如何建立供應商導入流程
如何設計一條把資格審查與啟用分開的供應商導入流程：通往付款設定的唯一入口為甚麼必須是那道關卡，以及啟用步驟為何同樣帶着控制。
供應商導入流程先為一家供應商作資格審查，然後令他們可以收到款項；真正重要的控制，是這兩半之間的那道關卡，而不是任何一半做得有多仔細。
簡而言之
- 資格審查與啟用是兩條流程，而連接它們的只應該是一道關卡。
- 一家有主資料紀錄而未經批准的供應商，已經可以收到款項。
- 風險級別如果不同時決定下一次覆審的時間，它就沒有做任何事。
- 在放行之前開出的採購訂單，已經承諾了那道關卡所要管的那筆錢。
- 拒絕需要一個畫出來的終點，否則被拒的供應商會經另一個採購員再申請一次。
兩條流程共用一個名字
供應商導入通常被畫成一條序列，實際上卻是兩條，負責人不同，要回答的問題也不同。前半是資格審查：這家供應商所帶來的風險敞口，機構究竟願不願意承擔。後半是啟用——一筆主資料紀錄、銀行帳戶資料、付款條款，以及一張供應商可以據以開發票的採購訂單。兩半通常都運作得不錯，而失誤幾乎從來不在其中任何一半的內部。
失誤在交界處。啟用才是申請人想要的東西，所以它會被提早開始——為了省時間先開一筆主資料紀錄、由一份 PDF 抄下銀行帳戶資料、在法律部門還在讀合約的時候就開了一張訂單。由那一刻起，機構就有了一家沒有人放行過、卻已經可以付錢的供應商，而大多數供應商詐騙和大多數第三方審計發現，共通點正是這一個條件。「盡職審查是否通過？」必須是通往後半的唯一路徑，而一張圖表正是把這件事由風氣變成可以核對的東西。
下面的示例是一條橫跨五個職能的供應商流程，而其中一列管住了全部：由「商討並落實合約條款」開始的一切，都掛在「盡職審查是否通過？」之下，它的「不通過」分支被畫成一個終點，而不是一次暫停。之後有一個啟用步驟本身帶着一道關卡——「以回撥電話核實銀行帳戶資料」後面跟着「銀行帳戶資料是否已核實？」——這正好說明啟用並不是行政工作。提早開始它不是操之過急，是無人看守。
四個階段建立供應商導入流程
先資格審查後啟用，分六個階段。每個階段加上去的工作都不會令供應商可以收款——直到最後一個階段，一列就把這件事改變了。
唯一一條正當的捷徑
申請只有一列，規則亦隨之而來。「提交新增供應商申請表」是唯一入口，而「現有供應商能否應付？」把「是」送去「向現有供應商下訂單」——一張沒有做盡職審查就開出的訂單，之所以獲准，只因為那家供應商早已通過一次。
五列，仍然無法收款
完整的資格審查前半：「收集盡職審查資料」、合約條款、「進行財務與信貸審查」、資料保障審查，然後是「釐定供應商風險級別」。這裡沒有任何一步會產生發票對得上的紀錄，而這正是這半條流程可以慢慢做的原因。
兩半之間的關卡
「屬於高風險級別？」把值得的供應商送去「進行加強盡職審查」，然後是「盡職審查是否通過？」——目前畫出來的唯一出口是「不通過」，終結於「拒絕供應商並通知申請人」。獲批的那條路徑打開後半，見下一階段。
不是行政工作的那一半
獲批的路徑通向合約簽署，然後啟用本身產生一道關卡：「以回撥電話核實銀行帳戶資料」，由「銀行帳戶資料是否已核實？」把守。過了它，「建立供應商主資料紀錄」才出現——第一列發票對得上的紀錄，名冊登記隨後。
運作方式
把資格審查與啟用分開
寫兩張清單。資格審查是一切用來確認機構應不應該與這家供應商往來的工作——盡職審查、合約條款、財務狀況、資訊保安與資料保障、制裁與股權篩查。啟用則是一切令他們可以收到款項的工作。第二張清單上的任何一項，都不屬於第一張。
在第一家供應商之前訂好分級規則
決定甚麼會把一家供應商歸入各個風險級別——資料敏感度、每年採購額、系統存取權限、更換他們的難度——並把門檻寫下來。級別有兩項職責：決定這次審查做到多深，以及決定這家供應商隔多久回來一次。兩者都不做的級別只是裝飾。
把兩半放進同一張列表
把每一步按次序填進「方框文字」欄，資格審查在前，然後在「連線至」欄填上每一步通向的列號。一列只放一個動作：一列籠統寫着盡職審查，說不出裡面四項檢查是哪一項卡住了這份文件，而大家要的正正是那個答案。
令那道關卡成為唯一入口
把每一列啟用步驟的「連線至」欄讀一次，確認除了經過盡職審查那一列之外，沒有任何一列到達得了。把那一列的「形狀」設為「決策」，並把兩個結果都填進「連線文字」，讓拒絕出現在圖上。一道繞得過的關卡是文件，不是控制。
把兩半放進階段欄
階段填進「水平泳道」欄——示例的順序是申請、盡職審查、風險分級、合約、付款設定、啟用——這樣兩半之間的界線就是一條看得見的邊，而不是要你逐條線去追。任何一列付款設定步驟，如果它的入箭嘴由關卡之前出發，那就是捷徑。
拿供應商主檔對照那道關卡
把現有的供應商主檔匯出，把背後沒有已通過盡職審查的供應商全部標出來。那些就是這道關卡本來會拒絕的紀錄，它們的數目是你接手的積壓，而不是推倒重來的理由：由採購額最高的開始逐一處理，並為留下來的每一家在名冊上填上級別和重新評估日期。
應避免的錯誤
在批准之前開了主資料
提早建立供應商紀錄感覺無傷大雅，結果卻造出一家沒有人放行過、卻可以收款的供應商。紀錄一旦存在，發票就對得上它，而缺失的批准會一直隱形，直至某次審計抽查總帳。
加強盡職審查沒有觸發條件
當高風險路徑的準則沒有寫在判斷上，審查的深度就由手上拿着這份文件的人和他有多忙來決定。把門檻寫在步驟上，路徑就變得可以重複。
被拒的供應商沒有終點
一次沒有被畫成終止狀態的拒絕，會令這宗申請半死不活；而半死不活的申請，會經另一個完全不知道它已經被拒絕過的採購員重新提交。
改銀行帳戶時略過回撥
一次修改會在不經過任何關卡的情況下重新進入啟用那一半，於是回撥——本來唯一可以攔下轉帳改道的那一步——正好就是被略過的一步。請把改帳戶當作新開帳戶，走同一套核實。
建立你們的供應商導入流程
把示例開啟為你們自己的圖表，訂出你們守得住的級別門檻，並確認付款設定裡沒有任何一步走在關卡之前。
相關指南
常見問題
供應商導入與供應商審批有甚麼分別？
審批是那個決定；導入則是它兩邊的整條路徑。供應商審批回答的是機構願不願意與一家供應商往來，它只是一道關卡。導入涵蓋它背後的申請、支撐它的盡職審查，以及它之後一切令供應商可以運作的工作——合約、銀行帳戶核實、主資料、名冊登記、覆審日期。把兩者混為一談，機構最後就會有一家已批准卻無法付款的供應商，或者一家可以付款卻從未批准的供應商。
供應商盡職審查資料應該包含甚麼？
最低限度：法人實體資料與商業登記號碼、實益擁有權、經審核帳目或信貸報告、載明承保額與到期日的保險證明、稅務登記，以及涵蓋供應商所接觸範圍的各項政策——資訊保安、資料保障、反賄賂、現代奴役。再加一次制裁與政治敏感人物篩查。與清單本身同樣重要的是每一項都要有有效期：一份三年前的保險證明，甚麼都證明不了。
如果採購訂單在供應商獲批之前就開了怎麼辦？
把訂單撤回或暫緩，完成資格審查，再對着事後建立的供應商紀錄重新開出。一張對着未放行供應商的採購訂單，是一項從來沒有人被問過同不同意的承諾；而事後補放行比不放行更差：審查的人現在知道了一次拒絕的代價是一段供應商關係，而這正正是這道關卡本來要消除的壓力。請把這類個案點算下來，而不是私下處理掉——數字上升，說的是資格審查已經變得太慢。
供應商應該隔多久重新評估一次？
看級別，而且要看事件，不能只看日曆。高風險每年一次、中風險每兩年一次、低風險在合約續期時評估，是常見的基準線；但觸發條件比節奏更有價值：一次新的系統整合、供應商發生資料外洩、股權易手、採購額顯著上升、銀行帳戶資料變更。把日期寫在合格供應商名冊上，因為名冊捱得過一次架構重組，個人的提醒事項則捱不過。