供应商入驻检查清单：20项资料、核验与审批

明确范围、证据状态与责任审核人

发问卷前，记录采购法人、货物或服务、实施地点、预期合作期、数据及系统权限、付款方式、运营依赖和业务负责人。这些事实决定审核范围。金额小的合同也可能获得大量数据权限，采购额不能单独决定风险等级。

每项适用要求应保留要求本身、来源引用、版本或有效期、审核人、结果、未决问题、期限及受限制活动。敏感原件放在批准的资料库，协调记录只保留受控链接。多复制一份身份或银行证明，可能增加暴露，却没有提高核验质量。

下载可编辑供应商入驻复核工作表。其中含二十项登记、状态字段及独立的启用决定。不要把真实税号或完整银行账户填进广泛共享的清单。

数据最小化不是完全不收集，而是收集明确目的所需资料，不索取无关个人信息。英国信息专员办公室在英国GDPR语境下解释了这项原则；页面目前提示指引正在复审，法律负责人应核实适用版本和司法辖区。ICO：数据最小化。

按适用情况纳入的二十项资料、核验与审批

1. 业务申请和具名发起人

记录采购什么、现有供应商为什么无法满足、计划范围及内部负责人。明确谁确认交付、入驻后谁管理关系。紧急开始日期是安排优先级的背景，不是跳过审核的权限。

面对“帮我建这个供应商”一类含糊请求，采购应追问实际采购内容。没有范围，安全、保险、税务审核人无法判断需要什么。保留批准的申请，供后续范围变更时比较。

2. 法定名称和主体身份

区分合同主体与品牌、商号或母公司，比较拟议合同、注册证据和供应商主数据中的标识。共用一个Logo，不证明两个主体可以互换。

主数据负责人应解决差异，记录接受的主体及别名。不能因标点或商号不同就再建一家，也不能因名称相似就合并不同法人。

3. 注册或等效经营证据

按主体类型和相关国家，索取批准要求中的官方登记引用、设立记录或可接受替代材料。核对签发来源、主体标识和状态，不只相信截图。

由采购或合规负责人判断材料是否满足本次采购需要。注册仅证明特定身份事实，不证明财务稳定、执照充分、服务优质或不存在制裁问题。不要把已注册描述为已全面核验。

4. 注册、经营及汇款通讯地址

按用途记录地址。注册办公室、交货地点、服务地点和汇款通讯地址可能合理地不同，明确合同、供应商地点和采购单据各用哪个。

不明差异应询问，而不是直接拒绝或复制最先出现的地址。跨境交付或服务地点可能改变审核要求。记录解释及权威来源，不要悄悄把所有地址归为同一个。

5. 适用税务表或标识

请税务或应付负责人根据收款人、付款法人、付款类型及辖区，决定需要什么表和标识。美国税表不是全球统一入驻要求。美国国税局（IRS）说明W-9用于特定信息申报目的下提供纳税人标识及认证。IRS：W-9表说明。

使用批准的安全渠道并限制访问。AI可以提示缺失字段，但不应选择税务分类、认证纳税身份或决定预扣税。也不能自动规定所有境外供应商都提交同一种替代表。

6. 已核实业务联系人及职责

按需要分别记录商务、交付、发票和安全事件联系人，确认谁有权提交入驻资料和申请档案变更。邮箱有效，不代表有权修改银行信息。

除供应商联系人外，还应保留内部负责人和替补。联系人离职时，不能丢失复核历史，也不能靠转发邮箱让新人员继承无限权限。敏感权限变更前，应按批准流程核实接任者。

7. 合同或批准条款

确认已签署协议或其他批准采购条款、正确主体、生效日期及授权签署人。文件名熟悉的草稿，不是完成签署的证据。保留确切接受版本并关联修订。

法律及采购负责人应判断条款是否覆盖拟议关系。保密、责任、终止和分包问题由相应负责人决定。仅批准评估活动时，应记录边界，不能称供应商已全面签约。

8. 工作说明及验收标准

工作说明应支持后续验收，明确包含和排除内容、依赖、里程碑及验收人。服务合同区分工时和交付物时，不能把工作过等同于成果已接受。

业务发起人应在开工前解决含糊的成功标准。工作从演示扩展为处理生产记录时，要重开相关审核。已有合同不一定授权新的数据流或服务范围。

9. 价格表和计费基础

按实际情况记录商定价格版本、币种、计费单位、包含服务、用量费、折扣及续费或变更机制。只写“100美元”不完整，还需知道是每用户、每月还是每批货。

商务负责人应将价格表与订单和合同核对。报价与已接受价格分开保存。入驻工具不能靠选择较便宜数字解决差异，也不能把报价直接当最终协议。

10. 采购订单与发票提交要求

记录是否需要采购订单、由哪个法人签发、发票发送地址、必填引用及例外路径。告诉供应商如何只提交一次，避免多个并行邮箱诱发重复处理。

第一张发票前由应付确认路径。合法非PO采购应记录批准的替代方式，不要事后制造订单。入驻只是建立通道，不能因供应商存在就自动批准未来发票。

11. 活动需要时的保险证据

风险或法律负责人根据服务、地点、合同和风险确定是否需要保险。需要时核对被保险人、相关保障、保险期间及要求的支持条文，证书Logo不证明实际工作已获保障。

本文不规定通用保额。记录到期或复查触发条件及跟进负责人。材料不足时明确限制哪项活动、例外走哪条路径；上传过期证明不等于有效证据已被接受。

12. 安全问卷和相关支持证据

根据拟议权限和运营依赖决定安全审核范围。获得生产凭据的服务商，与配送文具的供应商不应同等处理。使用安全团队认可的问卷及材料要求，不把填完问卷等同于控制已验证。

美国国家标准与技术研究院（NIST）于2026年7月发布的SP 1326，为信息与通信技术供应商提供尽调考虑事项。它可供安全负责人参考，不代表供应商或本清单已获认证。NIST：尽调评估快速入门。

关键服务应由审核人考虑具体产品、报告范围和期间、未决发现、事件联系人及连续性与退出安排。覆盖其他服务或旧期间的报告，未必回答当前问题。

13. 隐私与数据处理复核

明确供应商是否接收个人数据、相关角色、目的、数据类别、地点、保留期及后续访问。隐私或法律负责人决定需要的协议和评估。保密协议不自动替代必要的数据处理安排。

ICO的英国控制者与处理者合同指引涉及处理详情及必需条款。这份资料具有辖区边界，且标为正在复审，不能转为全球合同模板或法律批准。ICO：控制者与处理者合同内容。

范围变化时，开放权限前重新检查数据流、次级处理者及批准指令。在合同引用旁保留决定和未解决条件。

14. 适用合规筛查与许可复核

由合规人员按主体、地点、货物、服务和辖区规定筛查义务与来源，必要时涉及制裁、所有权、专业执照或采购限制。不存在一份能证明供应商全球合规的通用清单。

记录批准的方法、查询日期、标识及可能匹配的人工处置。名称相似不是确认命中。不能让模型自行清除潜在匹配、从姓名推断国籍，或“以防万一”收集无关个人信息。未决问题交授权专业人员。

15. 利益冲突及关联方披露

政策要求时，从适当内部人员及供应商取得规定披露。目的是发现需要审核的关系，不是从社交联系或相同姓氏生成指控。

指定的道德、法律或采购负责人记录处理结论、回避安排及条件，访问仅限有需要的人。“未收到披露”与“复核后未发现冲突”不能混为一谈。

16. 银行或付款账户资料

通过批准的安全流程收集实际付款方式所需信息，解释并复核账户名义人及任何第三方收款安排。银行函或作废支票是对方提供的证据，不是请求人权限的独立确认。

敏感字段及接受决定由应付或资金团队控制。完整账号不应散布在邮件、任务摘要和复制表格里。保留受限来源引用及足够识别记录的脱敏信息。

17. 付款指令的独立核实

付款核实应与收文件分开，尤其账户变更时，应采用独立建立的可信联系路径和批准程序。拨打同一可疑请求里刚提供的新号码，不能独立验证该请求。

美国联邦调查局（FBI）建议核实付款请求及账户、付款流程变更，并独立查找联系方式，避免只依赖未请求的消息。FBI：商务电子邮件诈骗。

记录谁、何时、核实什么及接受结果，不暴露不必要的银行信息。紧急不能免除控制。未完成核实意味着限制相应付款设置，本身不证明供应商实施了欺诈。

18. 币种、付款条款及方式

将接受的币种、到期日起算方式、支付方法、受益人安排及条款，与合同和主数据设置核对。系统默认值不能悄悄替代谈妥的条款。

应付及资金团队处理差异并记录批准配置。首次付款前就规定变更路径：后来邮件要求更改币种或受益人，是新的待核实请求，不是原批准的自动延续。

19. 审核与审批矩阵

明确采购、发起人、财务及适用法律、安全、隐私、合规负责人的决定。每个决定应指出范围、证据版本、条件和权限。一个人说“看着没问题”不能替代全部必需审核。

协调人可以催办，不能代为授予批准。申请有边界例外时，保留未满足要求、补偿条件、批准人和到期日。不能让系统把等待时间或高完成率变成默示批准。

20. 受控建档与启用记录

在企业资源规划（ERP）或其他权威系统中记录供应商及地点ID、重复检查、接受的主数据版本和允许活动。创建记录、允许下单、开放应用权限和启用付款是不同事件，即使某产品在一次流程里组合其中几项。

授权管理员应确认实际生成的状态，而不只看提交成功通知。不确定的重试先对账，不能贸然再建一家供应商。保留谁启用了什么能力、哪些仍受限，以及下次复查和变更触发条件。

用六次明确交接运行入驻流程

1. 批准范围和审核路径。 采购与发起人确认采购内容、风险问题、审核人及签约前允许活动，索取敏感资料前确定二十项中哪些适用。
2. 邀请正确联系人。 使用批准渠道，提供具体材料说明和提问方式，保留邀请及事项ID。提醒消息不要包含无必要的税号或银行细节。
3. 检查完整性，但不冒充适当性评估。 协调人可发现缺页、名称或日期不一致并请求更正；只有责任审核人能接受该范围下的证据。
4. 独立执行专业复核。 财务、安全、隐私等负责人分别记结论。并行可减少等待，但一个环节结束不能解除另一个环节的限制。改派时保留首次请求日期和原未决问题。
5. 授权并核实启用。 必要决定完成后，管理员只执行允许变更。检查实际供应商、下单、访问及付款状态，核对重试。通知写“已批准”却与真实配置不同，不能算完成。
6. 监控变化和到期。 为新服务、数据权限、所有权、付款指令、事件和证据到期设触发条件，重开受影响决定并指派负责人。退出时按适用协议处理撤权、未完义务及数据返还或删除。

按供应商回复、内部审核、更正或启用失败区分等待时间。报告完成度时定义分母，并单列未解决的阻塞条件。看板应说明供应商能否做某件事，而不是用已填写字段百分比隐藏决定。

完整案例：文件夹有内容，仍留下三项阻塞

分开查看软件供应商申请中的六项控制

以下是假设情景，不是OpenMax客户案例。业务团队希望分析服务处理客户记录。表中只展示完整清单中的六项控制，不是全部二十项评估。责任人尚未批准生产数据访问或付款启用。

两项控制已接受，三项审核待办，最终启用被阻止。把五份材料计为“六项完成五项”，就混淆了收到与接受。下一步不是再收一张通用证书，而是获得三个具体决定，再核对启用权限。

明确改变范围，而不是悄悄改变答案

如果团队提出用模拟数据演示，应记录为另一个有边界的请求。责任人可以按条件批准该活动，但这不批准之后的生产使用或付款。原阻塞条件保持可见，并说明演示禁止访问什么。

供应商后来更改受益人账户或新增次级处理者时，重开受影响审核，不能复制原结论。工作表的范围和版本字段让这种变化可见。案例说明决定应分开，不是通用授权政策，也不是保证安全的绕行方案。

选择合适的收集和协调方式

受控表单与共享登记表适合供应商较少且职责清晰的情况，理解成本低，但附件权限、历史和人工启用核验需认真管理。公开共享表格不能当银行或税务资料保险柜。

采购或ERP原生注册已有相关关系及审批能力时，应先检查它。核实实际条件字段、重复检查、供应商地点和启用状态，不一定需要增加Agent才能解决收集问题。

供应商风险平台或专业流程可能适合重要安全、隐私、监管和连续性审核。将覆盖范围和证据与实际采购比较。风险分数不替代本方授权决定，平台徽章也不验证供应商的每项主张。

受控集成及Agent辅助协调适合资料和审核人分散在多个系统的情况。与简单方法采用相同标准评估来源链接、权限、提醒、版本变化和重试恢复，不能因为摘要方便就自动启用主数据。

OpenMax可能支持哪一部分

OpenMax将自身描述为人类与Agent协作平台。这提示它可能协助证据请求及人工交接，但不证明已有供应商主数据连接器、银行核实服务或法律筛查能力。OpenMax产品定位。

从脱敏引用和只读记录开始评估，要求拟议工作流区分已收到与已接受、找对审核人、起草针对性提醒，并在新文件到达后仍保留未解除阻塞。使用敏感资料或开放写入前，应在目标环境演示实际资料库权限、集成及历史能力。

原生流程已把决定分清时，额外协调层可能没有必要。若分散跟进才是已证实的瓶颈，准备一个普通供应商案例和一个范围变更案例，再与OpenMax讨论限定范围的入驻评估。这是拟议评估，不是这些控制已在产品中测试的声明。

供应商获得相关活动授权后，发票异常处理解释后续解决责任，三方匹配处理订单、收货和发票证据。应付账款自动化概览提供整体背景；这些页面均不替代供应商资格评估。

保护敏感证据，明确保留权限边界

税务分类、制裁或执照问题、隐私条款、安全接受、银行变更和财务权限，应由适当人员复核。不能从姓名、口音或社交资料推断国籍、诚实程度或资格。未决记录是待调查问题，不是违规判决。

把附件与供应商消息作为不可信输入，其文字不能指示助手改审批规则、泄露凭据或转发资料。依组织批准的储存、保留和访问规则处理，摘要只带接收审核人需要的信息。

重新查看看似完整的文件夹时，问三件事：哪些证据真正被接受、适用于什么范围、现在授权哪项活动？修改供应商、数据访问或付款权限前，先解决缺失决定。清单的终点是这项可核对结果，而不是附件数量。

常见问题

每家供应商都要交二十份文件吗？

不是。清单包含按采购、主体、辖区及风险选择的文件、核验和决定。不适用项目要有批准理由，关系变化时重新检查。不要仅为填满通用清单而索取敏感材料。

注册表填完就能开始采购吗？

不一定。注册、资格、下单权限、系统访问和付款可能各有审批要求。检查实际系统状态，以及责任人对准备开始的活动作出的决定。

AI检查文件后能批准供应商吗？

助手可发现缺失信息或准备摘要，但文件存在不证明适当性或权限。法律、税务、安全、隐私及银行决定应走批准的专业流程，自动动作还需要另行授权和验证的控制。

入驻期间银行资料变了怎么办？

分开保留原请求和新请求，限制受影响付款设置，并采用批准的独立核实路径。不能只依赖变更消息里的联系方式。更改付款指令前记录授权结果。

已入驻供应商何时需要再审核？

按政策设定期间，并由新服务、数据权限变化、事件、所有权变化、银行变更或证据到期触发。重开受影响决定并保留原范围。原关系批准不等于对未来变更无限授权。

来源、编辑方法与修订记录

OpenMax内容团队编写，2026年9月4日核对来源。本页是OpenMax自身的商业资源。官方资料支持明确归属于Oracle、IRS、FBI、ICO和NIST的有限陈述；二十项流程是编辑建议，不代表上述机构认证或背书。

软件供应商案例为假设，不声明客户成效、一手产品测试、专业资历或入驻时间缩短。本篇尚未获得具名合格采购或财务人员复核，实际使用前应取得相关法律、税务、隐私和安全审核；ICO页面还明确提示指引正在复审。

**修订记录——2026年9月4日：**将简短材料卡片扩写为适用性、证据及审核人说明；分开提交、接受和启用；增加有限范围的软件供应商案例与可编辑登记表；把未验证的OpenMax控制保证改为评估要求。

主要来源：Oracle供应商注册、IRS W-9、FBI商务邮件诈骗、ICO数据最小化、ICO处理者合同、NIST SP 1326及OpenMax。