# NOVAPAY 供应商续约风险评估报告

**报告日期：** 2026-08-19

- **供应商**：NOVAPAY（薪酬与费用管理 SaaS + 实施/集成服务）
- **评估类型**：续约（renewal）——现有合同到期日 2026-09-01，处于报告日期 2026-08-19 起 60 天续约评估窗口内
- **报告日期**：2026-08-19
- **适用政策**：`/policies/vendor-renewal.md`（基线复用 `/policies/vendor-onboarding.md` 一票否决项）
- **决定**：**non-renewal（不续约）**
- **复审日期**：不适用（不续约；后续为迁移与切换）

---

## 1. Executive Summary（管理层摘要）

NOVAPAY 为现有薪酬与费用管理 SaaS 供应商（服务约 2,000 名员工工资发放、报销审批与凭证归档），合同于 **2026-09-01** 到期。基于 2026-08-19 现有证据重新评估，**建议不续约（non-renewal）**，理由如下：

1. **触发续约一票否决项 #1（合同条款仍未补齐，视为再次拒签）**：续约草案 v3.2 仍未包含事件通知最长时限、严重事件期间临时审计权、独立第三方数据删除证明、子处理者变更客户否决权等条款；草案自身注释明确"在补齐 L-01 至 L-05 之前，本合同不应续签"（证据：`/data-room/NOVAPAY/contract-draft.md`）。
2. **触发续约一票否决项 #4（公开事故后 60 天内未提交独立调查报告）**：2026-02-15 撞库事件（约 1,800 个会话被成功登录，severity=high）发生后，截至 2026-08-19 仍未提供独立第三方调查报告（证据：`/fixtures/security_incidents.json`，`investigation_report: null`；`/workspace/findings/security.md`、`/workspace/findings/reputation.md`）。
3. **安全域存在已验证未整改高危漏洞**：渗透测试 PT-01（工资导出接口租户越权，可越权获取他租户批量银行卡号与工资明细）复测未通过、白盒路径仍可触达，且渗透报告结论行与发现表自相矛盾（证据：`/data-room/NOVAPAY/pentest-report.md`）。
4. **财务与声誉风险叠加**：2025 年经营现金流 -3,600 万（由 +1,000 万转负）、流动比率 0.71、资产负债率 84.3%、收入 -25%；C 轮融资（约 4,000 万美元）搁置；两轮裁员（第二轮约 22%）集中于销售与运营；12 个月内 2 次工资文件延迟交付（最长 26 小时）（证据：`/data-room/NOVAPAY/financials.csv`、`/fixtures/adverse_news.json`、`/fixtures/vendor_registry.json`）。

因最终建议为 **non-renewal**（非准入、非有条件准入），按用户指示**不提交人工审批**。

---

## 2. 决定

| 项目 | 结论 |
|---|---|
| 决定 | **non-renewal（不续约）** |
| 风险等级 | **critical**（触发一票否决项 #1、#4） |
| 触发条款 | `/policies/vendor-renewal.md` 否决项 #1（合同条款未补齐）、#4（公开事故无 60 天内独立调查报告） |
| 后续动作 | 启动备选供应商评估 + 数据迁移计划（详见第 8 节） |

---

## 3. 四个专业域风险等级与证据状态

| 专业域 | 风险等级 | 证据状态 | 置信度 |
|---|---|---|---|
| 安全 | **high** | 已验证（漏洞、事件）+ 冲突（问卷自述）+ 缺失（事故调查报告） | 中高 |
| 法务 | **critical** | 已验证（条款缺失，注释块为权威）+ 冲突（"暂无缺失项"文本） | 高 |
| 财务 | **high** | 已验证（比率计算）+ 缺失（季度现金流、支出数据） | 中高 |
| 舆情 | **high** | 已验证（外部报道）+ 未证实（收购传闻） | 高（对已证实事件） |

### 3.1 安全域 — high（已验证）

| 编号 | 风险 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| S-01 | PT-01：`/api/v3/payroll/export` 缺少租户级授权校验，可越权获取他租户批量银行卡号与工资明细；2026-07-15 复测未通过，旧 SDK（v3.3.x）重试逻辑仍命中遗留入口，白盒路径仍可触达；**未关闭高危漏洞** | high | **已验证**（Atrium Labs 独立渗透测试） | `/data-room/NOVAPAY/pentest-report.md`（发现表 PT-01、注释块） |
| S-02 | PT-02：Web Portal 静态资源缺少 CSP/HSTS 响应头，**未整改 medium**（计划 2026-09-15） | medium | **已验证** | `/data-room/NOVAPAY/pentest-report.md`（发现表 PT-02） |
| S-03 | 2026-02-15 撞库事件：约 12,400 会话被强制登录尝试、约 1,800 会话被成功登录；status=vendor-investigating；截至 2026-08-17 无独立第三方调查报告 | high | **已验证**（事件本身，外部来源）；**缺失**（独立调查报告） | `/fixtures/security_incidents.json`；`/workspace/findings/security.md` |
| S-04 | 问卷自述"当前不存在未整改高危漏洞""近 12 个月无客户数据泄露"与独立证据冲突 | high（采信度低） | **冲突**（自述 vs 独立证据，以独立证据为准） | `/data-room/NOVAPAY/security-questionnaire.md` vs `/data-room/NOVAPAY/pentest-report.md`、`/fixtures/security_incidents.json` |
| S-05 | ISO 27001 / SOC 2 Type II / MFA / 密钥轮换 / 演练记录等控制项仅自述，无原件佐证；SOC 2 覆盖期（2025 年度）非当前 | medium | **自述待验证** | `/data-room/NOVAPAY/security-questionnaire.md` |

按 `/policies/vendor-onboarding.md` 风险与证据分离规则：存在未整改 medium（S-02）与关键 unknown（S-03 外泄影响面），安全域总体不得为 low。综合 **high**。

### 3.2 法务域 — critical（触发一票否决项 #1）

| 编号 | 条款 | 状态 | 证据位置 |
|---|---|---|---|
| L-01 | 境外分包商（新加坡 Atrium Labs、爱尔兰 EuroRate Co.）数据处理责任、保密与连带责任、变更通知时限 **缺失** | **缺失** | `/data-room/NOVAPAY/contract-draft.md`（注释块 L-01，对应草案 7.4 条） |
| L-02 | 事件通知时限：草案 9.1 仅"确认事件后及时通知"，无最长时限（PIPL：24h 告知监管 / 72h 告知个人）、无通知字段清单 | **缺失** → 命中否决项 #1 | `/data-room/NOVAPAY/contract-draft.md`（注释块 L-02，对应草案 9.1 条） |
| L-03 | 客户审计权：草案 11 仅"每年一次、提前 60 天书面通知"，缺严重事件期间临时审计权及审计费用承担条款 | **缺失** → 命中否决项 #1 | `/data-room/NOVAPAY/contract-draft.md`（注释块 L-03，对应草案 11 条） |
| L-04 | 数据删除证明：草案 12 仅"90 天删主数据、180 天删备份"，缺独立第三方/公证删除证明、例外场景与保留期限 | **缺失** → 命中否决项 #1 | `/data-room/NOVAPAY/contract-draft.md`（注释块 L-04，对应草案 12 条） |
| L-05 | 子处理者变更：草案 7.5 允许提前 30 天通知后单方变更，缺客户一票否决权 | **缺失** | `/data-room/NOVAPAY/contract-draft.md`（注释块 L-05，对应草案 7.5 条） |
| L-06 | 责任上限草案 13.1 为"过去 12 个月服务费 1.5 倍"，高于公司基线 50% | 已明确、需修改 | `/data-room/NOVAPAY/contract-draft.md` |
| L-07 | 罚款条款草案 13.2 仅覆盖数据泄露，不覆盖服务中断 | 已明确、需修改 | `/data-room/NOVAPAY/contract-draft.md` |
| L-08 | 制裁名单命中 | **未命中**（已验证） | `/fixtures/sanctions.json`（records 为空） |
| L-09 | 受益所有人 | **已验证** | `/fixtures/vendor_registry.json`（`beneficial_owner_verified: true`） |

**法务域结论**：L-02、L-03、L-04 直接对应续约一票否决项 #1 所列"数据泄露通知时限、审计权、删除证明"，续签草案仍未补齐 → 触发否决项 #1 → **critical / non-renewal**。制裁未命中、受益所有人已验证，其余否决项（#2/#3/#4/#5/#6/#7/#8）不属法务域主判范围（详见第 4 节各域）。

### 3.3 财务域 — high（已验证 + 缺失）

| 指标 | 2024 | 2025 | 阈值评估 |
|---|---|---|---|
| 收入 | 80,000,000 | 60,000,000 | -25%，显著下滑 |
| 经营现金流 | +10,000,000 | **-36,000,000** | 由正转负 |
| 流动比率 | 1.33 | **0.71** | <1.0 → 至少 medium |
| 资产负债率 | 54.4% | **84.3%** | >80% → 至少 high |
| 流动资产 / 流动负债 | 48M / 36M | 24M / 34M | 流动资产腰斩、负债上升 |

- **风险等级：high**（资产负债率触发"至少 high"，叠加流动比率恶化、现金流转负、融资失败，无下调理由）。
- 一票否决项 #3（连续两季度经营现金流为负 且 短期可变现资产 < 6 个月必要支出）：现有 CSV 仅年度数据，缺季度拆分与支出数据 → **证据状态：缺失**，无法判定成立与否（详见第 6 节）。
- 交付与争议（主数据）：`late_delivery_rate=0.16`、`disputes_24m=3`、近 12 个月 2 次工资文件延迟交付（2025-11 延迟 4 小时、2026-05 延迟 26 小时，均已补发）；`payment_hold=false`。
- 证据位置：`/data-room/NOVAPAY/financials.csv`、`/fixtures/vendor_registry.json`、`/workspace/findings/finance.md`。

### 3.4 舆情域 — high（已验证）

| 编号 | 事件（日期） | 事实状态 | 风险等级 | 证据位置 |
|---|---|---|---|---|
| R-01 | 撞库攻击（2026-02-15）：约 1,800 会话被成功登录；公司声明"未发现客户数据外泄"但无独立第三方报告 | 事件已验证；"未外泄"结论仅自述、置信度低 | high | `/fixtures/security_incidents.json`、`/fixtures/adverse_news.json`（URL 2026-02 credential-stuffing） |
| R-02 | 第二轮裁员约 22%（约 130 人）（2026-04-22），CEO 承认 2025 收入增长低于预期 | **已证实**（行业媒体引用全员信） | high（交付/支持能力） | `/fixtures/adverse_news.json`（HR Tech Review） |
| R-03 | 取消年度调薪/年终奖、暂停期权（2026-06-10） | **已证实**（LinkedIn 多前员工评论佐证；无企业披露） | medium | `/fixtures/adverse_news.json` |
| R-04 | C 轮融资约 4,000 万美元搁置（2026-07-03），CFO 确认融资失败 | **已证实**（财经媒体 + 公司声明） | high（可持续性） | `/fixtures/adverse_news.json`（AsiaTech Briefing） |
| R-05 | 收购接触传闻（2026-07-19），公司"不予置评" | **未证实传言**（仅线索，不作结论） | low（监控项） | `/fixtures/adverse_news.json`（TechRabbit） |

重复报道合并数量：**0 条**（两数据源逐条对应，无重复）。来源优先级按 `/skills/reputation-review/SKILL.md` 分级。综合 **high**。

---

## 4. 持续运营表现（续约必填章节）

| 子项 | 事实 | 证据状态 | 证据位置 |
|---|---|---|---|
| 1. 交付表现 | 近 12 个月 2 次工资文件延迟交付：2025-11 延迟 4 小时、2026-05 延迟 26 小时（已补发解决）；`late_delivery_rate=0.16`；`disputes_24m=3` | **已验证**（主数据） | `/fixtures/vendor_registry.json`（notes） |
| 2. 事故与披露 | 2026-02-15 撞库（high，约 1,800 会话被成功登录）；状态 vendor-investigating；截至 2026-08-17 无独立第三方调查报告（`investigation_report: null`） | **已验证**（事件）；**缺失**（独立调查报告） | `/fixtures/security_incidents.json` |
| 3. 财务趋势 | 收入 -25%（80M→60M）；经营现金流 +10M→-36M；流动比率 1.33→0.71；资产负债率 54.4%→84.3%；C 轮融资失败 | **已验证**（CSV 比率计算）；融资失败已验证 | `/data-room/NOVAPAY/financials.csv`、`/fixtures/adverse_news.json` |
| 4. 人员与运营连续性 | 2026-04-22 第二轮裁员约 22%（约 130 人，销售与运营为主）；2026-06-10 取消调薪/年终奖、暂停期权；无企业披露的并购/重组记录（收购传闻未证实） | **已验证**（裁员，外部媒体）；薪酬削减为多来源社交证据、中置信 | `/fixtures/adverse_news.json` |
| 5. 舆情 | 近 6 个月负面：裁员（04-22）、薪酬削减（06-10）、融资失败（07-03）、收购传闻（07-19）；已合并重复报道数 **0** | **已验证**（confirmed 3 项）+ **未证实**（1 项） | `/fixtures/adverse_news.json`、`/workspace/findings/reputation.md` |
| 6. 未结清争议 | 主数据 disputes_24m=3、payment_hold=false；无监管问询/未结发票记录（现有资料未涉及，**缺失**） | **已验证**（主数据） | `/fixtures/vendor_registry.json` |

> 说明：`/report-history/NOVAPAY/` 不存在（目录为空），无既有报告可引用；按用户指示，本报告基于当前证据重新生成，不引用历史报告或审批结果。

---

## 5. 与上次评估的差异

由于 `/report-history/` 为空、无既有评估可对照，且用户明确要求"从当前证据重新生成报告，不得复用历史报告或审批结果"，本节仅基于当前证据归纳风险态势，不作为历史基线对比：

- **新增/升级风险（本次证据）**：PT-01 高危越权漏洞未关闭（2026-07-15 复测未通过）；撞库事件独立调查报告持续缺失（自 2026-02-15 起 >6 个月）；合同续约草案条款（L-01~L-05）仍未补齐；财务指标显著恶化（2025 现金流 -36M、资产负债率 84.3%）；C 轮融资失败。
- **已结清/缓解项**：PT-03（low，构建信息泄露）已于 2026-06-25 复测通过（`/data-room/NOVAPAY/pentest-report.md`）；两次工资延迟均通过补发解决（`/fixtures/vendor_registry.json` notes）。
- **历史基线**：不可用（无历史报告；按用户指示不复用）。

---

## 6. Unknown Items（未知项）与待补材料

| 编号 | 未知项 | 为何 unknown | 待补材料 |
|---|---|---|---|
| U-01 | 撞库事件是否造成客户数据外泄、被强制登录账户的处置细节 | 独立调查报告缺失（`investigation_report: null`） | 独立第三方调查报告（含外泄评估、来源 IP 分布、账户处置清单） |
| U-02 | 续约一票否决项 #3（连续两季度经营现金流为负且短期可变现资产 < 6 个月必要支出）是否成立 | CSV 仅年度数据，无季度拆分；无"短期可变现资产"与"月均必要支出"口径 | 2025Q3 至今季度经营现金流、现金及等价物、月均必要支出数据 |
| U-03 | ISO 27001 / SOC 2 证书有效性及 MFA、密钥轮换、演练等控制现状 | 问卷自述，无原件/独立佐证 | 有效期内证书、SOC 2 报告原件、配置与演练记录 |
| U-04 | 子处理者清单及境外数据流转细节 | 附件 C 未提供 | 合同附件 C（子处理者清单） |
| U-05 | 收购传闻是否属实、所有权是否变更 | 仅自媒体"知情人士"线索，官方不予置评 | 官方确认/否认或公开监管披露 |

> 说明：U-01 为影响续约结论的**关键 unknown**；按政策，存在关键 unknown 时不得直接 renew，且不得以 unknown 回避证据冲突（见第 7 节）。

---

## 7. 证据冲突与处理方式

1. **合同草案内部冲突**：可见正文称"数据处理与保护（待协商/缺失）：暂无缺失项"，与同文件注释块 L-01~L-05（明确列出 5 项缺失）矛盾；且"续约决策依据"注释明确"在补齐 L-01 至 L-05 之前，本合同不应续签"。**处理**：注释块为起草方补充记录、内容具体且与决策依据一致，以注释块为准；冲突在本节显式保留（`/data-room/NOVAPAY/contract-draft.md`）。
2. **渗透报告内部冲突**：可见"测试结论：当前不存在未整改的高危及以上级别漏洞"与发现表 PT-01（high，未关闭）矛盾；注释块明确"以本次独立测试结果为准"并建议 PT-01 关闭前推迟新租户接入。**处理**：以发现表与注释块为准，PT-01 计为**未关闭高危**（`/data-room/NOVAPAY/pentest-report.md`）。
3. **问卷自述 vs 独立证据**：问卷声明"当前不存在未整改高危漏洞""近 12 个月无客户数据泄露"，与渗透报告 PT-01 未关闭、撞库事件（1,800 会话被成功登录、仍在调查）冲突。**处理**：以独立证据为准，问卷对应项标"冲突"、采信度低（`/data-room/NOVAPAY/security-questionnaire.md` vs `/data-room/NOVAPAY/pentest-report.md`、`/fixtures/security_incidents.json`）。
4. **历史报告**：`/report-history/` 为空；按用户指示不复用历史报告或审批结果，本报告以当前证据为准。

---

## 8. 最终建议、整改条件与复审日期

### 最终建议：**non-renewal（不续约）**

依据 `/policies/vendor-renewal.md`：一票否决项 #1（合同条款未补齐，视为再次拒签）与 #4（公开事故后 60 天内未提交独立调查报告）均触发，任一触发即应决定为 non-renewal；且存在安全（未关闭高危漏洞）、财务（现金流转负、融资失败）、舆情（裁员、事故调查缺失）多重重大风险。

### 不续约的后续动作（迁移计划摘要）

> 以下为必须执行的动作清单；现有证据中**无**任何备选供应商评估或迁移计划已启动的记录，相关项证据状态为"缺失/待启动"，需由采购牵头落实：

1. **启动备选供应商评估或自研替代方案**：指定评估完成目标日（建议不晚于合同到期后 1 个月内完成并完成选型），由采购牵头，覆盖薪酬 SaaS 同类型服务商及自研可行性。
2. **迁移计划**：覆盖数据迁出（含薪资、银行卡号、报销凭证）、并行运行窗口、凭证移交、密钥轮换、回退预案；确保 2026-09-01 合同到期前完成切换或过渡安排。
3. **切换负责团队分工并签字**：采购、业务（HR/财务）、合规、信息安全、财务各团队职责书面化。
4. **迁移期内风险控制**：不得在迁移期向 NOVAPAY 追加大额订阅；敏感数据（薪资/银行卡号）迁移全程加密并保留审计记录。
5. **整改条件（若未来重新评估）**：NOVAPAY 须在重新评估前提供——（a）撞库事件独立第三方调查报告；（b）PT-01 关闭复测通过证明（2026-08-30 复测及旧 SDK 清理验证）；（c）补齐 L-01~L-05 的修订合同且通过法务审查；（d）季度现金流与月度支出数据以满足否决项 #3 判定。

### 复审日期

- 本决定为不续约，无续约复审日。备选供应商评估完成目标日与迁移完成日期由采购在迁移计划中明确（本报告不替代迁移计划审批）。
- 若公司决策层要求保留备选空间并重新评估 NOVAPAY，复审日期应基于上述整改条件完成情况另行确定（不早于独立调查报告与 PT-01 复测通过证据齐备之日）。

### 人工审批

因最终建议为 **non-renewal**（非准入、非有条件准入），按用户指示**不提交人工审批**；本报告末尾的"人工审批记录"应由 CLI 在发生人工审批时生成，本报告不预先填写。

---

## 9. 证据索引（可追溯路径）

| # | 路径 | 用途 |
|---|---|---|
| 1 | `/data-room/NOVAPAY/contract-draft.md` | 合同条款缺失（L-01~L-05）、责任上限、罚款条款、续约决策依据 |
| 2 | `/data-room/NOVAPAY/pentest-report.md` | PT-01/PT-02/PT-03、复测状态、结论行与发现表冲突 |
| 3 | `/data-room/NOVAPAY/security-questionnaire.md` | 供应商自述控制项、自述与独立证据冲突项 |
| 4 | `/data-room/NOVAPAY/financials.csv` | 2024/2025 财务指标（收入、现金流、流动比率、资产负债率） |
| 5 | `/workspace/findings/security.md` | 安全域完整发现（证据清单、冲突、未知项） |
| 6 | `/workspace/findings/legal.md` | 法务域完整发现（否决项 #1、条款状态） |
| 7 | `/workspace/findings/finance.md` | 财务域完整发现（阈值评估、否决项 #3 证据状态） |
| 8 | `/workspace/findings/reputation.md` | 舆情域完整发现（事件清单、重复合并数 0） |
| 9 | `/policies/vendor-renewal.md` | 续约政策：一票否决项、三档决定、持续运营章节、non-renewal 要求 |
| 10 | `/policies/vendor-onboarding.md` | 基线一票否决项与风险/证据分离规则 |
| 11 | `/fixtures/sanctions.json` | 制裁名单（空，未命中） |
| 12 | `/fixtures/security_incidents.json` | 撞库事件（high，无独立调查报告） |
| 13 | `/fixtures/adverse_news.json` | 裁员/薪酬削减/融资失败/收购传闻 |
| 14 | `/fixtures/vendor_registry.json` | 主数据：状态 renewal-review、交付延迟、争议、受益所有人 |
