3. 风险管理

供应商应该建立相关机制，对本文涉及的各个领域的风险予以确定和管理。

典型的制度要素

•设计一种方法，以便识别、评估每个原则所关联的 (a) 业务、(b) 声誉和 (c) 法律风险，并区分它们的优先级，因为这三项涉及到正常和意外的经营环境（如激进主义者抗议、自然灾害等等）

•在经营或产品设计发生重大变化时执行并更新风险评估

•风险评估过程能反映重要的客户要求或经营行为

•按照概率类别以及对组织和整个供应链的后果，将风险结果进行分组

•对管理风险评估过程的责任进行明确的记录和传达

•在组织内部对相应的风险评估结果进行传达，并将其纳入业务计划和缓解目标

•对负面后果进行明确的描述，以便实施缓解和预防措施

•对风险评估结果进行准确的记录和保存，并且依据记录保存政策及其它政策予以提供，包括审计人员和得到授权的第三方专家

•为了保持一致性并进行后续的更新，应将风险评估结果交给经过能力培训的专家或第三方顾问进行同级审查

4. 文档记录

供应商应保留必要的文档记录，以证明其遵循这些要求并遵守相关规章制度。

典型的制度要素

•组织保留涉及重要事项的文档记录，例如：审计结果；伤害和疾病记录；员工福利和工资信息；来自政府部门的检查；员工投诉；绩效评估。

•文档记录应阐述了原则的相关方面、基本制度构成和其它重要的义务或要求

•文档记录采用最为合适的媒介（例如纸张或电子形式），并且可随时根据需要进行查阅或更新

•文档记录在准确性、验证和保存方面符合预先明确制定的质量标准

•记录保存政策应对组织上所有权、管理控制和其它不可预见的情况进行详细说明

•建立相应的系统，以确保需要授权签字和（或）需要特殊处理的项目能够得到及时处理

•负责文件记录和保存的各方面进行管理的人员应得到培训，并可以通过适当的执行效率衡量措施承担责任

•在遵守任何保密要求和数据隐私的情况下，员工有权获悉与其职责相关的记录