一家外资企业发现其越南软件外包供应商把自己的设计数据存放在未加密的服务器上，供应商员工使用共享账户且没有访问日志。企业要求全面安全审计时，供应商回复现合同没有这样的权利条款，只同意发一份自我合规声明。管理层问：企业有权检查吗？应检查什么？供应商不达标怎么办？
适用的法律框架
出发点必须直说：越南法律不给买方审计供应商信息安全的当然权利。检查权只在服务合同或保密与数据处理协议写明时存在——这是《民法典》2015和《商法》36/2005下的合同关系。间接的法律支点在个人数据框架：依第91/2025/QH15号法和356/2025/ND-CP号法令，个人数据控制者对交给处理者的数据仍负责任，因此要求供应商证明其保护措施是企业自身合规义务的一部分——这是谈判中有说服力的论据，但最终执行仍靠合同条款。就商业秘密而言，《知识产权法》第84条要求权利人在持有信息的整条链上维持必要保密措施，包括信息存放在供应商处时。
结合情形的适用分析
一次达到目的的供应商安全审计要检查四组。治理组：书面信息安全政策、具名负责人、与供应商自有员工的保密协议。访问组：实名账户而非共享账户、按需权限、留存并复查的访问日志、供应商员工离职时的权限回收流程。技术组：静态和传输中数据加密、备份及恢复测试、终端管理和补丁。事件组：固定期限内的事件通报流程和演练证据。通行的参照标准是ISO 27001，但必须记住这是对标实务，而不是对每个供应商的法律强制要求。审计结果应按与供应商所持数据类型挂钩的风险等级分类，而不是笼统的达标或不达标结论。
供应商不达标时，实际处理阶梯按严重程度和配合程度分三级。第一级，有期限的整改计划：列出不达标点，按风险定修复期限——共享账户接触秘密数据等严重问题以天计，轻微问题以月计——并保留复查权。第二级，整改期间的补偿措施：收窄交给供应商的数据，把最敏感部分收回企业系统，或要求由企业控制的隔离工作环境。第三级，合同升级：暂停继续交付数据，触发合同中的罚款或解除条款，把敏感工作转给其他供应商。若现合同像本案情形一样没有审计权，企业应在续约或签新订单时谈判数据处理与审计附件——那是议价杠杆最高的时刻——在此之前，使用附证据的自评问卷，而不是接受一份光秃秃的自我声明。
应遵循的步骤
- 把安全审计、数据处理和事件通报条款写入每份新供应商合同和续约附件。
- 按治理、访问、技术、事件四组审计，结果按供应商所持数据的风险分级。
- 对不达标点发出有期限的整改计划，等待期间采取收窄数据的补偿措施。
- 整改后复查；严重问题仍未修复的，升级到暂停交付数据或解除合同。
常见问题
我们有权审计供应商的信息安全吗？
只有合同写了才有权。越南法律不给买方当然的安全审计权；该权利必须在服务合同、保密协议或数据处理附件中依《民法典》2015和《商法》36/2005约定。若现合同只字未提，企业不能强行现场审计，但有有力的谈判依据：依第91/2025/QH15号法和356/2025/ND-CP号法令，个人数据控制者对交给处理者的数据负有义务，以及《知识产权法》第84条的保密条件。写入条款的时机是合同续约或签新订单时。
应该检查什么？
检查四组内容：治理——书面安全政策、负责人、供应商员工的保密承诺；访问——实名账户、按岗位授权、访问日志和人员离职时的权限回收；技术——静态和传输加密、有恢复测试的备份、终端管理和补丁更新；事件响应——向企业通报事件的期限和演练证据。ISO 27001通常用作对标的实务参照框架，结果应按风险等级分类，而不是只给达标或不达标的结论。
供应商不达标怎么办？
按三级阶梯处理。先制定与严重程度挂钩的有期限整改计划，共享账户接触秘密数据等严重问题必须在最短时间内修复。同时采取补偿措施：把交付数据收窄到最低限度，或把敏感部分移到企业控制的环境。若供应商逾期不改，按合同升级——暂停继续交付数据、适用罚款条款、解除敏感部分工作并转给其他供应商。每一步都要书面记录，使企业自身的合规档案在监管机关询问时站得住。
本文已通过 FLAW AI Legal Council 质量审核