本文重點
- 供應商風險的現實
- 供應商風險的六大類型
- 風險評估矩陣
§ 01供應商風險的現實
2020 年全球疫情讓許多台灣企業發現，長期被視為理所當然的「穩定供應鏈」，在外部衝擊下可以在幾週內崩潰。然而供應風險不只來自黑天鵝事件——更多風險是可預見、可管理的日常威脅。
有效的供應商風險管理，不是要消滅所有風險（不可能），而是：
- 識別哪些風險存在
- 評估哪些風險最值得關注
- 緩解高優先風險的影響
- 準備當風險真的發生時的應對方案
§ 02供應商風險的六大類型
1. 財務風險
供應商面臨財務困難時，採購方可能面臨：突然斷供、押金無法追回、在製品半途而廢等問題。
常見徵兆：
- 票期突然要求縮短或要求現金付款
- 員工薪資延遲傳聞
- 多家客戶同時反映交期拖延
- 工廠開始出售設備
評估方式：年度財報審查（上市公司）、徵信報告、定期拜訪時觀察廠房人員狀況。
2. 品質風險
持續或突發性品質問題，影響你的生產線或最終客戶。
常見觸發因素：
- 關鍵品管人員離職
- 原材料來源更換（未通知採購方）
- 快速擴產導致製程控制失效
- 設備老化未更新
評估方式：歷史 PPM 趨勢、SCAR（供應商矯正行動報告）發生頻率、定期品保稽核。
3. 交期與產能風險
供應商無法按時、按量交貨。
常見觸發因素：
- 訂單過度集中（你的訂單佔其產能 50% 以上）
- 其他大客戶插單優先
- 季節性原材料短缺
- 單一關鍵設備故障（無備機）
評估方式：了解供應商的客戶集中度、觀察旺季前的備貨能力。
4. 地緣政治與合規風險
這類風險近年快速上升，對出口導向的台灣企業影響尤為顯著。
具體風險：
- 原材料出口管制（如稀土、半導體設備）
- 貿易制裁清單（OFAC、BIS Entity List）
- 台灣出口管制法規要求的最終用途聲明
- 環保法規（RoHS、REACH）的持續合規
評估方式：年度供應商合規聲明更新、OFAC/BIS 名單定期比對。
5. 集中度風險（單一來源風險）
對單一供應商依賴過高，使你缺乏談判籌碼且一旦斷源即癱瘓。
風險判斷標準：
- 某品項的單一供應商佔採購量 > 70%
- 全球只有少數幾家能供應的特殊材料
- 長期未開發第二供應源
6. 自然災害與不可抗力風險
地震、颱風、洪水、疫情等事件對特定地理區域的供應商造成集中衝擊。
台灣採購人員需特別注意的地理集中風險：
- 過度集中於台灣南部（地震帶）的關鍵供應商
- 過度依賴中國大陸特定省份的原材料（貿易政策風險疊加）
§ 03風險評估矩陣
對每個主要供應商，從兩個維度進行評分（1-5 分）：
| 維度 | 說明 |
|---|---|
| 發生可能性 | 此風險在未來 12 個月內發生的機率 |
| 影響程度 | 若風險發生，對你業務的衝擊大小 |
風險等級 = 可能性 × 影響程度
| 分數範圍 | 風險等級 | 行動要求 |
|---|---|---|
| 16–25 | 🔴 高風險 | 立即制定緩解計畫 |
| 9–15 | 🟡 中風險 | 制定應急預案，定期監控 |
| 1–8 | 🟢 低風險 | 年度複查即可 |
§ 04供應商風險地圖（Risk Heatmap）
建議製作以下兩軸的供應商風險地圖，橫軸為「業務影響」（此供應商斷供對你的衝擊），縱軸為「供應風險」（此供應商自身的脆弱性）：
- 右上象限（高影響 × 高風險）：優先處理，需有具體緩解計畫與備援方案
- 右下象限（高影響 × 低風險）：維持現狀並定期監控，風險雖低但重要性高
- 左上象限（低影響 × 高風險）：考慮尋找替代，或降低對此供應商的依賴
- 左下象限（低影響 × 低風險）：常規管理即可
§ 05風險緩解策略
策略一：雙源或多源採購
對業務影響高的品項，至少維持兩家合格供應商，常態分單比例建議 70/30（主/副），讓副供應商保持活躍。
策略二：安全庫存策略調整
依供應風險等級調整安全庫存天數：
| 供應風險等級 | 建議安全庫存天數 |
|---|---|
| 低風險 | 7–14 天 |
| 中風險 | 14–30 天 |
| 高風險 | 30–60 天 |
注意：過高的安全庫存會佔用資金，需與財務部門一起計算持貨成本。
策略三：供應商財務早期預警
建立供應商財務健康度追蹤機制：
- 每半年要求主要供應商提供財務狀況更新（無需細節，可只確認「正常營運」）
- 關注公開信息：媒體新聞、司法院公告（強制執行、公司重整）
- 當地業務代表或採購工程師拜訪時的實地觀察
策略四：合約保護條款
在採購合約中納入風險緩解條款：
- 優先供應條款：在供應緊張時，你的訂單有優先權
- 變更通知條款：供應商更換原材料來源、生產地點或關鍵設備前，必須提前 60 天通知
- 業務連續性條款：要求供應商維持最低庫存或承諾備貨能力
策略五：供應商業務連續性計畫（BCP）審查
對高影響供應商，要求其提供業務連續性計畫（Business Continuity Plan），確認：
- 備用生產基地是否存在
- 關鍵設備的備件庫存水位
- 關鍵人員（品管、生產主管）的備援安排
§ 06供應風險應急回應流程
當風險事件真的發生，需要快速、有條不紊的應對：
T+0（事件發生當天）
- 確認事件性質與初步影響範圍
- 通知內部相關部門（生產、銷售、主管）
- 啟動緊急替代來源評估
T+1 至 T+3
- 評估現有庫存可支撐的天數
- 接觸備用供應商，詢問緊急承接能力
- 向供應商施壓取得預計恢復時間表
T+3 至 T+7
- 決定是否啟用備用供應商，下達緊急訂單
- 評估是否需要調整生產計畫或客戶交期
- 記錄事件始末，為後續檢討留下依據
事後（T+14 以後）
- 舉行供應商事後檢討（Post-Incident Review）
- 更新風險評估矩陣（此次事件是否改變了該供應商的風險等級？）
- 修訂相應的緩解措施
§ 07建立供應風險管理文化的三個起點
對資源有限的台灣中小企業，可從三件最容易上手的事開始：
第一件事：製作「業務關鍵供應商清單」，列出如果斷供超過 7 天就會讓生產或交貨癱瘓的前 10 家廠商。
第二件事：對清單上的供應商，各自確認「現在有沒有可以接手的替代供應商？」——如果答案是否定的，開發第二供應源就成為最高優先任務。
第三件事：每季第一週，花 30 分鐘瀏覽關鍵供應商的公開資訊（新聞、Google 評論、履歷職缺變化），確認是否有財務困難或管理層異動的早期訊號。
§ 08馬佩萊觀點
風險評估矩陣最大的盲點，是打分數的人。負責某家供應商的採購，和對方往來久了，通常會低估那家廠商的風險：老闆認識、配合一向不錯，可能性那一欄自然就填得保守。這不是不專業，而是人之常情。我會建議關鍵供應商的風險分數，至少讓一位不負責該廠商的同事，或生產、品保的主管一起評，分數之間的落差本身就很值得討論。
我也建議應急流程每年至少紙上演練一次。挑一家關鍵供應商，假設它明天停工，請採購、生產、業務坐下來照著流程走一遍：誰先通知誰、庫存能撐幾天、備用廠商的窗口是誰、要不要先告訴客戶。這個練習花不到半天，卻常常會發現流程裡寫的聯絡人早已離職，或備援廠商的報價早就過期。沒演練過的應急計畫，只是一份文件。
§ 09小結
供應商風險管理不是大企業的專利。任何一家依賴外部供應商的企業，都面臨供應中斷的潛在威脅。關鍵在於從「被動應對」轉向「主動管理」——在風險尚未成為危機之前，做好識別與準備。