第三方供应商续约前审查

在续约前评估供应商的安全证据、数据流向、可靠性记录与退出方案，并形成有负责人和日期的决策记录。

目标

在续约截止前，依据安全证据、数据流向、可靠性记录和退出方案，决定供应商是续约、重新谈判还是替换，并形成有负责人和日期的决策记录。

步骤

梳理集成与数据流：记录哪些系统向供应商发送数据、涉及哪些数据类别、数据存储在何处、哪些团队依赖该集成。
收集保证材料：最新 SOC 2 Type II 或 ISO 27001 报告、渗透测试摘要和子处理商清单，确认报告覆盖当前审计期，例外项有整改说明。
审查合同与数据条款：DPA、泄露通知时限、数据驻留、删除承诺、责任上限、续约通知期和终止协助，逐项标记为可接受、可谈判或不可接受，并指定法务审核人。
对比供应商公布的可用性与自有监控，复盘重大事件和支持响应，评估状态页信息是否与实际一致。
用加权评分决定续约、重谈或替换：

security          30%  audit report, pen test, access model, encryption
data handling     25%  residency, subprocessors, retention, deletion, DPA
reliability       20%  measured uptime, incident history, support response
exit              15%  export format, transition assistance, deletion proof
commercial        10%  price, renewal uplift, termination fees

若续约，把通知日期加入负责人日历并谈判标记条款；若替换，记录导出格式、迁移计划和数据删除确认。

验证

决策记录引用当前审计证据；通知日期在负责人日历中；从供应商导出的样本数据能在自有工具中打开；每个后续行动都有负责人和日期；退出方案已在替换场景中实际演练。

回滚

在合同签署前，续约决定可以重新讨论。签署后，期限、终止费和预付款是不可逆承诺，因此必须在签字前谈妥并保留旧合同条款副本。若正在替换供应商，在数据导出验证通过且替代方案并行运行一个计费周期之前，不要取消旧合同。把通知日期记录到日历，避免下一次审查再次错过窗口。商业条款权重不应超过 15%，因为切换成本和未修复的安全缺口通常高于续约折扣。