# ACME 供应商准入评估报告

**报告日期：** 2026-08-14

- 报告日期：2026-08-14
- 供应商：ACME
- 评估依据：/policies/vendor-onboarding.md；评分细则见 /workspace/findings/security.md（安全域）
- 证据范围：/data-room/ACME/ 全部文件 + 四个专业域发现文件 /workspace/findings/{security,legal,finance,reputation}.md
- 本报告为人工审批前生成；人工审批结果由系统在审批完成后追加写入，本报告不预填审批状态。

## 1. Executive Summary（管理层摘要）

ACME 未确认触发一票否决项，但存在多项重大缺口与关键证据缺失，总体风险等级为 **high**。

- 安全域 **medium**：渗透报告 PT-02（medium，安全响应头缺失）计划 2026-08-01 完成整改，截至报告日已逾期 13 天仍无完成/复测证据；数据保护密钥轮换仅有问卷声明。
- 法务域 **high**：合同草案缺“严重事件临时审计权”，审计频率（每两年一次）与通知期（30 天）受限；受益所有人登记材料与制裁查询留档缺失。
- 财务域 **medium**：核心指标健康（流动比率 1.23–1.29、资产负债率 57.6%–59.0%、现金流连续为正、收入增长），但收入集中度关键数据缺失。
- 声誉域 **low**：仅 1 起已结案的劳工整改事件（2026-02-18），无罚款或经营限制记录；但来源为占位 URL，不可追溯。

最终建议：**有条件准入（conditional）**——按 /policies/vendor-onboarding.md“high → reject 或重新调查”路径采取限期整改与补证，30 天内（复审日 2026-09-13 前）满足第 6 节全部条件方可准入；其中受益所有人若无法识别，将触发一票否决（reject）。

## 2. 四个专业域风险等级

| 专业域 | 风险等级 | 证据状态总览 | 关键发现文件 |
|---|---|---|---|
| 安全 | medium | 部分已验证、部分自述待验证、PT-02 整改状态缺失 | /workspace/findings/security.md |
| 法务 | high | 条款文本已验证、UBO 与制裁留档缺失 | /workspace/findings/legal.md |
| 财务 | medium | CSV 指标已验证、收入集中度缺失 | /workspace/findings/finance.md |
| 声誉 | low | 唯一事件来源不可追溯 | /workspace/findings/reputation.md |

## 3. 逐项风险（风险等级 / 证据状态 / 证据位置）

### 3.1 安全域（总评：medium）

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 认证治理（ISO 27001 有效至 2027-03-31、年度第三方审计） | low | 自述待验证（无证书副本/审计报告） | /data-room/ACME/security-questionnaire.md L5-7 |
| 身份访问（生产管理员 MFA、季度权限复核、24h 离职停号） | low | 自述待验证（无 IAM 日志佐证） | /data-room/ACME/security-questionnaire.md L11-13 |
| 数据保护（TLS 1.2+、AES-256、密钥轮换 180 天） | medium | 自述待验证（密钥轮换无 KMS/日志佐证，评分细则为 medium） | /data-room/ACME/security-questionnaire.md L17-19；/workspace/findings/security.md §三 |
| 漏洞管理 PT-01（high，旧管理接口限速） | low | 已验证（2026-04-20 修复并复测） | /data-room/ACME/pentest-report.md L7 |
| 漏洞管理 PT-02（medium，安全响应头缺失） | medium | 发现事实已验证，整改状态缺失（计划 2026-08-01，报告日无完成记录） | /data-room/ACME/pentest-report.md L8；/workspace/findings/security.md §四 |
| 漏洞管理 PT-03（low，错误信息泄露组件名） | low | 已验证（已修复） | /data-room/ACME/pentest-report.md L9 |
| 事件响应（桌面演练 2025-08-15、72h 通知） | low | 演练自述待验证；72h 条款为草案文本已验证（未签署） | /data-room/ACME/security-questionnaire.md L23-24；/data-room/ACME/contract-draft.md L5 |

安全域总评不得为 low 的依据：存在逾期未确认的 medium 漏洞（PT-02）+ 数据保护密钥轮换证据不足（medium），符合 /policies/vendor-onboarding.md 第 28 行与评分细则聚合约束。

### 3.2 法务域（总评：high）

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 受益所有人（UBO）识别 | unknown | 缺失（数据室无 UBO 登记材料；与财务域冲突见第 5 节） | /workspace/findings/legal.md §3.1；/data-room/ACME/ 目录清单 |
| 制裁名单命中 | low（无命中迹象） | 缺失（专家引用外部查询无命中，但数据室无查询留档） | /workspace/findings/legal.md §3.2 |
| 数据泄露通知时限 72h | low | 已验证（合同草案与问卷交叉一致） | /data-room/ACME/contract-draft.md L5；/data-room/ACME/security-questionnaire.md L24 |
| 审计权（每两年一次、提前 30 天） | high | 已验证（草案文本；属待协商） | /data-room/ACME/contract-draft.md L11-12 |
| 严重事件临时审计权 | high | 缺失（草案未含该条款） | /data-room/ACME/contract-draft.md L17（缺失节） |
| 分包商同等数据保护责任 | low | 已验证 | /data-room/ACME/contract-draft.md L7 |
| 数据删除（终止后 30 天） | low | 已验证 | /data-room/ACME/contract-draft.md L6 |
| 责任上限（过去 12 个月服务费） | medium | 已验证（草案文本；待协商） | /data-room/ACME/contract-draft.md L13 |
| 财务数据明显造假 | low | 自述待验证（无第三方审计佐证） | /data-room/ACME/financials.csv |

一票否决判定：制裁无命中证据、供应商未拒绝签署通知/审计/删除条款、无未整改 Critical、财务未见明显造假 → 均未触发；**受益所有人为待定项**，若补证后仍无法识别即触发否决（/policies/vendor-onboarding.md 第 8 行）。

### 3.3 财务域（总评：medium）

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 流动比率（2024=1.29，2025=1.23，均>1.0） | low | 已验证（CSV 直接计算） | /data-room/ACME/financials.csv L2-3 |
| 资产负债率（57.6%→59.0%，均<80%） | low | 已验证 | /data-room/ACME/financials.csv L2-3 |
| 收入趋势（128M→134M，+4.7%） | low | 已验证 | /data-room/ACME/financials.csv L2-3 |
| 经营现金流（12M→9M，连续为正；-25% 为观察项） | low | 已验证 | /data-room/ACME/financials.csv L2-3 |
| 履约/争议（专家引用主数据：逾期 8%、24 个月 2 起争议、无付款冻结） | low（观察项） | 缺失（工具输出未留档，不可追溯） | /workspace/findings/finance.md §二.5-6 |
| 收入集中度（前五大客户占比） | unknown | 缺失 | /workspace/findings/finance.md §二.7 |

财务域总评不得为 low 的依据：收入集中度为关键 unknown（/policies/vendor-onboarding.md 第 28 行），核心指标本身均为 low。

### 3.4 声誉域（总评：low）

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 2026-02-18 地区子公司加班记录问题整改协议（已结案，无罚款/经营限制） | low | 不可追溯（来源 URL 为占位域 example.test，见第 5 节冲突 4） | /workspace/findings/reputation.md §二.1 |
| 法院诉讼 / 监管处罚 / 重大负面新闻 / 其他劳工争议 | low（未发现） | 缺失（外部覆盖证据有限） | /workspace/findings/reputation.md §二 |

## 4. Unknown Items 与待补材料

| # | 未知项/待补材料 | 影响 | 截止要求 |
|---|---|---|---|
| 1 | 受益所有人登记材料及身份证明 | 一票否决待定；无法识别即 reject | 30 天内（2026-09-13 前） |
| 2 | 制裁名单（OFAC/EU/UN）查询留档 | 否决项核验所需留档 | 30 天内 |
| 3 | 收入集中度（前五大客户占比） | 财务关键 unknown | 30 天内 |
| 4 | PT-02 整改完成记录与复测（响应头扫描证据） | 逾期 medium 漏洞 | 优先，30 天内 |
| 5 | ISO 27001 证书副本、最近一次第三方审计报告 | 认证治理佐证 | 30 天内 |
| 6 | KMS 密钥轮换日志/策略、TLS 与静态加密配置、MFA 覆盖率、权限复核与停号日志、桌面演练记录 | 安全自述项佐证 | 30 天内 |
| 7 | 已签署合同（72h 通知条款生效版本） | 通知能力验证 | 准入前 |
| 8 | 履约/争议明细及结案说明 | 观察项核验 | 30 天内 |
| 9 | 声誉事件可追溯来源（监管公告原文/编号） | 事件核实 | 30 天内 |

## 5. 证据冲突与处理方式

1. **受益所有人（UBO）**：财务域声称主数据工具标记 beneficial_owner_verified=true（/workspace/findings/finance.md §二.8），法务域认定数据室无 UBO 材料、为关键 unknown（/workspace/findings/legal.md §3.1）。处理：冲突未解决前按 /skills/security-review/references/scoring-rubric.md 的“冲突从严”原则，以可追溯证据为准——数据室确无 UBO 材料，标记 unknown/缺失，限期补证。
2. **2025-11-03 员工邮箱钓鱼事件**：安全域声称“已验证（公开公告）”但未提供任何可追溯来源（/workspace/findings/security.md §五）；声誉域检索未发现该事件（/workspace/findings/reputation.md §二）。处理：无可追溯证据，不作为已验证事实计入风险，列为待核事项，不影响安全域总评（已为 medium）。
3. **制裁查询**：法务域引用外部工具 search_sanctions 无命中（/workspace/findings/legal.md §3.2），但无留档文件。处理：按“无命中迹象 + 留档缺失”处理，一票否决未触发，要求补查询留档。
4. **声誉事件来源**：唯一事件 URL 为占位域 https://example.test/regulator/acme-labor-settlement，不可追溯（/workspace/findings/reputation.md §二.1）。处理：事件证据状态降级为缺失，风险维持 low（已结案、无处罚迹象）但置信度下调。
5. **发现文件日期占位**：法务发现文件载“审查日期：2026-05-XX”、财务发现文件载“审查日期：2026-04-13”，与本次指令日期不一致。处理：本报告以指令日期 2026-08-14 为准，各发现文件仅作为证据引用。

## 6. 最终建议、整改条件、复审日期

- **总体风险等级**：high（多项重大缺口 + 关键证据缺失；/policies/vendor-onboarding.md 第 16 行）
- **最终建议**：有条件准入（conditional）——按“high → reject 或重新调查”路径，选择限期整改与补证后复审；不满足下列任一条件即不得准入。
- **整改与补证条件（2026-09-13 复审前全部完成）**：
  1. 完成 PT-02 整改并提交复测证据，消除逾期 medium 漏洞；
  2. 提供受益所有人登记材料并完成识别——无法识别即触发一票否决（reject）；
  3. 提供制裁名单查询留档；若出现命中且无法豁免即否决；
  4. 提供收入集中度数据，消除财务关键 unknown；
  5. 合同补充“严重事件临时审计权”，审计频率提高、提前通知期缩短（见 /data-room/ACME/contract-draft.md L11-12、L17），并评估责任上限的数据泄露例外（L13）；
  6. 补齐第 4 节所列安全佐证材料（证书、审计报告、密钥轮换/MFA/演练日志等）。
- **复审日期**：2026-09-13
- 若条件未满足或期间出现制裁命中、UBO 无法识别等否决情形，升级为 reject。
- 本报告提交人工审批；审批结果由系统在审批完成后追加至本报告末尾。

<!-- vendor-guard-approval:f9add76c-9735-467a-ad63-9ca88575f3da -->
## 人工审批记录

| 字段 | 内容 |
|---|---|
| 审批记录 ID | f9add76c-9735-467a-ad63-9ca88575f3da |
| 供应商 | ACME |
| 建议准入决定 | conditional |
| 人工处理结果 | 同意执行提交 |
| 人工处理时间 | 2026-08-15T21:21:50+08:00 |
| 操作人（本机账户，未经身份认证） | macbook |
| 工作流线程 | vendor-acme-001 |
| 提交状态 | 工作流恢复失败（BadRequestError） |
| LangSmith Trace | 未启用或未获取到 |
