很多 Tier1 在项目中，把部分模块再次分包给二级供应商，集成方只和一级供应商开展对接，默认一级会管好下游分包商。但一级供应商对二级的管控力度参差不齐，如果缺少集成方的监督，二级供应商的 ASPICE 过程、功能安全、网络安全能力无法得到保证。一旦分包组件出现安全或者过程缺陷，问题会向上传递，整车评估时，集成方需要对分包组件承担责任。

二级分包供应商管控容易出现几类短板。集成方不清楚一级供应商的分包范围，不知道哪些组件来自二级分包。对二级供应商没有明确的能力要求，ASIL 等级、网络安全约束只传递到一级，没有向下传递至实际开发的二级团队。只接收一级交付的最终软件包，不要求提供分包组件对应的过程与安全证据。没有针对分包组件设置里程碑审查，只有最终交付验收。分包组件发生变更，二级的变更分析、安全研判信息无法向上传递。

ASPICE ACQ.4 供应商监控，不只是监控直接签约供应商，对于安全相关的分包组件，集成方需要把管控要求穿透到实际执行开发的分包主体。

项目定点阶段，在和一级供应商签订的技术协议中，明确分包申报要求。所有安全相关组件如果需要对外分包，必须提前向集成方报备，说明分包范围、二级供应商主体。同时明确，分包不能免除一级供应商以及集成方的相关责任。将 ASPICE 能力等级、ASIL 等级、网络安全风险要求，完整下达给一级，并明确要求向下传递给二级分包团队。定义分包组件需要交付的过程证据、安全分析材料清单。

开发过程中，针对高安全相关的分包组件，设置关键里程碑审查。由一级供应商牵头，集成方参与，对分包组件的需求、架构、测试等关键产出开展阶段性审查。不等到项目末期才一次性接收全部交付物。要求一级供应商定期反馈二级分包商的项目状态、风险、变更情况。分包组件发生变更时，必须同步提交安全影响分析，集成方复核变更带来的整车层面风险。

交付验收阶段，除验证产品功能之外，核验分包组件对应的全套工作产物。核对安全需求追溯、风险分析、测试报告是否完整，确认二级产出物承接上层整车的安全目标。核查分包组件的评估声明或者评估证据，确认满足约定的能力要求。

内部预审环节，核查分包申报记录、向下传递的需求约束、里程碑审查记录、分包组件交付证据。重点确认安全相关分包没有处于完全黑盒不受控的状态。

分包不等于责任转移。集成方需要通过一级供应商作为纽带，把过程、功能安全、网络安全的管控要求穿透到二级分包主体，建立申报、约束、阶段审查、交付核验整套机制，规避下游供应链带来的合规风险。