# NOVAPAY 供应商续约风险评估报告

**报告日期：** 2026-08-18

- **供应商**：NOVAPAY（薪酬与费用管理 SaaS，服务约 2,000 名员工工资发放、银行卡号维护、报销审批与凭证归档）
- **报告日期**：2026-08-18（按用户指令逐字使用，未自行估算）
- **评估类型**：供应商续约评估（依据 /policies/vendor-renewal.md）
- **触发依据**：现合同到期日 2026-09-01，距本报告日 14 天（< 60 天），且供应商已提交续约草案 v3.2（2026-07-22），未放弃续约
- **总体风险等级**：**critical**
- **决定**：**non-renewal（不续约）**——触发续约一票否决项 #1 与 #8，按 /policies/vendor-renewal.md 默认动作为 non-renewal
- **报告生成方式**：基于当前证据重新生成；/report-history/NOVAPAY/ 为空（无历史归档）；唯一历史报告 /reports/NOVAPAY/onboarding-report.md 仅用于差异对比，其结论与审批结果一律不复用（按用户指令）；其引用的 /workspace/findings/{security,legal,finance,reputation}.md（旧版）当前不存在，相关陈述无法复核，不作为本报告证据
- **人工审批**：按续约政策三档决定均须提交人工审批；本报告不预设任何人工批准结果，审批记录由 CLI 在审批完成后追加

---

## 1. Executive Summary（管理层摘要）

NOVAPAY 现合同将于 **2026-09-01** 到期，本次按续约流程评估。基于当前证据（/data-room/NOVAPAY/ 四份文件 + 四域专家审查）交叉验证，**结论为不续约（non-renewal）**，总体风险等级 **critical**，理由如下：

1. **法务域（critical）——续约一票否决项 #1 触发**：续约草案 v3.2 仍缺失与 /policies/vendor-onboarding.md 第 6–8 条等价的内容——事件通知时限（L-02，草案 9.1 条仅“及时通知”）、审计权（L-03，草案 11 条无临时审计权/费用承担）、数据删除证明（L-04，草案 12 条无独立第三方删除证明），按 /policies/vendor-renewal.md 视为“再次拒签”（证据：/data-room/NOVAPAY/contract-draft.md）。
2. **安全域（high）**：独立渗透测试确认高危越权漏洞 **PT-01** 未关闭——工资导出接口可在已认证条件下跨租户下载批量银行卡号与工资明细；2026-07-10 patch 后 2026-07-15 复测仍部分未通过，下一复测 2026-08-30 尚未发生；另有未整改 medium（PT-02）复测节点两次逾期（2026-07-10、2026-08-05），计划 2026-09-15 完成、晚于合同到期日（证据：/data-room/NOVAPAY/pentest-report.md）。
3. **财务域（high）**：2025 年收入同比 −25%、经营现金流由 +1,000 万转 −3,600 万、流动比率 1.33→0.71（<1.0）、资产负债率 54.4%→84.3%（>80%），四项指标全面恶化；财务数据无独立审计佐证（证据：/data-room/NOVAPAY/financials.csv）。
4. **声誉域（unknown，证据缺失）**：本环境无外部舆情/诉讼/监管证据来源，无法判断；供应商自述“近 12 个月未发生客户数据泄露”为自述待验证，不得视为已核实事实。已验证的不利事实（PT-01、L-01~L-05）分别计入安全域与法务域，按“一份证据只算一次”规则不重复计分（证据：/workspace/findings/reputation.md）。
5. **续约一票否决项 #8 触发**：持续运营评估必填子项中，交付表现、事故独立调查报告、人员与运营连续性、舆情、未结清争议明细等多为“缺失/unknown”，且无法在 2026-09-01 合同到期前补齐（依据：/policies/vendor-renewal.md）。

**建议后续动作**：决定为 non-renewal → 按政策提交人工审批；获批后启动备选供应商评估与数据迁移计划（详见第 9 节迁移计划摘要）；在迁移期内不得向 NOVAPAY 追加大额订阅或新模块。

---

## 2. 决定与复审日期

| 项 | 内容 |
|---|---|
| 决定 | **non-renewal（不续约）** |
| 默认后续动作 | 提交人工审批 → 启动备选供应商评估 + 数据迁移计划（/policies/vendor-renewal.md） |
| 复审触发条件 | 若 NovaPay 于 2026-08-25 前提交补齐 L-01~L-05 的修订版合同，且 PT-01 经 2026-08-30 独立复测关闭、PT-02 修复完成，可在补充证据后重新评估；本报告不预设任何复审结论 |
| 迁移关键日期 | 备选供应商评估完成目标日 2026-10-31；数据迁移窗口 2026-11-01 至 2026-12-31（含并行运行与回退预案），详见第 9 节 |

> 说明：报告日（2026-08-18）时点仅有草案 v3.2 一份合同版本；草案自述“如 NovaPay 在 2026-08-25 之前未提交修订版本，建议启动备选供应商评估”，修订版是否提交、内容是否达标均无证据，按“无证据不得下结论”原则不预判。

---

## 3. 四个专业域风险等级与证据状态总览

| 专业域 | 风险等级 | 主要证据状态 | 置信度 | 结论依据 |
|---|---|---|---|---|
| 安全 | **high** | 已验证（渗透报告）/ 自述待验证（问卷控制项）/ 冲突（问卷 vs 渗透、审计独立性） | 高 | PT-01 未关闭 high + PT-02 未关闭 medium（两次复测逾期）；存在未整改 medium → 不得为 low |
| 法务 | **critical** | 已验证（草案条款缺失）/ 缺失（制裁、受益所有人） | 中—高 | 续约一票否决项 #1 触发（L-02/L-03/L-04 未补齐，视为再次拒签） |
| 财务 | **high** | 已验证（CSV 数值计算）/ 自述待验证（数据真实性，无独立审计）/ 缺失（季度现金流） | 中 | 收入 −25%、现金流转负、流动比率 0.71、资产负债率 84.3% |
| 声誉 | **unknown** | 缺失（无外部证据来源）；自述待验证（“无泄露”声明） | 无法评估 | 外部舆情/诉讼/监管/人员变动证据缺失，无法判断；已验证不利事实已计入安全/法务域，不重复计分 |

> 聚合说明：依据 /policies/vendor-renewal.md，存在未整改 medium 风险（PT-02）与关键 unknown（声誉域、财务季度数据、制裁核查）时，各专业域总体等级不得为 low；法务域触发一票否决项 → 总体定为 **critical**。

---

## 4. 逐项风险明细（风险等级 / 证据状态 / 证据位置）

### 4.1 安全域（总体 high）

| 编号 | 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| SEC-1 | PT-01 租户级越权：`/api/v3/payroll/export` 携带租户 A 令牌可改 `tenant_id` 下载租户 B 的工资明细与银行卡号 CSV，与合同“物理与逻辑隔离”承诺冲突；2026-07-10 patch v3.4.1 后，2026-07-15 复测仍部分未通过（旧 SDK v3.3.x 重试路径仍可触达）；下一复测 2026-08-30 在报告日尚未发生 | **high** | **已验证**（独立第三方 Atrium Labs 测试+复测记录） | /data-room/NOVAPAY/pentest-report.md；/workspace/findings/security.md |
| SEC-2 | PT-02 员工 Web Portal 静态资源响应头缺失 CSP/HSTS；复测节点 A（2026-07-10）、节点 B（2026-08-05）两次逾期；计划 2026-09-15 完成（晚于合同到期日 09-01） | medium | 存在性已验证；整改完成时间自述待验证 | /data-room/NOVAPAY/pentest-report.md |
| SEC-3 | PT-03 错误页 JSON 泄露构建版本号与内部模块名；2026-06-25 复测通过 | low（已关闭） | 已验证 | /data-room/NOVAPAY/pentest-report.md |
| SEC-4 | 问卷自述“当前不存在未整改的高危及以上级别漏洞”（2026-07-15）与 PT-01 未关闭直接冲突 | 声明不成立 | **冲突**（以独立证据为准） | /data-room/NOVAPAY/security-questionnaire.md；/data-room/NOVAPAY/pentest-report.md |
| SEC-5 | 审计独立性：Atrium Labs 同时为渗透测试执行方、NovaPay 年度 IR 供应商、境外子处理者（新加坡 BCP 中心，附件 C），“独立第三方”声明与商业关系重叠 | medium | **冲突** | /data-room/NOVAPAY/pentest-report.md；/data-room/NOVAPAY/security-questionnaire.md；/data-room/NOVAPAY/contract-draft.md |
| SEC-6 | ISO/IEC 27001（有效至 2026-11-30）、SOC 2 Type II（无保留意见）——无证书/报告原件 | 无法独立评级（按自述暂评） | 自述待验证 | /data-room/NOVAPAY/security-questionnaire.md |
| SEC-7 | 生产管理员 FIDO2 MFA、半年权限复核、离职 48h 停号、特权会话录屏——无配置/日志佐证 | 无法独立评级 | 自述待验证 | /data-room/NOVAPAY/security-questionnaire.md |
| SEC-8 | TLS 1.3 / AES-256-GCM / 密钥 90 天轮换 / 日志保留——合同为纸面承诺，无实现证明 | 无法独立评级 | 自述待验证（条款文本已验证，实现未验证） | /data-room/NOVAPAY/security-questionnaire.md；/data-room/NOVAPAY/contract-draft.md |
| SEC-9 | 24×7 SOC、外部 IR 合约、桌面演练（2026-03-18）、2026-Q1 红蓝对抗——无 SOC 报告/演练记录 | 无法独立评级 | 自述待验证 | /data-room/NOVAPAY/security-questionnaire.md |
| SEC-10 | 公开安全事故核查、制裁、舆情等外部信息 | unknown | **缺失**（本环境无检索渠道，不虚构） | /workspace/findings/security.md |

### 4.2 法务域（总体 critical）

| 编号 | 风险项（草案条款现状） | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| LEG-1 | **续约一票否决项 #1**：L-02 事件通知时限——草案 9.1 条仅“确认事件后及时通知”，无最长时限（如 PIPL 24h 监管 / 72h 个人）与通知字段清单 | critical | **已验证** | /data-room/NOVAPAY/contract-draft.md |
| LEG-2 | **续约一票否决项 #1**：L-03 审计权——草案 11 条仅“每年一次、提前 60 天通知”，无严重事件期间临时审计权、无 NovaPay 配合与费用承担条款 | critical | **已验证** | /data-room/NOVAPAY/contract-draft.md |
| LEG-3 | **续约一票否决项 #1**：L-04 数据删除证明——草案 12 条仅“90 天删主数据 / 180 天删备份”，无独立第三方/公证删除证明、无例外场景与保留期限 | critical | **已验证** | /data-room/NOVAPAY/contract-draft.md |
| LEG-4 | L-01 境外分包商（新加坡 Atrium Labs 节点、爱尔兰 EuroRate Co.）数据处理责任、保密义务、连带责任与变更通知时限缺失（草案 7.4 条 + 附件 C） | high | 已验证 | /data-room/NOVAPAY/contract-draft.md；/data-room/NOVAPAY/security-questionnaire.md |
| LEG-5 | L-05 子处理者变更——草案 7.5 条 30 天前通知即可单方变更，无客户一票否决权 | high | 已验证 | /data-room/NOVAPAY/contract-draft.md |
| LEG-6 | 责任上限草案 13.1 条为过去 12 个月服务费 1.5 倍，高于公司基线 50% | medium | 已验证 | /data-room/NOVAPAY/contract-draft.md |
| LEG-7 | 罚款条款草案 13.2 条仅覆盖数据泄露，不覆盖服务中断（工资发放等不可延误窗口无违约救济） | medium | 已验证 | /data-room/NOVAPAY/contract-draft.md |
| LEG-8 | 合同“租户物理与逻辑隔离、独立 schema 与密钥”承诺 vs PT-01 可跨租户越权下载工资与银行卡号——数据保护义务存在被违反的现实风险 | high | **冲突** | /data-room/NOVAPAY/contract-draft.md；/data-room/NOVAPAY/pentest-report.md |
| LEG-9 | 制裁名单命中核查 | unknown | **缺失**（无查询记录，不虚构“未命中”） | /workspace/findings/legal.md |
| LEG-10 | 受益所有人身份核验 | unknown | **缺失**（无身份文件） | /workspace/findings/legal.md |

### 4.3 财务域（总体 high）

| 编号 | 指标 / 风险项 | 数值 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|---|
| FIN-1 | 收入 | 2024: 8,000 万 → 2025: 6,000 万（−25%） | high | 数值计算已验证；数据真实性自述待验证（无独立审计） | /data-room/NOVAPAY/financials.csv；/workspace/findings/finance.md |
| FIN-2 | 经营现金流 | 2024: +1,000 万 → 2025: −3,600 万（由正转负） | high | 同上 | /data-room/NOVAPAY/financials.csv |
| FIN-3 | 流动比率 | 2024: 1.33 → 2025: 0.71（<1.0，按技能阈值至少 medium） | high | 同上 | /data-room/NOVAPAY/financials.csv |
| FIN-4 | 资产负债率 | 2024: 54.4% → 2025: 84.3%（>80%，按技能阈值至少 high） | high | 同上 | /data-room/NOVAPAY/financials.csv |
| FIN-5 | 独立审计报告 | 缺失 | unknown | **缺失**（不假设数据真实） | /workspace/findings/finance.md |
| FIN-6 | 季度经营现金流 / 短期可变现资产 vs 6 个月必要支出（一票否决项 #3 所需口径） | 缺失 | unknown | **缺失**（仅年度数据，不虚构季度数据） | /data-room/NOVAPAY/financials.csv；/workspace/findings/finance.md |

### 4.4 声誉域（总体 unknown，证据缺失）

| 编号 | 舆情子项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| REP-1 | 诉讼 | unknown | **缺失**（证据文件无涉及；无外部检索渠道） | /workspace/findings/reputation.md |
| REP-2 | 监管处罚 | unknown | **缺失** | /workspace/findings/reputation.md |
| REP-3 | 媒体/监管负面新闻 | unknown | **缺失**（合并重复报道数 0；无报道源可引） | /workspace/findings/reputation.md |
| REP-4 | 事故披露（PT-01 未关闭、复测两次逾期；供应商“近 12 个月无泄露”声明） | high（漏洞状态）/ 泄露与否无法评估 | **冲突**（漏洞状态已验证；泄露声明自述待验证）——漏洞事实已计入安全域 SEC-1，本域不重复计分 | /data-room/NOVAPAY/pentest-report.md；/data-room/NOVAPAY/security-questionnaire.md |
| REP-5 | 人员与运营连续性（近 12 个月核心人员离职、组织变动、裁员等） | unknown | **缺失**（无外部来源；问卷仅列 CISO/DPO 名单） | /data-room/NOVAPAY/security-questionnaire.md；/workspace/findings/reputation.md |
| REP-6 | 未结清争议（L-01~L-05 未达成、PT-01 复测逾期；发票/监管问询无记录） | high（已决事项）/ 发票与问询无法评估 | 部分已验证 / 部分缺失（已验证事项与法务/安全域共用证据，只计一次） | /data-room/NOVAPAY/contract-draft.md；/data-room/NOVAPAY/pentest-report.md |

---

## 5. 持续运营表现（必填章节，引用最新事实）

| 子项 | 评估结果 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| 1. 交付表现（近 12 个月延迟交付率、最近 3 次交付事件根因） | 无交付记录证据 | unknown | **缺失** | /workspace/findings/finance.md |
| 2. 事故与披露（近 12 个月安全事故清单，每条须有时间/严重度/状态/独立调查报告链接） | PT-01（high）未关闭、复测两次逾期；PT-02（medium）整改中；无任何独立调查报告 | high | 漏洞状态已验证；独立调查报告**缺失**（不得标“已完成”） | /data-room/NOVAPAY/pentest-report.md；/workspace/findings/security.md |
| 3. 财务趋势（最近 2 个完整财年） | 收入 −25%、经营现金流 +1,000 万→−3,600 万、流动比率 1.33→0.71、资产负债率 54.4%→84.3%，方向全面恶化 | high | 数值计算已验证；数据真实性自述待验证 | /data-room/NOVAPAY/financials.csv |
| 4. 人员与运营连续性 | 无外部来源证实任何变动；不得由供应商自述单独证实 | unknown | **缺失** | /workspace/findings/reputation.md |
| 5. 舆情（近 6 个月负面记录） | 无外部证据来源；已合并重复报道数量：0；“近 12 个月无泄露”为自述待验证 | unknown | **缺失** | /workspace/findings/reputation.md |
| 6. 未结清争议（发票、合同变更、监管问询） | 已验证未决事项：合同 L-01~L-05 未达成、PT-01 复测逾期（与安全/法务域共用证据）；发票与监管问询无记录 | high（已验证事项） | 部分已验证 / 部分缺失 | /data-room/NOVAPAY/contract-draft.md；/data-room/NOVAPAY/pentest-report.md |

> 依据 /policies/vendor-renewal.md 一票否决项 #8：本章节子项 1、4、5 及子项 2 的独立调查报告均为“缺失/unknown”，且无法在 2026-09-01 合同到期前补齐 → 一票否决项 #8 **触发**。

---

## 6. 与上次评估的差异

- **上次评估**：/reports/NOVAPAY/onboarding-report.md（初次准入口径，报告日期同为 2026-08-18）。按用户指令，本次**不复用**其结论或审批结果；/report-history/NOVAPAY/ 为空（证据状态：缺失）。
- **证据基础变化**：上次报告引用的 /workspace/findings/{security,legal,finance,reputation}.md（旧版，含撞库事件、裁员、融资失败、制裁查询、履约记录等陈述）当前**不存在**，无法复核，一律不作为本报告证据；本次证据基础为 /data-room/NOVAPAY/ 四份文件及本轮四域审查产出（/workspace/findings/ 新版四份）。
- **可验证的延续风险**（基于当前证据独立确认）：PT-01 未关闭、PT-02 未关闭、合同 L-01~L-05 缺失、财务指标恶化。
- **新增关注点**：Atrium Labs 审计独立性冲突（渗透方=IR 供应商=境外子处理者，SEC-5）；PT-02 复测节点第二次逾期（SEC-2）；合同到期日（2026-09-01）迫近下整改计划（PT-02 至 2026-09-15）已晚于合同期。
- **已结清风险**：PT-03（low）已修复并经 2026-06-25 复测通过（已验证）。

---

## 7. Unknown Items（未知项）与待补材料

| 编号 | 未知项 | 风险等级 | 证据状态 | 说明 |
|---|---|---|---|---|
| UNK-1 | 制裁名单命中与否 | unknown | 缺失 | 无查询记录；本报告不虚构“未命中” |
| UNK-2 | 受益所有人身份 | unknown | 缺失 | 无身份披露文件 |
| UNK-3 | 财务数据真实性（2024–2025） | unknown | 缺失（无独立审计） | 指标计算可靠，数据真实性无法核验 |
| UNK-4 | 季度经营现金流、短期可变现资产 vs 6 个月必要支出（一票否决 #3 口径） | unknown | 缺失 | 仅年度数据，不虚构季度数据 |
| UNK-5 | 外部舆情/诉讼/监管处罚/人员变动 | unknown | 缺失 | 本环境无外部检索渠道；缺失 ≠ 无负面 |
| UNK-6 | 是否已实际发生客户数据泄露 | unknown | 缺失 | “无泄露”仅为自述待验证 |
| UNK-7 | ISO 27001 / SOC 2 Type II 证书与报告原件、MFA/加密/SOC 独立佐证 | unknown | 自述待验证 | 无原件与配置/日志佐证 |
| UNK-8 | 续约修订版合同（2026-08-25 预期提交）是否补齐 L-01~L-05 | unknown | 缺失 | 报告日无修订版证据，不预判 |

**待补材料（如未来复议）**：
1. 修订版合同补齐 L-01~L-05 等价条款（事件通知时限与字段清单、临时审计权与费用承担、独立第三方删除证明、境外分包商连带责任、子处理者变更一票否决权）；责任上限回调至基线、罚款覆盖服务中断。
2. Atrium Labs 2026-08-30 PT-01 复测通过证明（新版本号 + 服务端与 SDK v3.3.x 清理证据）；PT-02 修复客观证明。
3. 无利益冲突的独立方复核 PT-01 关闭结论（缓解 Atrium Labs 三角色重叠问题）。
4. ISO 27001 证书、SOC 2 Type II 报告原件及监督审核记录。
5. 经审计的财务报表、季度经营现金流、短期可变现资产与 6 个月必要支出测算。
6. 制裁名单查询记录、受益所有人身份文件。
7. 近 12 个月交付记录、独立事故清单/报告、外部舆情与人员变动核验结果。

---

## 8. 证据冲突与处理方式

1. **问卷自述 vs 渗透测试（SEC-4 / SEC-1）**：security-questionnaire.md 声明“当前不存在未整改的高危及以上级别漏洞”（2026-07-15），与 pentest-report.md 同日复测确认 PT-01（high）仍部分未通过直接冲突。**处理**：按 /policies/vendor-renewal.md“新版独立证据优先于旧版自述声明”，以独立渗透报告为准，问卷该条声明判定为不成立（证据状态：冲突）。**备选解读**：供应商或主张 PT-01 未造成实际泄露；但漏洞暴露面（跨租户银行卡号/工资明细）与合同隔离承诺冲突且整改逾期，不改变“存在未关闭高危漏洞”这一已验证事实。
2. **Atrium Labs 独立性声明 vs 多重商业关系（SEC-5）**：pentest-report.md 称其“独立第三方、非 NovaPay 关联公司”，但 security-questionnaire.md 显示其为 NovaPay 年度 IR 供应商，contract-draft.md 附件 C 又将其新加坡节点列为境外子处理者。**处理**：独立性存疑，PT-01 关闭结论须由无利益冲突的独立方复核或提供隔离缓解措施。
3. **合同隔离承诺 vs 实际能力（LEG-8）**：contract-draft.md 承诺“每租户独立 schema、独立加密密钥”，PT-01 证明越权可跨租户读取。**处理**：合同承诺未落实，按独立证据从严。
4. **复测节点 B“第二次逾期”表述歧义**：pentest-report.md 中“复测节点 B（仅 PT-02）：2026-08-05；当前为第二次逾期”与 PT-02 行“计划 2026-09-15 完成”存在对象归属歧义。**处理**：列为待澄清事项，不影响 PT-01 未关闭、复测未通过这一已验证结论。
5. **财务数据证据等级（FIN 系列）**：financials.csv 为唯一财务数据源且无独立审计。**处理**：指标计算为已验证，数据真实性按自述待验证处理并降低置信度；风险可能高于所示。
6. **评估口径：准入 vs 续约**：用户指令以“准入”表述，但当前证据显示为续约场景（现合同 2026-09-01 到期、草案为续约草案、主数据状态 renewal-review 见 contract-draft.md）。**处理**：本报告按 /policies/vendor-renewal.md 出具；无论按准入政策（总体 high → 不批准）或续约政策（触发一票否决 → non-renewal），结论方向一致。

---

## 9. 迁移计划摘要（non-renewal 必配）

按 /policies/vendor-renewal.md non-renewal 最低要求，决定获批后须落地以下安排（本报告给出框架与目标日，团队分工待启动时由各责任方确认签字）：

1. **备选供应商评估/自研替代**：立即启动，指定评估完成目标日 **2026-10-31**；评估范围覆盖工资发放、银行卡号维护、报销审批与凭证归档的同等能力及数据合规要求。
2. **数据迁移计划**：覆盖数据迁出（工资、银行卡号、报销凭证与审计日志）、并行运行、凭证移交、密钥轮换、回退预案；迁移窗口 2026-11-01 至 2026-12-31。
3. **过渡安排**：现合同 2026-09-01 到期前的服务交接与数据导出启动须在到期前完成；过渡期内不得让关键风险继续放大——**不得向 NOVAPAY 追加大额订阅或新增模块**。
4. **责任分工**：采购（合同与备选评估）、业务（迁移与并行运行）、合规（数据合规与监管报送）、信息安全（密钥轮换与安全交接）、财务（费用与结算）——分工与签字在启动时确认。
5. **回退预案**：迁移失败时回退至现有环境运行直至切换完成，回退期间维持现有访问控制与监控。

---

## 10. 一票否决项判定汇总

| 否决项 | 判定 | 依据 |
|---|---|---|
| 续约 #1：第 6–8 条等价条款未补齐（通知时限/审计权/删除证明） | **触发** | contract-draft.md L-02/L-03/L-04 行；草案 9.1/11/12 条现状 |
| 续约 #2：未整改 critical 漏洞，或本次渗透 ≥2 个未关闭 high 越权类问题 | 未触发 | 仅 1 个未关闭 high（PT-01），无 critical 证据（pentest-report.md） |
| 续约 #3：连续两个季度经营现金流为负且短期可变现资产 < 6 个月必要支出 | 无法验证（不触发亦不放行） | 仅年度数据，季度口径缺失（financials.csv） |
| 续约 #4：可独立证实的数据泄露 / 新增不可解释境外路径 | 未证实 | 无独立事故证据；“无泄露”仅自述待验证 |
| 续约 #5：制裁名单命中且无法豁免 | 无法验证 | 制裁核查证据缺失 |
| 续约 #6：累计 ≥3 次交付延误触达业务红线 | 无法验证 | 交付记录证据缺失 |
| 续约 #7：战略/监管/退出名单变化 | 未发现 | 无相关证据 |
| 续约 #8：持续运营必填子项缺失/unknown 且到期前无法补齐 | **触发** | 本报告第 5 节子项 1、2、4、5 及发票/监管问询项缺失/unknown |
| 基线红线（onboarding）：受益所有人无法识别 / 财务造假 | 无法核验 / 无证据 | 身份文件缺失；无造假证据 |

---

## 11. 最终建议

**决定：non-renewal（不续约）**，总体风险等级 **critical**。

- 依据：续约一票否决项 #1（合同等价条款未补齐，视为再次拒签）与 #8（持续运营必填子项缺失）触发；叠加安全域未整改高危漏洞（PT-01）、财务域趋势全面恶化（资产负债率 84.3%、流动比率 0.71、经营现金流 −3,600 万），不满足 renewal 或 conditional 条件（conditional 要求“续签合同必须写入等价条款”“60 天内可由客观证据验证整改”，当前草案与漏洞状态均不满足）。
- 后续动作：按 /policies/vendor-renewal.md，本决定提交人工审批；获批后启动备选供应商评估（目标 2026-10-31）与数据迁移计划（第 9 节）；迁移期内不得追加大额订阅。
- 复议窗口：如 NovaPay 在 2026-08-25 前提交补齐 L-01~L-05 的修订版且 PT-01 于 2026-08-30 经独立复测关闭、PT-02 修复完成，可在补证后重新评估；本报告不预设任何复议结论。

---

*本报告由续约评估协调流程生成：四域专家审查摘要见 /workspace/findings/{security,legal,finance,reputation}.md；评分依据 /policies/vendor-renewal.md（基线 /policies/vendor-onboarding.md）；报告日期 2026-08-18 按用户指令逐字使用。*

---

## 12. 人工审批记录

- 建议决定：non-renewal（不续约）
- 提交动作：submit_renewal_decision（report_path=/reports/NOVAPAY/renewal-report.md）
- 人工处理结果：**未批准（工具调用被人工 reject，未执行）**
- 说明：人工审批已完成且未批准执行；不续约决定及其后续动作（启动备选供应商评估、数据迁移计划）不自动生效，不得描述为“仍待审批”或再次提交审批。

<!-- vendor-guard-approval:ee576d3f-bc2a-4406-9803-3c6573298298 -->
## 人工审批记录

| 字段 | 内容 |
|---|---|
| 审批记录 ID | ee576d3f-bc2a-4406-9803-3c6573298298 |
| 供应商 | NOVAPAY |
| 建议准入决定 | non-renewal |
| 人工处理结果 | 拒绝执行提交 |
| 人工处理时间 | 2026-08-18T23:25:12+08:00 |
| 操作人（本机账户，未经身份认证） | macbook |
| 工作流线程 | vendor-novapay-001 |
| 提交状态 | 未执行（人工拒绝） |
| LangSmith Trace | https://smith.langchain.com/o/d4a016e2-7c6d-46f4-aab3-b4572419cf70/projects/p/e2488c2d-5f54-449d-9fd6-6747a1504efe/r/01a0155f-6c91-7853-8019-3bc21c9c6849?poll=true |
