北控城市资源始终视供货商为重要的业务合作伙伴，注重与供货商重建立良好、双赢、紧密的业务联系，进而整合双方资源，提升服务质量。本集团制定了《供货商管理制度》《库存物资管理办法》《集采物资验收标准》《供应链管理制度》《供货商管理政策》，全面推进供应链管理的规范化、数字化、绿色化进程。
本集团加强并统一供货商管理，将供货商分为合格供货商、储备供货商和黑名单供货商三大类，并通过企业资质及业绩、售后服务能力、现场考察、质量管理、进度管理、到货验收、劳务用工、环保和安全风险等因素将合格供货商进一步划分为战略供货商、甲级供货商、乙级供货商和试用供货商。本集团《供货商管理政策》要求全部供货商须遵守劳工准则、人权保护、健康和工作安全、环境保护、商业道德等方面要求。
本集团依照《供货商管理政策》等相关内部制度文件要求，深化供应链各个环节的环境与社会风险管控，在供货商入围拣选阶段全面实行招采系统在线注册审批制，针对不同类型的供货商分类制定入围标准，要求所有供货商优化自然资源使用、避免使用禁用物质、妥善管理废弃物等。对于存在重大质量问题、存在行政处罚与失信记录、存在重大安全生产责任事故等环境与社会风险的供货商，将不能被纳入合格供货商库。此外，本集团大力推动绿色供应链建设，优先考虑具有较好ESG表现的供货商，具有ISO9001质量管理体系认证、ISO14001环境管理体系认证、OHSAS18000职业健康安全管理体系认证和SA8000社会责任标准认证等绿色资质的供货商将会获得审核加分和重点推荐。
在供货商合作阶段，本集团常态化开展年度供货商评价，对项目公司设备、材料、工程施工、技术咨询等类型的供货商进行考核，以确保其满足本集团采购需要以及《供货商管理政策》要求。此外，本集团采取在线、线下相结合的形式对供货商开展全方位评估，不定期从多个维度通过招采系统供货商管理模块收集供货商数据，并由供应链管理中心协同其他职能部门及区域╱项目公司开展供货商现场评估。本集团根据供货商评价结果对其进行分级管理、分类施策，以全面降低供应链合作风险及环境与社会风险，实现与优质供货商的战略合作和共同发展。
本集团鼓励供货商进行ESG相关认证、参加ESG培训，提供ESG管理提升建议，通过信息共享、双向交流、高层磋商、供货商激励和帮扶等措施为供货商提供支持，对采购部门员工开展ESG相关培训，提高双方在技术、成本、服务、响应效率以及ESG表现等方面的实力，与供货商共同创造价值。
本集团供应链数字化建设第一阶段建设完成并上线实施，依托信息化高效管理工具，将招标询价和比价、供货商价格准入、合同签订、采购计划管理、订单生成、物流跟踪、采购入库、领料出库、供货商对账和评价等业务环节的线下操作转移至在线，每年可在生成和传递纸质单据与文件方面节约大量资源。供应链数字化建设实施过程中，我们对集团 常用物资和设备做精细品类管理，统一标准、统一规格、统一名称，规范集团上百家项目公 司采购流程，把信息化手段化作打通总部管理中枢和成员企业一线执行的网络神经，使整个集团步调一致，形成合力，提升采购供应链执行力。
2021年，为助力冬奥委会的顺利举行，本集团开展冬奥除雪铲冰业务。针对除雪业务所必须的融雪 剂，我们严格落实国家标准相关要求，广泛采购并使用环保无污染的「非氯有机融雪剂」，不会对道路和周边土壤产生任何损害，有益 于赛区绿植树木来年的成长发育， 为绿色冬奥贡献一份力量。
为提升轮胎、润滑油的采购质量，本集团加大对供货商绿色资质的考核流程，由行业龙头合作伙伴统一供货，实现全集团轮胎及润滑油集中采购，解决了各项目公司自主采购时质量审核标准不统一导致使用量增加、车辆使用寿命减少、增大环境污染等问题。
本集团持续严格遵循《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》和《中华人民共和国民 法典》等重要法律法规，制定《信息系统数据备份与恢复管理制度》《信息安全事件管理制度》《信息系统应急预 案》等覆盖集团全体员工的内部管理制度，以确保信息安全得到充分保障。本集团下属中燕物业严格遵守《北 京市物业管理条例》等相关规定，坚守客户隐私保护原则，并与员工签订保密协议和服务承诺书，以确保在物 业管理服务中全面保障客户的隐私安全。
本集团执行管理层承担关键职责，负责审定安全建设规划和管理制度，协调及指挥信息安全事件的应急响应，并监督信息安全管理工作的有效执行。信息管理部门的负责人和技术人员负责信息安全工作的具体执行，并且设置开放的渠道允许员工上报其工作过程中发现的信息安全风险和隐患。本集团高度重视信息安全工作，将信息安全纳入员工绩效评估考核，违反信息安全或网络安全的员工将受到绩效评级下调的处罚。
本集团持续实施并优化已有的安全防护措施，确保操作系统根据安全扫描结果定期更新安全补丁。为进一步防 范IT系统中断和网络攻击，本集团制定《北控城市资源集团信息系统应急预案》以及数据异地备份策略，建立有 效的应急响应机制，每年定期进行两次数据恢复测试。此外，本集团积极开展第三方漏洞分析，通过漏洞扫描服务VSS对应用系统进行漏洞扫描、分析报告生成，并发送至应用系统厂商进行漏洞修复，同时通过企业主机安全HSS服务发现主机操作系统安全漏洞并修复，以提高应对信息系统安全紧急事件的处理能力，确保业务的 连续性与稳定性。 同时，我们不定期给员工发送安全提示邮件，提醒防范病毒、钓鱼、欺诈等邮件，时刻保持警惕，有效防范信息风险。
在技术手段方面，集团在身份验证、访问控制、安全审计、入侵防范、恶意防范、数据完整性等多个方面进行了技术升级，改善服务器安全管理。
• 身份验证：通过统一身份认证、强密码策略、多因 素认证等，实现用户身份识别，提高身份验证的安 全性。
• 访问控制：对生产系统、测试系统、开发系统的服 务器进行了单独的区域划分、边界隔离。通过堡垒 机对用户行为进行访问控制，按最小授权原则进行 权限的分配和使用。
• 安全审计：通过堡垒机的审计功能，基于用户身份系统唯一标识，从用户登录系统开始，全程记录用 户在系统的操作行为，监控和审计用户对目标资源 的所有操作，实现对安全事件的实时发现与预警。
• 入侵防范：配置基线检查策略，及时发现系统漏洞 并进行更新。启用入侵检测，可检查账户暴力破 解、进程异常、网站后门、异常登录、恶意进程等 入侵行为，及时发现资产中的安全威胁、实时掌握 资产的安全状态。启用Web应用防火墙，识别并 阻断网页木马上传、命令╱代码注入、敏感文件访 问、第三方应用漏洞攻击、恶意爬虫扫瞄等攻击。
• 恶意防范：启用恶意程序隔离查杀，对识别出的后门、木马、蠕虫等恶意程序，提供自动隔离查杀，自动识别处理系统存在的安全风险。
• 数据完整性：对数据库数据进行每日备份，对服务器进行定期备份。
