供应链层级越多，企业距离风险源头就越远。汽车零部件、锂电、光伏这类长链条先进制造行业尤为典型：企业一般只和一级供应商签订合同，二级、三级上游供应商的用工、环保问题，从合同关系来看，企业很难和二级、三级上游供应商进行直接绑定。
放在国内法律框架下，这个理解本身好像没有问题。但一旦海外客户启动供应链尽职调查，被问询、被追责的往往不是实际出事的二级、三级之类的供应商，而是和企业直接签约的一级供应商。到这个阶段，企业就会陷入两难困境：一方面拿不到上游次级供应商的资料，另一方面出事之后，找不到顺畅的追偿路径。很多企业会简单把这类困境归因受制于“合同相对性”的问题。因此实务中，合同相对性常常被误读，甚至当成免责金牌。
本文立足于中国大陆法下的合同相对性规则，厘清以下三个核心问题：
①多级供应链的合规风险，是沿着什么样的路径传导至企业；
②合同相对性到底划定了哪些权利边界；
③业内常说的 flow-down（向下传导）条款，能实现什么，又存在哪些固有限制。
跨境供应链的真实压力：法定义务落在海外链主，但举证材料需要国内供应商提供。
企业卷入多级供应链合规事件，往往同时面临两个难题：无法掌握更深层级上游供应商的信息，同时又要承受来自海外客户的尽职调查压力。
一方面，一级供应商不愿披露其二、三级上游名录，是企业“触不到”供应链远端风险最直接的原因。上游供应商清单属于核心商业秘密，也是供应商手握的议价筹码，绝大多数一级供应商不会主动完整披露上游信息，导致采购方只能停留在一级采购环节，无法穿透全链条。
但信息闭塞只是表层矛盾。真正把上游隐性风险层层下压到国内制造企业身上的，是跨境供应链独有的压力传导机制。当下高频适用的欧盟、德国、美国三套域外合规规则，虽然义务主体各不相同，传导路径也有明显区别，但都给予国内制造企业相当重的传导压力。
欧盟《企业可持续发展尽职调查指令》（CSDDD）的法定法定责任，只落在符合条件的欧盟本土企业，并不直接约束境外上游供应商。欧盟品牌方必须搭建尽职调查体系、出台供应商行为准则，对整条价值链的合作方开展人权与环境风险排查，识别潜在负面影响。指令把获取供应商书面承诺列为合规手段，同时还要求对承诺内容逐一核验。这个法律义务本应由欧盟品牌自行承担，但为满足自身合规要求，品牌会向下游供应商索要合规承诺书，并强制要求下游企业把同样的义务继续传递给上游。层层下压的合规压力，最终一路传导到国内制造企业身上。
德国《供应链企业尽职义务法》（LkSG）对供应链层级划分得更加清晰：企业对直接合作的一级供应商负有全面尽职义务，需要在合同中写明责任条款、定期开展风险评估，并开通投诉渠道；而对于二、三级间接供应商，只有在企业已经掌握明确风险线索时，才需要采取处置措施。即便是这套公认严苛的德国法规，也没有要求企业无条件穿透所有上游层级。一旦违规，大型企业最高会被处以年营业额 2% 的罚款，还会被列入政府采购黑名单；当然处罚门槛分规模设置，中小企业的合规责任与处罚力度会明显更低。
美国《维吾尔强迫劳动预防法》（UFLPA）把管控关口设在进口环节，采用 “可反驳推定” 规则：凡是涉疆或来自清单企业的产品，直接被推定含有强迫劳动成分，举证责任完全交给进口商，必须拿出完整证据自证清白，否则货物直接被扣。配套的实体清单由美国国土安全部门管理，一旦被列入清单，对应货物入境就会被海关直接截留。这套规则的法律责任原本由进口商承担；但进口商想要完成举证、顺利清关，只能不断向国内下游供应商索要全链条溯源材料与生产凭证，最终把完整的溯源举证压力全部转移给国内生产企业。
这三套域外规则有一个共通的底层特征：法定尽职责任原本归于海外品牌 / 进口商，但支撑举证所需的全部溯源资料，需要供应链上各级供应商来提供。这正是跨境供应链中，合规压力层层向下传导的核心逻辑。
我们可以通过三起公开事件，直观理解这套压力传导机制在不同行业中的实际落地形态。
2017 年，舍某勒中国的求助函在汽车行业引发广泛热议。舍某勒的滚针原材料，仅由上海界龙金属拉丝独家供应。界龙的酸洗磷化工艺无环评手续，早已被列为淘汰关闭项目，监管部门多次通知停产，但企业持续生产。2017 年 9 月，当地依法对其断电停产、拆除设备。作为下游的舍某勒立刻面临原料断供危机。按照当时评估，断供会波及 49 家整车厂、200 多个车型，理论上可能带来 300 多万辆汽车减产、3000 亿产值损失。舍弗勒紧急发函，希望争取 3 个月缓冲期转移供应链。
2024 年 5 月，美国参议院财政委员会发布调查报告，点名多家海外主流车企，认定其车辆零部件流入涉强迫劳动供应链，批评企业供应链溯源管控不到位。这类报告不会直接带来行政处罚，却会接连引发投资者问询、海外客户供应链审查，以及美国口岸的重点布控查验；而且这类点名，无需监管机关先行作出违法认定。
2021年，美国 CBP 向国内某硅料生产企业下达暂扣令（WRO），禁止其硅料及下游衍生产品入境中国。禁令是针对上游原料厂，但风险层层向下转移，下游光伏组件企业成为实际受损方。只要使用了该批次硅料，出口组件就会被口岸扣留，产生高额滞港、退货与订单违约损失。企业表示“几乎每单都会被查扣，去按照要求做证据链申报，审批后放行。”
合同相对性不是风险的挡箭牌，只是划定了追偿请求权的对象边界。
当上游风险传导至自身，企业最关心的问题是，由此产生的损失，能不能向上游追偿。这个问题溯源到了《民法典》的合同相对性规则。
《民法典》第465条第2款：依法成立的合同，仅对当事人具有法律约束力，但是法律另有规定的除外。很多企业读到这一条，直接理解为：二级、三级供应商的事情，和我无关。这个理解并不完整。合同相对性划定的不是风险归属，而是请求权的对象范围。
这意味着第一层：你和二、三级供应商之间不存在合同关系，无法直接向其主张合同请求权；若要追责，只能走侵权等其他路径，而跨境场景下，侵权路径举证难度大、维权成本极高。
第二层效果往往被企业忽略：对于一级供应商，你是享有合同请求权的。 《民法典》第593条规定，当事人一方因第三人的原因造成违约的，应当依法向对方承担违约责任；该方与第三人之间的纠纷，依照法律规定或者按照约定处理。《民法典》第523条同样明确，约定由第三人向债权人履行债务，第三人不履行债务或者履行债务不符合约定，债务人应当向债权人承担违约责任。这意味着，二级供应商出事，导致一级供应商无法满足合规义务，一级供应商不能据此免责。
这两层规则相结合，就能看清实务困境的真面目。供应链爆雷后难以追偿，根源往往不是法律限制，而是采购合同预先缺少配套义务条款。
如果采购合同没有约定一级供应商需要保证上游合规、提交上游资料、配合客户调查，那么上游次级供应商出事，一级供应商不构成违约，企业的追偿就失去请求权基础。还有一处不对称风险需要重视：事实发生在二级供应商，证据材料也由二级掌握，但企业仅能向一级供应商提出主张。如果企业与一级供应商的合同中没有约定资料报送、第三方审计等权利，等到海外客户要求举证时，企业会陷入“想自证清白，但拿不出证据”的被动局面。供应链合规事件里，最棘手的往往不是被认定违规，而是负有举证义务，却无法提供完整溯源材料。
归纳而言，合同相对性不是免责盾牌，而是划定维权路径的规则。追责对象既然锁定直接签约的一级供应商，那么对应的合规义务、证据交付安排，都必须预先固化在双方的采购合同当中。
三、向下传导条款（flow-down）的效力与限度
在CSDDD项下，“获取合同保证”是欧盟链主企业被要求落实的尽职调查措施之一，这也是近年海外客户采购合同中flow-down条款大量增加的原因。把供应链合规义务逐层传递给上游的合同设计，就是大家常说的flow-down向下传导条款。
实务中一般分为六类，每一类解决一项具体痛点：
1.合规陈述与保证：一级供应商承诺自身及其上游供应链，在人权、环保、反商业贿赂等事项符合合同约定。将供应链合规设定为一级供应商的合同义务，一旦上游爆雷，构成违约的基础。
2.向下传递义务：要求一级供应商，在和它的上游供应商签约时，嵌入同等供应链合规条款，也就是镜像条款。这是flow-down的核心。企业无法直接约束二级供应商，只能要求一级把同样的义务继续向下复制。
3.供应商变更通知义务：约定一级供应商更换上游原料厂商，需要提前告知采购方。上游产地、供应商发生变动，往往就是风险发生的起点，很多企业等到风险爆发才知晓供应商更换。
4.资料报送与审计权：约定一级供应商有义务持续提交上游溯源资料，接受采购方或其委托第三方审计。这一条很关键，确保当海外客户调查来临之际，企业能否拿出完整溯源证据。
5.调查配合义务：约定海外客户、监管机构启动供应链调查时，一级供应商应当配合取证；明确拒绝配合属于重大违约。避免调查发生后，供应商以各种理由消极拖延。
6.违约救济条款：赋予采购方单方合同解除权，同时约定赔偿范围，将客户索赔、滞港损失、货物退回、产线停线等损失纳入赔偿。这一条必不可少，因为一旦缺少救济条款，前面所有承诺都会约束力不足。
但有两个边界一定要认清：
第一，flow-down不会突破合同相对性，不会让企业直接取得对二级、三级供应商的合同请求权。条款约束对象始终是一级供应商。
第二，实现逻辑是双层甚至多层合同传导：企业找一级供应商，一级找二级供应商。企业不能越过一级直接管控二级。一级承担责任之后，如何再向它自己上游追偿，属于一级供应商内部的纠纷。
配合海外供应链调查是合同义务，但资料出境不能突破我国个人信息、数据安全与阻断规则的法定红线。
当海外客户发起供应链调查，供应商的配合义务，不等于无条件提交全部资料。需要区分两种场景，适用完全不同的国内法律规则。
第一种场景：境外客户基于商业合同，发起问卷填报、资料提交、第三方审计。请求主体是商业企业，并非境外司法、执法机关，一般不触发跨境取证审批。但如果提交材料中包含员工个人信息，则属于向境外提供个人信息，必须遵守《个人信息保护法》跨境传输规则：满足安全评估、个人信息保护认证、标准合同三者其一；向相关个人告知境外接收方信息并取得单独同意；达到规定数量还需要境内存储，出境前完成个人信息保护影响评估并留存记录。违规可被警告、没收违法所得；情节严重可处以高额罚款，同时追责主管人员。
第二种场景：外国司法、执法机构，或经由客户、审计机构间接要求提交境内存储的数据、个人信息。该场景触发审批要求。《数据安全法》第36条明确，未经国内主管机关批准，境内主体不得向外国司法或者执法机构提供境内存储的数据；《个人信息保护法》第41条对个人信息作出相同规定。违规将面临高额罚款，严重可暂停业务、吊销证照。
此外，来自我国阻断与反制规则的限制，非常容易被忽略。如果客户要求执行的措施属于外国法律措施不当域外适用，根据《阻断外国法律与措施不当域外适用办法》禁令，企业不得承认、执行、遵守；遇到外国措施不当限制正常经贸活动，企业负有向商务部报告义务，确需遵守禁令内措施，可申请豁免。《反外国不当域外管辖条例》进一步规定，主管部门可以出具禁执令，企业应当遵守。《反外国制裁法》第12条规定，任何组织和个人，不得协助执行外国针对我国主体的歧视性限制措施，违反的可被主张停止侵害、赔偿损失。
所以，企业在决定配合调查前，要仔细分辨，请求方是商业客户，还是境外司法执法机关；拟提交材料是否包含个人信息、境内存储重要数据；客户要求的行为，是否落入阻断禁令、禁执令范围。判断完成后，再确定是依约提供、先行履行审批报告程序，还是说明理由、延期答复或者申请豁免。企业配合调查是合同义务，但义务的履行，不能突破国内法律的边界。
合同相对性，不是企业隔离多级供应链风险的借口，而是供应链风险管理的起点。企业的法律防线，只能搭建在直接签约的一级供应商层面；但借助合同条款，可以把合规承诺、证据交付义务沿着供应链逐层向下传导。
对于先进制造企业来说，最大短板往往不是法律无法触及二、三级供应商，而是当初和一级供应商签署采购合同时，没有提前为供应链调查、上游爆雷、损失追偿预留条款。供应链合规的第一道防线，写在采购合同之中。
本文基于公开资料撰写，仅作法律风险分析，不构成正式法律意见。