入地點、分判、集中度、財務、安全和規管因素。AI 可協助把事實整理成分層摘要，但每項輸入都要由具名負責人確認。絕不能讓模型推斷熟悉的供應商風險較低，或小額合約就無害。

NIST SP 1326 為資訊及通訊科技（ICT）供應商提供網絡保安供應鏈盡職調查的快速入門方法。［1］它適用於科技採購，但不是所有行業的完整問卷。食物安全、建築、醫療、勞工、環境、金融及其他非 ICT 採購，都需要各自的領域準則和合資格負責人。

應選擇哪些供應商問卷模組？

按情境是否相符來選擇模組，而不是因為通用總題庫有就照搬。NIST SP 800-161 Rev. 1 闡述了貫穿採購和系統生命周期的網絡保安供應鏈風險管理。［2］這種生命周期角度提醒我們：引入供應商只是其中一個審核時點。

模組庫可包括：

機構身份及擁有權： 法律實體、營運名稱、母公司、依法須披露時的實益擁有權、主要地點和問責聯絡人。
產品或服務來源： 產品界線、開發或生產地點、受支援組件、停止支援承諾和重要依賴。
資料及系統存取： 資料類別、用途、存取途徑、權限、地點、保存、刪除和客戶可控設定。
保安及私隱： 管治、身份控制、漏洞處理、安全開發、獨立評估、私隱角色和權利要求處理。
抗逆及事故應變： 復原目標、經測試的計劃、通知流程、溝通和持續運作依賴。
分判商及供應鏈層級： 重要的次級處理者或供應商、審批和通知做法、要求向下傳遞和監察。
退出及可攜性： 匯出格式、過渡支援、刪除證明、撤銷存取、交還硬件和替換依賴。

不要把每個模組都發給每家供應商。為每條問題標示適用性規則，讓審核人能解釋它為何出現或為何略去。

如何把問題連結到風險及證據？

由風險目標開始，而不是由漂亮字眼開始。「了解特權存取能否及時撤銷」是一個目標；「貴公司是否遵循保安最佳做法？」不是，因為它沒有清晰標準、證據或決策用途。

使用以下問卷登記冊：

Question ID	Risk objective	Applicability	Question	Response type	Requested evidence	Evidence date	Owner	Risk trigger	Follow-up	Review status
V-101	確認撤銷存取	供應商獲發具名帳戶	由哪個角色停用存取？接獲通知後的目標時限是多少？	結構化文字 + 時長	離職交接程序及近期測試紀錄	日期	身份及存取審核人	沒有負責人或程序未經測試	索取樣本證據	Draft
V-205	了解數據退出	供應商儲存客戶數據	合約完結時提供哪些匯出格式和刪除證明？	多選 + 文字	匯出規格及刪除證明範本	日期	數據負責人	只能以專有格式匯出	上報可攜性審核	Draft

索取的證據應支持具體答案。政策證明規則存在，不證明控制確實運作過。認證可能只涵蓋特定實體、地點、產品和日期。截圖可能過時或經篩選。索取足以令審核人放心、而敏感程度最低的證據，機密資料則經獲批的安全渠道傳送。

NIST 的網絡保安供應鏈風險管理資源，匯集了識別、評估和應對供應鏈風險的做法和參考資料。［3］應把這些資源當作輸入，而不是自動評分表。

用 AI 建立供應商盡職調查問卷時，如何安全改寫問題？

把情境、獲批模組、風險目標、回答格式、證據類型和禁止的推斷交給模型。除非所選環境已獲批處理，否則刪除機密商業條款和個人資料。

只根據提供的風險目標草擬供應商問題。

每條問題傳回：
- Question ID
- Applicability
- 一條中立的問題
- Response type
- Requested evidence 及可接受的日期範圍
- 人手審核負責人
- Risk trigger
- Follow-up 條件

不要為回答評分、推薦供應商、詮釋法律，
或聲稱所提供的證據證明合規。
欠缺背景時清楚標示，不要自行編造。

之後以「能否回答」為準修改。拆開「貴公司是否加密數據並測試備份？」這類雙重問題，因為加密和復原需要不同的負責人和證據。把「定期」這類含糊的頻率字眼，改為要求填寫的周期或開放式時長欄位。避免「請確認貴公司成熟的計劃……」這類誘導字眼，它鼓勵附和，而不是有用的披露。

為供應商可能有不同理解的用語下定義：事故、重要分判商、生產存取、刪除、復原時間、嚴重漏洞或受支援產品。只容許附有理由的「不適用」。當誠實的不確定比被迫回答「是」更有參考價值時，容許回答「未知」。

如何規定格式及證據時效？

按事實改變的速度訂定證據日期規則。公司身份改變較慢；滲透測試摘要、保險證明、次級處理者名單或復原演練，可能需要較新的日期。證據日期和審核日期都要記錄。

只在有助分析時才使用結構化回答類型：

是／否／部分／不適用，並附說明；
日期或時長；
從已定義數值中單選或多選；
簡短結構化文字；
具名附件或安全證據室參照；
用於產品、地點、次級處理者或復原目標的表格。

不要把複雜的控制硬塞進二選一的答案。「是」可能掩蓋範圍限制。當這些分別會影響風險時，要求供應商寫明涵蓋的服務、法律實體、地點和證據。

NIST SP 800-18 Rev. 2 強調記錄角色、系統界線、控制和計劃。［4］它雖然不是供應商問卷範本，但同樣的紀律有助審核人看清一個答案實際涵蓋甚麼。

如何設計追問及上報？

在回覆到來前寫好觸發條件。否則，審核人可能因限期壓力或對供應商的熟悉程度，對同一事實作出不同處理。觸發條件不是自動拒絕，而是把證據轉交合適的人手決定。

例子包括：

敏感數據沒有明確的刪除方法；
特權存取沒有具名審批或撤銷控制；
關鍵服務的復原計劃未經測試；
買方無法識別或審核的重要分判；
軟件已不受支援，或產品停止支援的安排不清楚；
證據超出可接受的日期範圍；
答案與合約、架構圖或其他回覆互相矛盾；
必填欄位以宣傳字眼代替證據。

每個觸發條件都要寫明追問內容、負責審核人、決策權限和時限。採購部可以統籌流程，但不應在權限以外，悄悄就技術、法律、私隱、安全或財務問題作決定。

誰批准問卷及供應商決定？

發出問卷前，讓每位負責人審核適用性、字眼、證據是否相稱、保密安排和上報規則。法律或私隱審核人應檢查收集擁有權、員工、地點或個人資料是否合法和必要。保安審核人應避免提出會造成不必要風險的要求。採購部應確保要求可行，並與今次採購相關。

在問題層面記錄審核狀態：Draft、Needs evidence design、Needs domain review、Approved for use、Retired 或其他受控詞彙。AI 不得設定 Approved for use。

收到回覆後，保留原始答案和證據參照，澄清內容另行記錄。不要要求 AI 把有爭議的證據壓縮成一個可信度分數。摘要經審核人對照來源核實後可協助查閱，但它不能接受風險，也不能簽署合約。

應避免哪些常見錯誤？

不按情境判斷適用性，直接照搬最齊全的問卷。
把 NIST SP 1326 當作非 ICT 採購的完整涵蓋。［1］
提出複合、誘導、未定義或無法據以行動的問題。
在沒有安全渠道或明確需要時索取敏感證據。
把證書、政策或 AI 摘要當作每項說法的證明。
讓 AI 評分、批准、拒絕，或作出法律和採購結論。
遺漏退出、可攜性、分判商或證據時效。
等到出現可疑答案才訂定上報規則。

總結

描述採購情境，並為供應商的風險程度分層。
選擇與風險相關的模組和適用性規則。
把每條問題連結到證據、觸發條件、追問和負責人。
改善字眼，但不把結論交給 AI。
發出前取得領域批准，收到回覆後由人審核。

常見問題

AI 能自動為供應商問卷評分嗎？

它可以整理答案，但不應作出風險評分或批准決定。評分規則、證據詮釋、例外和風險接受，都需要獲授權的人手負責人。

每家供應商都應收到同一套問題嗎？

不應該。使用一致的分層因素和模組規則，再按供應商的資料、存取、關鍵性、可替代性和領域風險選擇問題。

NIST SP 1326 適用於所有供應商嗎？

不適用。它集中於 ICT 供應商的盡職調查。非 ICT 採購需要由相關行業和職能專家挑選並批准準則。

問卷應索取甚麼證據？

索取能支持風險目標、而敏感程度最低的證據，例如範圍清晰的政策、現行評估、測試紀錄、流程樣本、合約附件或安全證據室參照。

應如何處理供應商機密證據？

使用獲批的安全渠道、限制存取、訂明保存期限；除非該環境已獲授權，否則不要把機密證據上載到 AI 工具。

甚麼是供應商風險觸發條件？

它是預先訂明的條件，用來把某個回覆轉交澄清或專家審核，並不一定代表自動拒絕。

AI 能判斷回覆是否證明合規嗎？

不能。證據的範圍、時效、可靠程度和法律含義，必須由合資格審核人對照實際要求評估。

問卷應在何時更新？

當採購模式、數據用途、存取、產品架構、法規、威脅環境、證據要求或過往供應商事故出現實質變化時，都應覆核問卷。

來源

Sources checked 2026 年 8 月 31 日。

NIST, “NIST SP 1326: Cybersecurity Supply Chain Risk Management Due Diligence Assessment Quick-Start Guide” — https://www.nist.gov/publications/nist-cybersecurity-supply-chain-management-due-diligence-assessment-quick-start-guide
NIST, “SP 800-161 Rev. 1 Update 1: Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations” — https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final
NIST CSRC, “Cybersecurity Supply Chain Risk Management” — https://csrc.nist.gov/Projects/cyber-supply-chain-risk-management
NIST, “SP 800-18 Rev. 2: Developing Security, Privacy, and Cybersecurity Supply Chain Risk Management Plans for Systems” — https://csrc.nist.gov/pubs/sp/800/18/r2/final

延伸閱讀

**免責聲明：**本文描述的是問卷設計和審核流程，不構成法律、採購、保安、私隱、財務、安全、規管或其他專業建議。

如何用 AI 建立供應商盡職調查問卷：按風險選題並連結證據