:quality(85))
Najważniejsze informacje z artykułu:
- Dla producentów OEM i ich programów zarządzania ryzykiem w łańcuchu dostaw (SCRM), wiele weryfikacji dostawców nie uwzględnia nowych czynników ryzyka, które pojawiły się w elektronicznych łańcuchach dostaw w ciągu ostatnich 5 lub 10 lat.
- Poniżej przedstawiono dziewięć kategorii ryzyka, które tradycyjne weryfikacje dostawców często pomijają, wraz z zaleceniami dotyczącymi ograniczenia tych zagrożeń w ocenie dostawców.
- Większość tych luk wynika z jednego, wspólnego źródła: tradycyjne weryfikacje dostawców zostały zaprojektowane jako jednorazowa, jednostopniowa procedura zgodności. Te oceny nie były stworzone z myślą o tym, czy dostawca wprowadzi ryzyko do łańcucha dostaw firmy, w tym poprzez zakłócenia, zobowiązania z tytułu zgodności czy warunki geopolityczne.
Większość zespołów ds. zaopatrzenia przeprowadza pewną formę weryfikacji dostawców przed wdrożeniem nowego kontrahenta. Chociaż te weryfikacje różnią się w zależności od producenta OEM, zwykle obejmują kilka podstawowych elementów: sprawdzenie zdolności kredytowej, licencje biznesowe, rozmowy referencyjne oraz audyty certyfikacyjne, wraz z innymi krokami należytej staranności. Po zebraniu wszystkich tych działań w jeden proces weryfikacyjny może się wydawać, że jest on stosunkowo dokładny.
Rzeczywistość jest jednak taka, że nawet pozornie wyczerpujące i rygorystyczne procesy oceny mogą przeoczyć poważne sygnały ostrzegawcze. Dlatego profesjonaliści ds. łańcucha dostaw wciąż są zaskakiwani zakłóceniami pochodzącymi od dostawców, którzy pozytywnie przeszli ich weryfikacje.
Dla producentów OEM i ich programów zarządzania ryzykiem w łańcuchu dostaw (SCRM) problem nie wynika z braku wysiłku czy inicjatywy. Znacznie poważniejszym wyzwaniem jest fakt, że wiele weryfikacji dostawców nie uwzględnia nowych zmiennych ryzyka, które pojawiły się w elektronicznych łańcuchach dostaw w ciągu minionych 5 lub 10 lat. Współczesne złożone sieci produkcyjne sięgają nawet czterech lub pięciu poziomów w głąb, obejmują dziesiątki jurysdykcji i podlegają regulacjom, które często się zmieniają. Weryfikacja dostawcy skupiona na wypłacalności finansowej oraz podpisanym kodeksie postępowania nie obejmuje zagrożeń takich jak relacje subtier, niezgodność czy wyniki ESG (environmental, social, governance). Tymczasem te rodzaje ryzyk mogą prowadzić do poważnych problemów: zatrzymania produkcji, kar za brak zgodności lub utraty reputacji.
Poniżej prezentujemy dziewięć kategorii ryzyka, które tradycyjne weryfikacje dostawców często pomijają, wraz z zaleceniami dotyczącymi ograniczenia tych zagrożeń w ocenie dostawców.
1. Ekspozycja na dostawców poddostawców (sub-tier)
Standardowa weryfikacja dostawców zazwyczaj ocenia bezpośredniego kontrahenta – dostawcę pierwszego poziomu (Tier 1). Jednak komponenty, surowce i podzespoły wykorzystywane przez producentów pochodzą od dostawców drugiego, trzeciego i kolejnych poziomów.
Skupienie się wyłącznie na dostawcach Tier 1 może dawać fałszywe poczucie bezpieczeństwa i stabilności, podczas gdy ich własne źródła zaopatrzenia w górę łańcucha pozostają istotnymi wektorami ryzyka. Producenci sub-tier mogą figurować na listach sankcyjnych, opierać się na zakładach produkcyjnych w regionach ogarniętych konfliktem lub borykać się ze strajkami pracowników fabryk.
Skuteczna weryfikacja dostawców musi zatem wykraczać poza pierwszy poziom. W praktyce niemal zawsze wymaga to mapowania łańcucha dostaw na wielu poziomach, co umożliwia sprawdzenie producentów sub-tier i zidentyfikowanie potencjalnych słabych punktów, niewidocznych podczas oceny bezpośrednich dostawców.
2. Zależności od pojedynczych źródeł i wyłącznych dostawców
Dostawca może przejść wszystkie standardowe weryfikacje i nadal stanowić istotne ryzyko koncentracji. Jak to możliwe? Jeśli jest jedynym realnym źródłem kluczowego komponentu. Weryfikacje dostawców rzadko stawiają jedno z najważniejszych pytań dotyczących potencjalnych zakłóceń: co się stanie, jeśli ten dostawca lub któryś z jego zakładów produkcyjnych przestanie działać jutro?
Rzetelny proces weryfikacji dostawców powinien jednoznacznie oznaczać punkty pojedynczej awarii oraz porównywać dane o źródłach zaopatrzenia z możliwością alternatywnych dostawców, czasami realizacji i dostępnością komponentów. Liczy się nie tylko stabilność i niezawodność danego dostawcy, ale także okoliczności i scenariusze awaryjne związane z ich produkcją.
3. Luki w zakresie zgodności
Wiele list kontrolnych weryfikacji zawiera ogólny punkt „certyfikat zgodności”. Jednak ogólność nie jest już wystarczająca. Limity substancji objętych restrykcjami RoHS, aktualizacje listy SVHC REACH oraz obowiązki raportowe dotyczące minerałów z regionów objętych konfliktem (w ramach takich inicjatyw jak Responsible Mineral Initiative oraz formularza CMRT) często się zmieniają. Oznacza to, że certyfikat dostawcy sprzed osiemnastu miesięcy może już nie odpowiadać aktualnym wymaganiom lub faktycznym praktykom sourcingowym i produkcyjnym danego podmiotu.
Weryfikacje dostawców muszą weryfikować aktualny status zgodności producenta względem najnowszych wymagań prawnych, zamiast traktować zgodność jako statyczny dokument złożony podczas wdrożenia. Dostawcy powinni być okresowo przeszukiwani pod kątem aktualizacji listy SVHC REACH, zmieniających się obowiązków ujawniania informacji o minerałach konfliktowych i innych kluczowych regulacji.
4. Ukryta niestabilność finansowa
Tradycyjne weryfikacje dostawców zwykle opierają się na sprawdzeniu zdolności kredytowej. Wyniki kredytowe mogą jednak stanowić wskaźniki opóźnione. Dostawca może utrzymywać akceptowalny rating kredytowy, wykazując jednocześnie w innych obszarach wczesne sygnały ostrzegawcze – takie jak spadek liczby pracowników, opóźnienia w dostawach, zmiany właścicielskie czy wzrost liczby reklamacji klientów. Gdy oficjalna obniżka ratingu staje się faktem, sygnały te mogły pojawić się już wcześniej, a zakłócenia mogą być już w toku.
Rzetelna ocena dostawcy uwzględnia takie wczesne wskaźniki wraz z tradycyjnym zestawem danych finansowych. Przykładami pośrednich sygnałów są: negatywne publikacje medialne, zmiany właściciela czy pierwsze oznaki operacyjnych problemów pojawiające się na długo przed języcznym wydarzeniem kredytowym.
5. Ryzyko koncentracji geograficznej
Proces weryfikacji dostawców, który analizuje każdego kontrahenta osobno, pomija kluczowy aspekt: koncentrację geograficzną całej bazy dostawców. Jeżeli dziesięciu Państwa dostawców — lub kilku producentów sub-tier — działa w tej samej prowincji, regionie portowym lub kraju objętym restrykcjami eksportowymi, powstaje ryzyko systemowe, którego nie wychwyci żadna indywidualna weryfikacja.
Konieczne jest sprawdzanie danych o lokalizacji dostawców w ujęciu zbiorczym, a nie tylko jeden do jednego. Tak kompleksowe spojrzenie na bazę produkcyjną pomaga organizacjom zawczasu rozpoznać niebezpieczne koncentracje geograficzne, zanim przełożą się na zakłócenia spowodowane np. katastrofą naturalną, nową taryfą czy kosztowną wojną handlową.
6. Ekspozycja na komponenty podrobione
Standardowe weryfikacje dostawców często kończą się na legalności działalności: rejestracji, licencjach i statusie podatkowym. Rzadko natomiast oceniane jest, czy dostawca ma udokumentowaną historię incydentów z podrobionymi komponentami lub zakupami na rynku szarym, które stanowią poważne ryzyko w procesie zakupu komponentów elektronicznych.
Proces weryfikacji dostawców powinien obejmować sprawdzanie baz znanych incydentów z udziałem podrobionych części oraz dokumentacji zapewniającej identyfikowalność. Jest to szczególnie istotne w przypadku dystrybutorów i brokerów pozyskujących komponenty poza autoryzowanymi kanałami.
7. Pozycja w zakresie cyberbezpieczeństwa
W miarę cyfryzacji łańcuchów dostaw coraz większe znaczenie ma pozycja dostawcy w zakresie cyberbezpieczeństwa, istotnie wpływając na profil ryzyka samych klientów. Producenci o słabych praktykach w zakresie ochrony danych — lub z historią naruszeń — mogą stać się punktem wejścia dla cyberataków, które finalnie skutkują poważnymi naruszeniami danych firm korzystających z ich usług. Nowoczesny proces weryfikacji dostawców musi brać pod uwagę standardy i procedury w zakresie cyberbezpieczeństwa, a nie tylko kryteria finansowe i jakościowe. Ma to szczególne znaczenie w przypadku integracji systemów i współdzielonego dostępu do danych.
8. Luki w zakresie ESG
Oczekiwania klientów, inwestorów i regulatorów dotyczące ESG stale rosną, wzmacniając presję, by firmy utrzymywały etyczny łańcuch dostaw i odpowiedzialne praktyki sourcingowe. Jednak proces weryfikacji traktujący ESG jako pojedyncze pole do odhaczenia pomija złożoność tematu. Firma prowadząca własny proces ESG może jednocześnie borykać się z naruszeniami praw pracowniczych, problemami z uzyskaniem pozwoleń środowiskowych lub słabymi praktykami zarządczymi.
Problem polega na tym, że rzadko który podmiot samodzielnie ujawnia te wyzwania potencjalnym partnerom. Kompleksowe weryfikacje dostawców obejmujące stały monitoring ESG — a nie jednorazowe oświadczenie pobrane podczas wdrożenia — zwiększają prawdopodobieństwo ujawnienia problemów zrównoważonego rozwoju.
9. Ryzyko starzenia się i wycofywania z produkcji
Dostawca komponentów elektronicznych może być stabilny finansowo, w pełni zgodny i operacyjnie niezawodny, a mimo to narażać klientów na ryzyko. Wynika to z faktu, że same dostarczane części generują ryzyko: starzenie się/wycofywanie z produkcji, statusy „not recommended for new design” (NRND) oraz inne niepożądane stany magazynowe. Gdy nie ma jasnej ścieżki do komponentu alternatywnego, takie zmiany mogą prowadzić do poważnych zakłóceń.
Weryfikacje dostawców często skupiają się wyłącznie na podmiocie, a nie na statusie cyklu życia komponentów przez niego dostarczanych. Taka perspektywa całkowicie pomija ryzyko związane z komponentami. Połączenie weryfikacji dostawcy z danymi o cyklu życia komponentu wypełnia tę lukę.
Dlaczego te luki utrzymują się
Większość tych luk ma wspólne źródło: tradycyjna weryfikacja dostawców została zaprojektowana jako jednorazowy, jednostopniowy test zgodności. Jej celem było udzielenie prostej odpowiedzi: czy firma jest legalna i wiarygodna? Nie odpowiada tak skutecznie na pytanie, czy dostawca wprowadzi ryzyko do łańcucha dostaw przedsiębiorstwa, m.in. poprzez zakłócenia, zobowiązania prawne czy czynniki geopolityczne.
Eliminacja tych luk wymaga, by firmy podchodziły do weryfikacji dostawców jako do ciągłej odpowiedzialności, stale rozszerzając mapowanie sub-tier, monitorując sygnały finansowe, koncentrację źródeł dostaw oraz wiele innych zmiennych.
Proces weryfikacji dostawców, który dostrzega te ryzyka
Dobrą informacją jest to, że żadna z tych dziewięciu kategorii ryzyka nie wymaga od firm całkowitego przeprojektowania procesu zakupowego. Wymaga jednak lepszych danych i wyższej widoczności, zintegrowanej w jednym, scentralizowanym miejscu.
Dokładnie tę lukę wypełnia platforma Z2Data. Narzędzia zarządzania ryzykiem łańcucha dostaw (SCRM) w Z2Data zapewniają zespołom zakupów i zgodności widoczność sub-tier, monitoring regulacji i dane o cyklu życia komponentów, których brakuje w standardowych weryfikacjach dostawców. Analizy ryzyka BOM umożliwiają wykrywanie koncentracji i ryzyk wycofywania z produkcji (obsolescence) w pełnych zestawieniach materiałowych (BOM). Pomaga to firmom identyfikować i minimalizować ryzyka ukryte w komponentach i podzespołach, a nie tylko u ich producentów.
Jeśli obecny proces weryfikacji dostawców opiera się nadal na jednorazowej ankiecie i pojedynczej kontroli kredytowej, warto zapytać, ile z tych dziewięciu ryzyk faktycznie udaje się Państwu adresować.
Aby dowiedzieć się więcej o możliwościach zarządzania ryzykiem w Z2Data, umów bezpłatne demo z naszym ekspertem produktowym.
