# NOVAPAY 供应商续约评估报告

- **报告日期**：2026-08-18
- **评估类型**：续约评估（renewal，非初次准入）
- **供应商**：NOVAPAY（薪酬与费用管理 SaaS 订阅 + 实施/集成服务）
- **评估触发**：现有合同 2026-09-01 到期，距评估日 2026-08-18 仅 14 天，符合
  `/policies/vendor-renewal.md`「现有合同到期日在 60 个自然日以内」的触发条件；
  供应商注册表状态为 `renewal-review`（`/fixtures/vendor_registry.json`，经
  `/workspace/findings/finance.md` 引用）。
- **评估依据政策**：`/policies/vendor-onboarding.md`（基线一票否决项，续约只追加不弱化）、
  `/policies/vendor-renewal.md`（续约追加红线与三档决定）。
- **证据基础**：`/data-room/NOVAPAY/`（安全问卷、渗透报告、合同草案、财务数据）、
  `/workspace/findings/`（安全/法务/财务/舆情四域专家审查）、外部记录（制裁、
  负面新闻、安全事故、供应商注册表，经专家 findings 引用）。

---

## 1. Executive Summary（管理层摘要）

**建议决定：non-renewal（不续约），整体风险等级 critical。**

本报告基于 2026-08-18 时点全部现有证据重新评估，未引用历史报告或既有审批结果
（`/report-history/NOVAPAY/` 为空，无历史报告可引用；用户明确要求从当前证据生成）。

续约一票否决项共触发 **三项**：

1. **合同条款未补齐等价内容（续约否决 #1＝"再次拒签"）**：合同草案 v3.2
   （2026-07-22 提交，复审日期 2026-08-17）仍缺失数据泄露通知时限（L-02）、
   严重事件临时审计权（L-03）、独立数据删除证明（L-04），并缺境外分包商责任
   （L-01）与子处理者变更一票否决权（L-05）。证据：`/data-room/NOVAPAY/contract-draft.md`。
2. **公开事故后未在 60 天内提交独立调查报告（续约否决 #4）**：2026-02-15 撞库事件
   （约 12,400 个会话遭异常强制登录尝试、约 1,800 个会话被成功登录）为公开事故
   （NovaPay 2026-02-16 公开公告 + 行业安全邮件列表），截至 2026-08-17 已逾 6 个月，
   `investigation_report` 仍为 null、状态 `vendor-investigating`。证据：
   `/fixtures/security_incidents.json`（经 `/workspace/findings/security.md` 引用）。
3. **持续运营评估必填子项缺失且无法在合同到期前补齐（续约否决 #8）**：事故独立调查
   报告这一必填子项标记为「缺失」（按续约政策不得以"已完成"替代），且事件已发生 6 个月、
   距合同到期仅 14 天，无法在到期前补齐。证据：`/workspace/findings/security.md`、
   `/workspace/findings/reputation.md`。

此外存在的重大风险（非单独否决项，但支撑 non-renewal）：

- **未关闭 high 越权漏洞 PT-01**：工资导出接口 `/api/v3/payroll/export` 缺少租户级
  授权校验，可跨租户访问批量银行卡号与工资明细；2026-07-10 patch v3.4.1 未完全修复，
  2026-07-15 独立复测确认白盒路径仍可触达，复测节点 B（2026-08-05）第二次逾期。
  独立渗透机构 Atrium Labs 明确建议：PT-01 关闭前，任何含受保护薪资与银行卡号数据的
  新租户接入应被推迟。证据：`/data-room/NOVAPAY/pentest-report.md`。
- **财务趋势严重恶化**：2025 年收入 -25%（8,000 万→6,000 万）、经营现金流由
  +1,000 万转 -3,600 万、流动比率 1.33→0.71、资产负债率 54.4%→84.3%；外部已验证
  事件包括第二轮裁员 22%（2026-04-22）与 C 轮 4,000 万美元融资搁置（2026-07-03）。
  证据：`/data-room/NOVAPAY/financials.csv`、`/workspace/findings/finance.md`。
- **交付红线邻近**：近 12 个月 2 次工资文件延迟交付（2025-11 延迟 4 小时、
  2026-05 延迟 26 小时），未达 ≥3 次否决门槛但方向不利。证据：
  `/workspace/findings/finance.md`（引用 `/fixtures/vendor_registry.json`）。

**后续动作**：按 `/policies/vendor-renewal.md` 第 98–107 行 non-renewal 最低要求执行——
启动备选供应商评估、制定含数据迁出/并行运行/凭证移交/密钥轮换/回退预案的迁移计划、
明确切换团队分工；迁移期内不得向 NOVAPAY 追加大额订阅。

---

## 2. 决定与复审日期

| 项目 | 内容 |
|---|---|
| 建议决定 | **non-renewal**（不续约） |
| 整体风险等级 | **critical**（触发续约一票否决项 #1、#4、#8） |
| 默认后续动作 | 启动备选供应商评估 + 数据迁移计划（不提交续约审批） |
| 复审/重新评估前提 | 仅当下列客观证据全部到位后方可重新评估：① 撞库事件独立第三方调查报告；
② PT-01 服务端+SDK 清理后由独立机构复测通过并关闭；③ 合同补齐 L-01~L-05 等价条款；
④ 财务季度现金流与 6 个月必要支出数据补齐且不再恶化；⑤ 备选评估未通过或迁移无法按期完成时，
可按业务应急保留路径提请人工豁免（本报告不预先假定任何人工审批结果） |

> 合同草案第 48–49 行载明「如 NovaPay 在 2026-08-25 之前未提交修订版本，建议启动
> 备选供应商评估」；即使修订版在 2026-08-25 前提交，续约否决 #4（事故独立调查报告缺失）
> 与财务/供应连续性风险仍独立成立，本报告结论不因此改变。

---

## 3. 四个专业域风险等级与证据状态

| 专业域 | 风险等级 | 证据状态 | 关键证据路径 |
|---|---|---|---|
| 安全 | **critical** | 冲突 / 已验证 / 缺失 并存 | `/data-room/NOVAPAY/pentest-report.md`、`/data-room/NOVAPAY/security-questionnaire.md`、`/workspace/findings/security.md` |
| 法务 | **critical** | 已验证（草案原文缺失项） | `/data-room/NOVAPAY/contract-draft.md`、`/workspace/findings/legal.md` |
| 财务 | **high** | 自述待验证（CSV）/ 已验证（外部新闻）/ 缺失（季度与支出数据） | `/data-room/NOVAPAY/financials.csv`、`/workspace/findings/finance.md` |
| 舆情 | **high** | 已验证（撞库、裁员、融资搁置）/ 线索（LinkedIn 帖、收购传闻） | `/workspace/findings/reputation.md` |

> 依 `/policies/vendor-renewal.md`：critical＝触发一票否决项 → non-renewal。存在未整改
> medium 风险（PT-02）与关键 unknown（事故调查报告、季度现金流），任何专业域总评均
> 不得为 low（本报告亦无 low 评级）。

### 3.1 安全域关键风险

| 编号 | 风险项 | 风险等级 | 证据状态 | 证据路径 |
|---|---|---|---|---|
| S-1 | PT-01：工资导出接口缺租户级授权校验，可越权访问其他租户批量银行卡号与工资明细；2026-07-15 复测未通过，**未关闭**（复测节点 B 第二次逾期） | **high** | **已验证**（独立第三方 Atrium Labs 渗透+复测） | `/data-room/NOVAPAY/pentest-report.md` |
| S-2 | 2026-02-15 撞库事件：约 1,800 会话被成功登录；公开事故后 6 个月无独立调查报告 → 触发续约否决 #4 | **high（否决级）** | **已验证**（外部事故记录；`investigation_report: null`） | `/workspace/findings/security.md`（引用 `/fixtures/security_incidents.json`） |
| S-3 | 问卷自述「当前不存在未整改的高危及以上级别漏洞」（2026-07-15）与 PT-01 未关闭冲突 | high（从严按独立证据） | **冲突**（以独立渗透报告为准） | `/data-room/NOVAPAY/security-questionnaire.md`、`/data-room/NOVAPAY/pentest-report.md` |
| S-4 | 问卷自述「近 12 个月未发生客户数据泄露」与撞库事件冲突；「无数据外泄」声明无独立佐证 | high（从严） | **冲突/自述待验证** | `/data-room/NOVAPAY/security-questionnaire.md`、`/workspace/findings/security.md` |
| S-5 | PT-02：Web Portal 静态资源缺 CSP/HSTS 响应头，整改计划 2026-09-15 | **medium** | **已验证** | `/data-room/NOVAPAY/pentest-report.md` |
| S-6 | 合同承诺「各租户数据物理与逻辑隔离」与 PT-01 越权事实矛盾 | high（从严） | **冲突** | `/data-room/NOVAPAY/contract-draft.md`、`/data-room/NOVAPAY/pentest-report.md` |
| S-7 | ISO 27001 / SOC 2 Type II 认证仅问卷声明，未提供证书/报告原文 | medium | **自述待验证** | `/data-room/NOVAPAY/security-questionnaire.md` |

### 3.2 法务域关键风险

| 编号 | 风险项 | 风险等级 | 证据状态 | 证据路径 |
|---|---|---|---|---|
| L-01 | 境外分包商（Atrium Labs 新加坡节点、EuroRate Co. 爱尔兰）数据处理责任/保密/连带责任与变更通知时限缺失 | high | **已验证（缺失）** | `/data-room/NOVAPAY/contract-draft.md` |
| L-02 | 事件通知无最长时限（仅「确认事件后及时通知」），缺 PIPL 24h/72h 口径与通知信息字段清单 → 触发否决 #1 | **critical（否决级）** | **已验证（缺失）** | `/data-room/NOVAPAY/contract-draft.md` |
| L-03 | 审计权受限：每年 1 次、提前 60 天；无严重事件临时审计权、无配合与费用承担条款 → 触发否决 #1 | **critical（否决级）** | **已验证（缺失）** | `/data-room/NOVAPAY/contract-draft.md` |
| L-04 | 退出后删除仅约定 90/180 天时限，无独立第三方或公证删除证明、无例外与保留期限 → 触发否决 #1 | **critical（否决级）** | **已验证（缺失）** | `/data-room/NOVAPAY/contract-draft.md` |
| L-05 | 子处理者清单变更：NovaPay 可 30 天前通知后单方变更，无客户一票否决权 | high | **已验证（缺失）** | `/data-room/NOVAPAY/contract-draft.md` |
| L-06 | 责任上限 1.5 倍（草案 13.1 条）高于公司基线 50%；罚款条款不覆盖服务中断（13.2 条） | medium（非否决项，必改谈判项） | **已验证（条款冲突）** | `/data-room/NOVAPAY/contract-draft.md` |
| 制裁 | 制裁名单检索无命中 | — | **已验证** | `/workspace/findings/legal.md`（引用 `/fixtures/sanctions.json`） |
| 受益所有人 | `beneficial_owner_verified: true` | — | **已验证** | `/workspace/findings/legal.md`（引用 `/fixtures/vendor_registry.json`） |

### 3.3 财务域关键风险

| 编号 | 风险项 | 风险等级 | 证据状态 | 证据路径 |
|---|---|---|---|---|
| F-1 | 2025 流动比率 0.71（<1.0），营运资本为负（24M/34M） | 至少 medium | **自述待验证** | `/data-room/NOVAPAY/financials.csv`、`/workspace/findings/finance.md` |
| F-2 | 2025 资产负债率 84.3%（>80%），逼近资不抵债（86M/102M） | 至少 **high** | **自述待验证** | `/data-room/NOVAPAY/financials.csv`、`/workspace/findings/finance.md` |
| F-3 | 经营现金流由 +1,000 万（2024）转 -3,600 万（2025）；季度口径缺失，续约否决 #3 无法证实亦无法排除 | high（趋势）/unknown（季度事实） | **缺失**（季度数据） | `/data-room/NOVAPAY/financials.csv`、`/workspace/findings/finance.md` |
| F-4 | 外部已验证：裁员 22%（2026-04-22）、C 轮 4,000 万美元融资搁置（2026-07-03）、取消调薪/年终奖（2026-06-10，LinkedIn 线索）——均指向现金流持续承压 | high | **已验证**（confirmed 记录） | `/workspace/findings/finance.md`、`/workspace/findings/reputation.md` |
| F-5 | 近 12 个月 2 次工资文件延迟交付（2026-05 延迟 26 小时） | medium（红线邻近） | **已验证**（注册表主数据） | `/workspace/findings/finance.md`（引用 `/fixtures/vendor_registry.json`） |

### 3.4 舆情域关键风险

| 编号 | 风险项 | 风险等级 | 证据状态 | 证据路径 |
|---|---|---|---|---|
| R-1 | 撞库事件（2026-02-15）：约 1,800 会话被成功登录；无独立调查报告，「无外泄」仅为单方声明 | **critical**（数据敏感性×无独立核实） | **已验证**（事件事实）/自述待验证（无外泄声明） | `/workspace/findings/reputation.md` |
| R-2 | 第二轮裁员约 22%（约 130 人，2026-04-22），CEO 承认收入增长低于预期 | high | **已验证**（行业媒体+全员信） | `/workspace/findings/reputation.md` |
| R-3 | C 轮融资 4,000 万美元搁置（2026-07-03），CFO 确认、未披露现金流 | high | **已验证**（财经媒体+公司声明） | `/workspace/findings/reputation.md` |
| R-4 | 取消年度调薪/年终奖、暂停期权（2026-06-10，LinkedIn 前员工帖） | medium（线索） | **自述待验证**（仅社交媒体线索） | `/workspace/findings/reputation.md` |
| R-5 | 收购传闻（2026-07-19，自媒体 TechRabbit，官方不予置评） | unknown（未证实） | **缺失/未证实** | `/workspace/findings/reputation.md` |

---

## 4. 持续运营表现（续约必填章节）

> 各子项引用最新事实而非历史最佳状态；无独立佐证的声明按「缺失/自述待验证」记录。

### 4.1 交付表现
- 近 12 个月延迟交付率 16%（`late_delivery_rate: 0.16`）。
- 最近 3 次交付事件：2025-11 工资文件延迟 4 小时（补发解决）、2026-05 工资文件延迟
  26 小时（补发解决）；另一项以 disputes_24m=3 计，未逐项披露。
- 判断：工资发放属不可延误业务场景（政策红线 #6 的触发场景），26 小时延迟已邻近红线，
  虽未达 ≥3 次否决门槛，但趋势不利。
- 证据：`/workspace/findings/finance.md`（引用 `/fixtures/vendor_registry.json`）。

### 4.2 事故与披露
- 2026-02-15 撞库事件（high）：约 12,400 会话遭异常强制登录尝试、约 1,800 会话被成功
  登录；2026-02-16 NovaPay 公开声明「未发现客户数据外泄」；截至 2026-08-17 **无独立
  第三方调查报告**（`investigation_report: null`），未披露被强制登录账户来源 IP 分布
  与处置细节，状态 `vendor-investigating`。
- 判定：事件事实**已验证**（公司公告+行业邮件列表）；调查报告**缺失**（按续约政策标
  「缺失」而非「已完成」）→ 触发否决 #4、#8。
- 证据：`/workspace/findings/security.md`、`/workspace/findings/reputation.md`
  （引用 `/fixtures/security_incidents.json`）。

### 4.3 财务趋势
- 收入：8,000 万（2024）→ 6,000 万（2025），**-25%**。
- 经营现金流：+1,000 万 → -3,600 万，**由正转负**（-4,600 万）。
- 流动比率：1.33 → 0.71（跌破 1.0）；资产负债率：54.4% → 84.3%（突破 80%）。
- 外部佐证（已验证）：2026-04-22 裁员 22%、2026-06-10 取消调薪/年终奖、2026-07-03
  C 轮融资搁置——方向与财务数据一致（收入下滑、现金流承压）。
- 判定：趋势全面恶化，财务域 high；季度现金流与 6 个月必要支出数据**缺失**，否决 #3
  无法证实亦无法排除。
- 证据：`/data-room/NOVAPAY/financials.csv`、`/workspace/findings/finance.md`。

### 4.4 人员与运营连续性
- 2026-04-22 第二轮裁员约 22%（约 130 人），集中于销售与运营部门——**已验证**（行业
  媒体引用全员信）；影响客户成功与实施支持资源。
- 2026-06-10 取消年度调薪/年终奖、暂停部分期权（LinkedIn 前员工帖+评论）——仅社交
  媒体线索，**自述待验证**。
- 信息安全负责人（CISO Wei Zhang）与 DPO（Lin Yu）为问卷自述，无外部独立佐证。
- 判定：组织收缩与关键岗位稳定性风险中等偏高，叠加财务压力。
- 证据：`/workspace/findings/reputation.md`、`/data-room/NOVAPAY/security-questionnaire.md`。

### 4.5 舆情（近 6 个月）
- 已核实事实：撞库事件（2026-02-15，公司公告+邮件列表）、第二轮裁员 22%
  （2026-04-22，HR Tech Review+全员信）、C 轮融资搁置（2026-07-03，AsiaTech Briefing
  +公司声明）。重复报道合并数：0（检索结果与 fixtures 一致，无重复需合并）。
- 未证实传言：收购传闻（2026-07-19，TechRabbit 自媒体）——不计入结论，仅观察。
- 判定：舆情域 high。
- 证据：`/workspace/findings/reputation.md`。

### 4.6 未结清争议
- disputes_24m = 3（供应商注册表主数据，**已验证**），明细未披露。
- 撞库事件处置（`vendor-investigating`）为未结清安全争议，且无独立调查报告。
- 合同草案 L-01~L-05 为未结清谈判项（复审日期 2026-08-17 已过，未见修订版）。
- 证据：`/workspace/findings/finance.md`、`/workspace/findings/legal.md`、
  `/data-room/NOVAPAY/contract-draft.md`。

---

## 5. 与上次评估的差异

- `/report-history/NOVAPAY/` 目录为空：**无上次评估报告**。按用户要求「从当前证据重新
  生成报告，不得复用历史报告或审批结果」，本报告基于 2026-08-18 时点全部现有证据
  （数据房 + 外部记录 + 四域专家审查）评估，不引用任何历史报告或既有审批结果。
- 因无历史基线，本报告将全部现存风险列为评估期风险：**新增/现存风险**为 S-1~S-7、
  L-01~L-06、F-1~F-5、R-1~R-5（见第 3 节）；无「已结清风险」可核销。
- 升级风险：撞库事件由「供应商调查中」持续 6 个月未闭环，升级为否决级事项（#4、#8）。

---

## 6. Unknown Items（未知项）与待补材料

| 未知项 | 状态 | 影响 | 待补材料 |
|---|---|---|---|
| 撞库事件独立第三方调查报告（含处置细节、来源 IP 分布、影响面评估） | **缺失** | 触发否决 #4/#8，核心 | 独立调查报告 |
| PT-01 服务端+SDK（v3.3.x 遗留入口）清理后的独立复测通过报告 | **缺失**（计划 2026-08-30 复测） | PT-01 关闭前不得新增含薪资数据租户 | Atrium Labs 复测通过报告 |
| 修订版合同 L-01~L-05（通知时限/审计权/删除证明/分包商责任/变更否决） | **缺失**（2026-08-25 期限未见证交） | 触发否决 #1 | 修订版合同 |
| 季度经营现金流与 6 个月必要支出数据 | **缺失** | 否决 #3 无法证实亦无法排除 | 季度财务数据 |
| ISO 27001 证书与 SOC 2 Type II 报告原文 | **缺失**（仅问卷声明） | 认证真实性待验证 | 证书/报告原文 |
| 收购传闻、取消调薪/年终奖 | 未证实/线索 | 观察项，不单独作结论 | — |
| `/report-history/NOVAPAY/` 历史报告 | **缺失** | 无上次评估基线可引用 | — |

---

## 7. 证据冲突与处理方式

1. **问卷「无未整改高危漏洞」 vs 渗透报告 PT-01（high，未关闭）**：问卷填写日
   2026-07-15 与 Atrium Labs 同日复测结论直接冲突。处理：按 `/policies/vendor-renewal.md`
   第 1 条「独立证据优先」，以独立渗透报告为准，风险按 high 计；渗透报告自身亦注明
   「以本次独立测试结果为准」。不得以 unknown 回避。
   证据：`/data-room/NOVAPAY/security-questionnaire.md`、`/data-room/NOVAPAY/pentest-report.md`。
2. **问卷「近 12 个月未发生客户数据泄露」 vs 撞库事件（约 1,800 会话被成功登录）**：
   事件事实已验证；「未发现数据外泄」为 NovaPay 单方声明、无独立调查报告佐证。处理：
   事件按外部记录从严评分，「无外泄」声明标「自述待验证」。
   证据：`/data-room/NOVAPAY/security-questionnaire.md`、`/workspace/findings/security.md`。
3. **合同「各租户数据物理与逻辑隔离承诺」 vs PT-01 越权访问事实**：处理：以独立渗透
   结果为准，承诺不成立。
   证据：`/data-room/NOVAPAY/contract-draft.md`、`/data-room/NOVAPAY/pentest-report.md`。
4. **责任上限 1.5 倍（草案 13.1 条） vs 公司基线（1 倍）**：条款冲突，属必改谈判项，
   非一票否决项。
   证据：`/data-room/NOVAPAY/contract-draft.md`、`/workspace/findings/legal.md`。
5. **专家间分歧（法务 vs 安全，关于续约否决 #4 是否触发）**：法务初审仅按「可被独立证据
   证实的数据泄露」一条判断为未触发；政策原文为「数据泄露 **或** 公开事故后 60 天内未
   提交独立调查报告 **或** 新增不可解释跨境路径」三类并列条件。撞库为公开事故且超 6 个月
   无独立调查报告，满足第二类条件 → 否决 #4 **触发**。处理：采信安全域结论，法务报告
   中的该行判定更正为「触发」，其否决 #1 判定与之一致。
   证据：`/policies/vendor-renewal.md`（否决项 #4）、`/workspace/findings/security.md`、
   `/workspace/findings/legal.md`。

---

## 8. non-renewal 迁移计划摘要与整改前提（最低要求）

按 `/policies/vendor-renewal.md` 第 98–107 行，`non-renewal` 必须满足：

1. **备选供应商评估**：已触发启动（合同草案 2026-08-25 期限条款 + 本报告决定）；
   建议评估完成目标日 2026-10-31，覆盖薪酬/费用 SaaS 同能力供应商或自研替代方案。
2. **迁移计划**（2026-09-01 合同到期前落地过渡方案）：数据迁出（约 2,000 名员工
   工资/银行卡/报销凭证，含删除证明获取）、并行运行、凭证移交、密钥轮换、回退预案；
   迁移完成目标日建议 2026-11-30。
3. **团队分工**：采购、业务、合规、信息安全、财务五方签字确认。
4. **迁移期约束**：不得向 NOVAPAY 追加大额订阅或延长现有订阅至迁移完成之后；
   迁移期内持续监控工资发放与事故披露，避免关键风险继续放大。

**整改前提（若业务应急保留，需人工豁免否决项后方可进入 conditional 谈判，本报告不
预先假定任何人工审批结果）**：
- 60 天内提交撞库事件独立第三方调查报告（客观证据，非自述）。
- PT-01 服务端+SDK 清理后由独立机构复测通过并关闭；PT-02 在 2026-09-15 前关闭。
- 合同补齐 L-01~L-05，写入与 `/policies/vendor-onboarding.md` 一票否决项等价的具体
  条款；责任上限下调至基线。
- 提供 ISO 27001/SOC 2 报告原文；补齐季度现金流与 6 个月必要支出数据。
- 若重新评估通过，复审日距续约签字日不超过 6 个月，且整改以客观证据验证。

---

## 9. 证据路径清单（可追溯）

1. `/data-room/NOVAPAY/pentest-report.md`（PT-01/PT-02/PT-03、Atrium Labs 结论）
2. `/data-room/NOVAPAY/contract-draft.md`（L-01~L-05、责任上限、续约决策依据）
3. `/data-room/NOVAPAY/security-questionnaire.md`（问卷自述、子处理者、审计权）
4. `/data-room/NOVAPAY/financials.csv`（2024/2025 财务数据）
5. `/workspace/findings/security.md`（安全域完整审查）
6. `/workspace/findings/legal.md`（法务域完整审查、否决项逐条核对）
7. `/workspace/findings/finance.md`（财务域完整审查、比率计算）
8. `/workspace/findings/reputation.md`（舆情域完整审查、事件分级）
9. `/policies/vendor-onboarding.md`（基线一票否决项）
10. `/policies/vendor-renewal.md`（续约追加红线、三档决定、non-renewal 最低要求）
