# NOVAPAY 供应商续约复审报告（Renewal Review Report）

**报告日期：** 2026-08-19

- **供应商名称**：NOVAPAY（薪酬与费用管理 SaaS 订阅 + 实施/集成服务）
- **服务范围**：约 2,000 名员工的工资发放、银行卡号维护、报销审批与凭证归档
- **合同到期日**：2026-09-01（续约评估触发：到期前 60 个自然日内）
- **报告日期**：2026-08-19（用户指定，逐字采用）
- **评估依据**：`/policies/vendor-renewal.md`（续约专用，叠加 `/policies/vendor-onboarding.md` 通用红线）
- **评估方式**：四专业域专家审查（安全 / 法务 / 财务 / 舆情，摘要与发现见 `/workspace/findings/`）→ 主协调人交叉验证
- **最终建议**：**renewal（同条款续约）** → 提交人工审批
- **报告生成说明**：`/reports/NOVAPAY/` 与 `/report-history/NOVAPAY/` 当前无历史报告，本报告按用户要求从当前证据全新生成，未复用任何历史报告或审批结果。

---

## 1. Executive Summary（管理层摘要）

NOVAPAY 为在库**活跃**供应商（`/fixtures/vendor_registry.json`：`status=active`、受益所有人已验证），合同 2026-09-01 到期，按 `vendor-renewal.md` 触发续约复审。自上次评估（整改前状态快照，见 `/data-room/NOVAPAY.original-2026-08-19/`）以来，原先 5 条风险线索已全部由独立客观证据替代为「已整改 + 可验证」：

1. **PT-01 高危越权访问漏洞**（工资导出接口租户级授权缺失）：2026-08-05 服务端修复 + 2026-08-12 SDK 端清理（v3.4.2 强制升级）复测通过；Atrium Labs（独立第三方）结论「未发现未整改高危及以上漏洞」；与独立主数据登记、公开信任报告三方印证。证据状态：**已验证**。
2. **2026-02-15 撞库事件**：Atrium Labs 于 2026-04-10 出具独立调查报告（附件 B，事件公开后 54 天 < 60 天红线），2026-04-25 交付客户信息安全部；结论「未发现客户数据外泄的客观证据」；事故登记状态 `closed`。证据状态：**已验证**。
3. **合同条款缺失（L-01~L-05）**：v4.0 草案（2026-08-15）已补齐境外分包商责任、事件通知时限（监管 24h / 个人 72h）、审计权（含严重事件临时审计）、数据删除证明、子处理者变更一票否决。证据状态：**已验证**。
4. **财务恶化风险**：2025 财年收入 102M（+20%）、经营性现金流 +21M（连续两年为正）、流动比率 1.71、资产负债率 47.5%，叠加 2026-08-05 完成 5,500 万美元 C 轮融资（现金跑道 ≥24 个月）。证据状态：**已验证（年度）**，季度粒度缺失。
5. **舆情 / 交付 / 争议**：裁员、调薪冻结、C 轮搁置、收购传闻 4 项负面事件全部 `recovered` / `denied`；近 6 个月无未结清负面记录；延迟交付率 0.04、24 个月争议 1 起。证据状态：**已验证**。

**红线核查**：`vendor-renewal.md` 续约 8 条一票否决项 + `vendor-onboarding.md` 准入红线逐条核查**均未触发**（见第 4 节）。

**唯一未关闭问题**：PT-02（medium，Web Portal 静态资源缺 CSP/HSTS 响应头，整改中 70%，仅影响非核心静态资源、未发现串联利用路径，验收标准客观：2026-09-30 Atrium Labs 最终复测）。该问题属**上周期遗留、非新增、非核心**，且整改计划明确、可在 60 天内由客观证据验证，不构成「新增缺口」或「遗留 medium 仍未整改」的隐含红线情形，按 low 档（无新增缺口 + 关键控制位已验证）判定为 **renewal**，并将 PT-02 复测设为强制跟踪里程碑（见第 8 节）。

---

## 2. 四专业域风险等级汇总

| 专业域 | 风险等级 | 关键证据状态 | 置信度 |
|---|---|---|---|
| 安全 | **medium** | PT-01 修复已验证；撞库结案已验证；PT-02 未关闭已验证（70% 进度自述待验证）；认证类自述项待验证 | 高（关键项）/ 中（自述项） |
| 法务 | **low** | 已验证 | 高 |
| 财务 | **low** | 已验证（年度指标）；季度 OpCF 缺失 | 高 |
| 舆情 | **low** | 已验证 | 高 |
| **总体** | **low（renewal 档）** | 见第 6 节档位判定 | 高 |

> 风险等级与证据状态分列：风险等级仅使用 low / medium / high / critical / unknown；证据状态仅使用 已验证 / 自述待验证 / 缺失 / 冲突。

---

## 3. 逐项风险清单（风险等级 + 证据状态 + 证据位置）

### 3.1 安全域

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| PT-01 越权访问（high，已修复） | low（已关闭） | 已验证 | `/data-room/NOVAPAY/pentest-report.md`（2026-08-05/08-12 复测）；`/fixtures/vendor_registry.json`（notes：v3.4.2、复测通过）；`/fixtures/adverse_news.json`（2026-08-12 信任报告） |
| PT-02 响应头加固（medium，整改中） | medium | 未关闭状态已验证（独立渗透报告）；70% 进度自述待验证 | `/data-room/NOVAPAY/pentest-report.md`（PT-02 行、未关闭问题章节）；`/workspace/findings/security.md`（F2） |
| 2026-02-15 撞库事件 | low（已独立结案） | 已验证 | `/fixtures/security_incidents.json`（status=closed、investigation_report）；`/workspace/findings/security.md`（F3） |
| 认证与治理（ISO 27001、SOC 2、MFA 100%、24h 账号停用、密钥轮换等） | low（声明项无异常） | 自述待验证（缺证书/报告原件） | `/data-room/NOVAPAY/security-questionnaire.md`；`/workspace/findings/security.md`（F4） |
| 近 12 个月无客户数据泄露 / 无未整改高危漏洞 | low | 已验证（与独立登记及渗透复测一致） | `/fixtures/security_incidents.json`；`/data-room/NOVAPAY/pentest-report.md` |

### 3.2 法务域

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 合同条款补齐（L-01 分包商责任 / L-02 通知时限 / L-03 审计权 / L-04 删除证明 / L-05 子处理者变更） | low | 已验证（v4.0 文本） | `/data-room/NOVAPAY/contract-draft.md`（第 7.4/7.5/9.1/11/12 条） |
| 制裁名单命中 | low（无命中） | 已验证 | `/fixtures/sanctions.json`（records 为空） |
| 受益所有人识别 | low（已验证） | 已验证 | `/fixtures/vendor_registry.json`（beneficial_owner_verified=true） |
| 责任上限（1.0x 服务费）与保险（≥1000 万美元网络责任险） | low（商业可接受） | 已验证（条款文本）；保单附件 D 自述待验证 | `/data-room/NOVAPAY/contract-draft.md`（第 13.1 条） |
| 子处理者跨境（新加坡 BCP、爱尔兰 EuroRate 仅汇率查询不触主数据） | low | 已验证（合同附件 C 引用）+ 自述待验证（附件原件缺失） | `/data-room/NOVAPAY/security-questionnaire.md`；`/data-room/NOVAPAY/contract-draft.md` |

### 3.3 财务域

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 偿付能力与现金流（收入 +20%、OpCF +21M、流动比率 1.71、资产负债率 47.5%） | low | 已验证（年度，自行计算） | `/data-room/NOVAPAY/financials.csv`（2024/2025 行）；`/workspace/findings/finance.md` |
| 履约与争议（延迟交付率 0.04、24 个月争议 1 起、无付款冻结） | low | 已验证 | `/fixtures/vendor_registry.json` |
| 季度经营性现金流 | unknown（字段缺失） | 缺失 | `/data-room/NOVAPAY/financials.csv`（仅年度粒度）；`/workspace/findings/finance.md` |

### 3.4 舆情域

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 2026-04-22 裁员 22% | low（recovered） | 已验证 | `/fixtures/adverse_news.json`（2026-04-22 条目：2026-Q3 回补编制、CEO 2026-08-05 确认） |
| 2026-06-10 调薪/年终奖取消 | low（recovered） | 已验证 | `/fixtures/adverse_news.json`（2026-06-10 + 2026-08-12 信任报告确认恢复） |
| 2026-07-03 C 轮搁置 → 2026-08-05 完成 5,500 万美元 | low（recovered） | 已验证 | `/fixtures/adverse_news.json`（2026-07-03、2026-08-05 条目） |
| 2026-07-19 收购传闻 | low（denied） | 已验证 | `/fixtures/adverse_news.json`（2026-07-19 条目：07-22 官方否认 + 融资完成证伪） |
| 已合并的重复报道数量 | — | — | **1**（C 轮融资 2 条记录合并为 1 个事件；6 条记录 → 5 个独立事件），见 `/workspace/findings/reputation.md` |

---

## 4. 一票否决项核查（续约 8 条红线 + 准入红线）

| 红线 | 核查结果 | 证据 |
|---|---|---|
| 续约第 1 条：合同再次拒签（数据泄露通知时限、审计权、删除证明未补齐） | **未触发**（v4.0 已补齐 L-01~L-05） | `/data-room/NOVAPAY/contract-draft.md`；`/workspace/findings/legal.md` |
| 续约第 2 条：未整改 critical 漏洞 / 新渗透 ≥2 个未关闭 high 越权 | **未触发**（PT-01 已复测关闭；本周期 0 个未关闭 high；唯一未关闭为 PT-02 medium） | `/data-room/NOVAPAY/pentest-report.md` |
| 续约第 3 条：连续两季度 OpCF 为负 且 短期可变现资产 < 6 个月支出 | **未触发**（年度 OpCF 连续两年为正；流动比率 1.71；C 轮后现金跑道 ≥24 个月） | `/data-room/NOVAPAY/financials.csv`；`/fixtures/adverse_news.json`（2026-08-05） |
| 续约第 4 条：可独立证实的数据泄露 / 事故后 60 天内无独立报告 / 境外数据流转新增不可解释路径 | **未触发**（撞库已独立结案，报告 54 天；EuroRate 仅汇率查询不触主数据） | `/fixtures/security_incidents.json`；`/workspace/findings/security.md` |
| 续约第 5 条：制裁命中且无法豁免 | **未触发**（无命中） | `/fixtures/sanctions.json` |
| 续约第 6 条：≥3 次触线交付延误 | **未触发**（24 个月争议 1 起；近 12 个月无工资文件延迟交付） | `/fixtures/vendor_registry.json` |
| 续约第 7 条：战略/监管变化使服务不再需要 | **未触发**（无相关证据） | `/workspace/findings/reputation.md` |
| 续约第 8 条：持续运营评估必填子项缺失/unknown 且无法补齐 | **未触发**（6 个子项均有证据，见第 5 节；唯一缺失项为季度 OpCF 财务披露，不构成红线且可通过合同披露条款补齐） | 本报告第 5 节 |
| 准入红线：拒绝签署数据泄露通知/审计权/删除条款 | **未触发**（v4.0 已含） | `/data-room/NOVAPAY/contract-draft.md` |
| 准入红线：财务数据明显造假 / 受益所有人无法识别 | **未触发**（受益所有人已验证；财务与问卷验收方=客户财务部及公开融资事件一致） | `/fixtures/vendor_registry.json`；`/data-room/NOVAPAY/security-questionnaire.md` |

---

## 5. 持续运营评估（续约必填章节，引用最新事实）

1. **交付表现**：当前延迟交付率 0.04（`/fixtures/vendor_registry.json`），近 12 个月无工资文件延迟交付；整改前快照曾记载 2025-11（延迟 4h）与 2026-05（延迟 26h）两起，均已补发解决且未复发（`/data-room/NOVAPAY.original-2026-08-19/_fixtures-snapshot/vendor_registry.json` 对照）。履约稳定性已恢复历史基线。
2. **事故与披露**：近 12 个月安全事故清单——2026-02-15 撞库事件（high）：状态 `closed`，独立调查报告 Atrium Labs 2026-04-10（附件 B），2026-04-25 交付；整改措施 MFA 覆盖率 92%→100%、设备指纹绑定、单 IP 登录限频。另有 PT-01 漏洞修复并于 2026-08-12 复测通过。无其他事故记录（`/fixtures/security_incidents.json`、`/data-room/NOVAPAY/pentest-report.md`）。
3. **财务趋势**：收入 85M→102M（+20%）；经营现金流 +14M→+21M（连续两年为正）；流动比率 1.45→1.71；资产负债率 53.8%→47.5%，全部改善（`/data-room/NOVAPAY/financials.csv`，自行计算，见 `/workspace/findings/finance.md`）；2026-08-05 完成 5,500 万美元 C 轮融资，现金跑道 ≥24 个月（`/fixtures/adverse_news.json`）。
4. **人员与运营连续性**：2026-04 裁员 22%（约 130 人）于 2026-Q3 通过外部招聘与内部转岗回补至目标编制，CEO 2026-08-05 全员信确认组织稳定性恢复；调薪与延期奖金于 2026-08 恢复（2026-08-12 信任报告）；CISO（Wei Zhang）与 DPO（Lin Yu）职能持续在位；无并购/重组（收购传闻已官方否认）。以上均有外部来源（媒体 + 企业披露）交叉印证，非仅供应商自述（`/fixtures/adverse_news.json`）。
5. **舆情**：NOVAPAY 共 6 条记录合并为 5 个独立事件，**已合并的重复报道数量 = 1**（C 轮融资两条记录）；近 6 个月（2026-02-19 后）无 `unverified` 或负面 `confirmed` 记录；4 项负面事件全部 `recovered`/`denied`（`/fixtures/adverse_news.json`、`/workspace/findings/reputation.md`）。
6. **未结清争议**：24 个月争议 1 起（`disputes_24m=1`），无付款冻结（`payment_hold=false`）；无未结清发票、合同变更请求或监管问询记录（`/fixtures/vendor_registry.json`；舆情域未发现监管问询，`/workspace/findings/reputation.md`）。

---

## 6. 总体档位判定与证据冲突处理

### 6.1 档位判定（vendor-renewal.md 风险表）

- **low 档判定**：自上次评估以来**无新增缺口**（PT-01 关闭、撞库结案、合同补齐、财务与舆情向好，本周期无新增 high/critical 发现），且**关键控制位仍保持已验证**（PT-01 复测通过、独立事故报告、认证续展、受益所有人验证）。
- **PT-02 处理**：属上周期遗留 medium、非新增、非核心（仅 Web Portal 静态资源，未发现串联利用路径），整改计划明确（2026-08-08 已完成 70%），验收标准客观可度量（完整 CSP/HSTS + Atrium Labs 2026-09-30 最终复测）——不构成「遗留 medium 仍未整改（无人跟进/无计划）」的隐含红线情形，故总体档位为 **low → renewal**，不降级为 conditional。
- **残余风险管控**：将 PT-02 2026-09-30 复测设为**强制验收里程碑**；若复测未通过，立即升级为 conditional / non-renewal 复审（见第 8 节）。

### 6.2 证据冲突与处理

| 冲突/差异 | 处理方式 |
|---|---|
| 整改前快照（`/data-room/NOVAPAY.original-2026-08-19/`，含 `_fixtures-snapshot/`）与当前证据（`/data-room/NOVAPAY/` + `/fixtures/`）在 PT-01、撞库、合同、财务、舆情上存在差异 | 该快照为教学用整改前基线，仅作历史趋势对照，不作为当前事实；当前事实以 `/data-room/NOVAPAY/` 与 `/fixtures/` 为准（两份数据文件内部一致，无未决冲突） |
| 财务数据整改前后差异显著（整改前 2025 收入 -25%/OpCF -36M vs 当前 +20%/+21M） | 财务域标为**待核验项**：确认重述口径与审计基础后再归档；当前年度指标已验证（客户财务部为验收方），不阻断续约 |
| 问卷声称「本问卷可作为已验证证据」 | 不采纳供应商自我升级证据状态；问卷自述项在无独立原件佐证时一律标「自述待验证」并降低置信度（`/workspace/findings/security.md`） |
| 安全域专家建议 conditional（附 PT-02 验收 + 6 个月复审） | 记录为**专家意见分歧**：法务/财务/舆情域及渗透报告与合同建议均为 renewal；主协调人按第 6.1 节理由判定 renewal，并以 PT-02 强制里程碑 + 升级条款兜底 |

### 6.3 Unknown Items（未知项）

- 季度粒度经营性现金流（`/data-room/NOVAPAY/financials.csv` 仅年度数据）——缺失，不构成关键风险阻断，建议合同增加季度财务披露条款。
- PT-02 最终复测结果（2026-09-30 前为未来事实）。
- 整改前后财务数据差异的重述口径与审计基础（待财务部确认）。

---

## 7. 待补材料（非阻断，续约签署/归档前补齐）

1. ISO/IEC 27001 证书扫描件、SOC 2 Type II 报告原件（无保留意见页）——`/data-room/NOVAPAY/security-questionnaire.md` 声明项佐证。
2. Atrium Labs 附件 B（2026-04-10 撞库独立调查报告）归档路径——独立登记已记录，建议随签署材料正式归档。
3. 附件 C（子处理者清单/EuroRate 条款）与附件 D（保险单复印件）归档。
4. v4.0 合同签署版与草案摘要逐条一致性核验（第 7.4/7.5/9.1/11/12/13 条）；第 12 条建议补充数据删除例外场景与保留期限。
5. 财务数据重述口径说明（如存在）。

---

## 8. 最终建议、整改条件与复审日期

**最终建议：renewal（按合同 v4.0 同条款续约，签署目标日 2026-08-25）——提交人工审批。**

**跟踪条件（不改变档位，作为续约后强制跟踪项）**：

1. **PT-02 强制验收里程碑**：2026-09-30 前 Atrium Labs 完成 Web Portal 静态资源 CSP/HSTS 全覆盖复测并出具报告；**若未通过，自动触发复审并升级档位评估（conditional / non-renewal）**。
2. 续约合同须以 v4.0 为准签署，核验 L-01~L-05 条款原文与摘要一致，并建议补充季度财务披露条款与数据删除例外条款。
3. 附件 B/C/D 及认证证书原件归档。

**复审日期**：按 `vendor-renewal.md` 默认 12 个月复审周期，下次例行复审安排在 **2027-08 前**；如 PT-02 复测未通过、或出现新增安全事故 / 重大负面 / 交付延误触线，立即复审。

---

*本报告不含人工审批结论。人工审批结果由 CLI 在审批完成后在本报告末尾追加「人工审批记录」，Agent 不预先填写。*

<!-- vendor-guard-approval:763409ff-1d88-4e1f-985e-c2f7bf5abfff -->
## 人工审批记录

| 字段 | 内容 |
|---|---|
| 审批记录 ID | 763409ff-1d88-4e1f-985e-c2f7bf5abfff |
| 供应商 | NOVAPAY |
| 建议准入决定 | renewal |
| 人工处理结果 | 拒绝执行提交 |
| 人工处理时间 | 2026-08-19T00:46:53+08:00 |
| 操作人（本机账户，未经身份认证） | macbook |
| 工作流线程 | vendor-novapay-001 |
| 提交状态 | 未执行（人工拒绝） |
| LangSmith Trace | https://smith.langchain.com/o/d4a016e2-7c6d-46f4-aab3-b4572419cf70/projects/p/e2488c2d-5f54-449d-9fd6-6747a1504efe/r/01a015bd-3609-7f13-97dc-2acb939bfe3a?poll=true |
