供应链保密管理不是某一个部门的事情。法务部门起草保密协议，采购部门挑选和管理供应商，IT部门做技术防护，研发部门决定什么信息可以交给供应商，运营部门在日常合作中执行保密操作。这么多部门和角色参与进来，如果没有一个清晰的责任矩阵，就容易出现一件事没人管或者两拨人都在管但管的方向不一样的情况。
建立供应链保密管理的责任矩阵，可以帮助各个参与方明确自己的角色、职责和工作界面。这样可以减少流程中的灰色地带，避免出了问题才发现责任不清晰。
责任矩阵中的核心职能领域和对应的责任主体可以按照下面的方式来划分。
保密策略与制度建设领域，责任主体是法务部门或者合规部门。他们的工作包括制定供应商保密管理的整体政策框架，起草和更新保密协议模板，制定供应商保密等级分类标准，建立供应商保密管理制度和操作规程，并确保制度与法律法规的要求一致。法务部门负责在宏观层面定好保密管理的规则，具体的执行由各业务部门落实。
供应商准入评估领域，责任主体是采购部门，法务和IT部门参与配合。采购部门在供应商准入时，将信息安全管理纳入供应商评估指标体系。对新供应商做背景调查和信息安全问卷，要求供应商签署保密协议。法务部门审核保密协议的法律条款是否完备。IT部门对供应商的技术系统做安全评估和检测。三方配合完成准入工作。
供应商日常保密管理领域，责任主体是采购部门和供应商对接的业务部门。业务部门在日常合作中负责检查和监督供应商是否按照保密要求执行。如果供应商有违规操作的苗头，业务部门首要时间发现并提醒。采购部门从合同管理和供应商绩效考核的角度推动供应商配合保密管理。日常管理的责任在于业务前端。
供应商信息安全审计领域，责任主体是IT安全团队或者内部审计部门。IT安全团队制定供应商信息安全审计的计划和标准，组织和实施供应商现场审计或者远程审计，出具审计报告和整改意见。审计的权力来自于合同中约定的审计条款，审计结果作为供应商保密绩效评估的重要输入。
供应商保密培训领域，责任主体是采购部门和人力资源部门共同负责。采购部门负责组织供应商的保密培训，提供培训资料和案例素材。人力资源部门提供培训的支持资源。供应商派驻人员的培训由供应商自己组织，但培训的内容和标准由企业审核。
供应商保密事件响应领域，责任主体是信息安全应急小组。企业建立跨部门的供应商保密事件应急响应小组，小组由法务、IT、采购、公关等部门的人员组成。一旦发生供应商保密事件，应急小组按照应急预案启动处置流程，法务提供法律意见，IT提供技术支持，采购负责与供应商对接，公关负责对外沟通。
供应商合同终止后的保密管理领域，责任主体是采购部门，IT和法务配合。采购部门负责发起信息回收和数据销毁的程序，要求供应商提供数据销毁确认函。IT部门提供技术指导，确认电子数据已经彻底清除。法务部门确认合同终止后的保密义务继续有效。
除了明确各部门的职责，还需要设定工作界面衔接的规则。比如采购部门在供应商准入评估中发现了信息安全问题，需要有一个明确的升级路径，知道应该报告给谁、谁来拍板是否准入。IT部门在审计中发现了严重的问题，应该通知采购部门停止向该供应商发出新的订单，同时升级到管理层决策。
责任矩阵需要通过制度化的形式固定下来，作为企业内部的管理规定正式发布。每个相关部门的负责人需要签字确认责任内容。责任矩阵不是定一次就完事了，随着公司业务的变化和供应链管理要求的提升，每年都需要复审一次并根据实际情况做调整。
对于中小型企业来说，可能没有独立的法务部门或IT安全部门，那就可以指定一个责任人或者外包给专业机构来完成对应的职能。核心是要做到每项管理职能都有明确的责任人，避免出现管理盲区。
