# ACME 供应商准入评估报告

**报告日期：** 2026-08-15

- 供应商：ACME
- 报告日期：2026-08-15
- 评估人：供应商准入总协调人（主管 Agent）
- 证据基准：/data-room/ACME/ 四份资料 + 四名专家 findings（/workspace/findings/）
- 评估政策：/policies/vendor-onboarding.md

---

## 1. Executive Summary（管理层摘要）

ACME 未触发任何一票否决项（制裁本地核验无命中、合同草案已含通知/删除/审计条款、无未整改
Critical 漏洞、受益所有人已识别且财务数据无造假迹象）。但存在多项需在 30 天内整改的中等
风险：渗透测试 PT-02（medium，安全响应头缺失）截至报告日仍无整改完成证明；合同草案多处
条款（严重事件临时审计权缺失、审计频率受限、责任上限过宽）待协商修订；声誉域因数据房无
任何声誉证据、外部检索无法归因，评为 unknown（证据缺失）；外部制裁名单（OFAC/EU/UN）
核验证据缺失。财务域健康（流动比率 1.29/1.23、资产负债率 57.6%/59.0%、收入增长、现金流
连续为正），评 low。综合评 **medium**，建议 **有条件准入（conditional）**，签署/上线前须
完成下述整改条件，并提交人工审批。本报告不包含人工审批结果；审批记录由人工审批流程在
完成后追加。

---

## 2. 四个专业域风险等级

| 专业域 | 风险等级 | 依据摘要 |
|---|---|---|
| 安全 | medium | 存在未整改 medium 项（PT-02）；密钥轮换证据不足（medium）；存在关键 unknown（遗留管理接口访问控制覆盖） |
| 法务 | medium | 无否决项；多项合同条款需 30 天内协商整改；外部制裁核验证据缺失 |
| 财务 | low | 三项阈值均未触发；现金流下滑 25% 与逾期交付 8%、24 个月 2 起争议为观察项 |
| 舆情 | unknown | 数据房无声誉证据；外部检索无可归因的已证实事件；证据缺失、置信度低 |

依据政策（/policies/vendor-onboarding.md 第 28 行"存在未整改 medium 风险或关键 unknown 时，
专业域总体等级不得为 low"），安全域与舆情域不得评为 low，与上述评级一致。

---

## 3. 逐项风险、证据状态与路径

### 3.1 安全域（总体：medium）

| # | 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| S1 | ISO 27001 认证（问卷声明有效期至 2027-03-31） | low | 自述待验证（无证书/认证机构佐证） | /data-room/ACME/security-questionnaire.md |
| S2 | CISO 与年度第三方审计 | low | 自述待验证（无任命文件/审计报告） | /data-room/ACME/security-questionnaire.md |
| S3 | 生产管理员 MFA、季度权限复核、离职 24h 停用 | low | 自述待验证（无 IAM 日志/截图佐证） | /data-room/ACME/security-questionnaire.md |
| S4 | 遗留管理接口访问控制/MFA 覆盖（PT-01 涉及的旧版管理接口） | unknown | 缺失（两份资料均未说明） | /data-room/ACME/pentest-report.md（PT-01） |
| S5 | 传输加密 TLS 1.2+、静态加密 AES-256 | low | 自述待验证（无配置扫描佐证） | /data-room/ACME/security-questionnaire.md |
| S6 | 密钥轮换每 180 天 | medium | 自述待验证（无轮换日志/KMS 审计佐证） | /data-room/ACME/security-questionnaire.md |
| S7 | 桌面演练 2025-08-15 | low | 自述待验证（无演练纪要） | /data-room/ACME/security-questionnaire.md |
| S8 | 客户通知时限 72 小时 | low | 自述待验证（合同草案佐证但未签署生效） | /data-room/ACME/security-questionnaire.md、/data-room/ACME/contract-draft.md |
| S9 | 2025-11-03 员工邮箱钓鱼事件（medium，已关闭，未发现客户数据外泄；问卷未披露） | medium（事件） | 已验证（公开事件记录） | /workspace/findings/security.md（来源：ACME 事件公告） |
| S10 | PT-01 旧版管理接口缺少速率限制（high） | 已整改 | 已验证（2026-04-20 修复并复测） | /data-room/ACME/pentest-report.md |
| S11 | PT-02 部分安全响应头缺失（medium） | medium（未整改） | 已验证（问题存在）；整改完成状态缺失（报告仅载"计划 2026-08-01 完成"，无完成证明） | /data-room/ACME/pentest-report.md |
| S12 | PT-03 错误信息泄露内部组件名（low） | 已整改 | 已验证 | /data-room/ACME/pentest-report.md |
| S13 | 渗透报告为摘要，缺测试范围/方法/原始证据 | 不适用 | 缺失 | /data-room/ACME/pentest-report.md |

### 3.2 法务域（总体：medium）

| # | 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| L1 | 一票否决项核查（制裁/条款/漏洞/财务造假） | 未触发 | 已验证（详见下） | /policies/vendor-onboarding.md |
| L2 | 制裁名单命中：本地核验无命中（records=[]） | low（本地） | 缺失（fixture 非生产名单接口，外部 OFAC/EU/UN 核验未做） | /workspace/findings/legal.md |
| L3 | 受益所有人已识别 | low | 已验证（登记标记；KYC 文件缺失） | /workspace/findings/legal.md |
| L4 | 数据泄露 72 小时通知 | 已明确 | 已验证（问卷与草案两处一致） | /data-room/ACME/contract-draft.md、/data-room/ACME/security-questionnaire.md |
| L5 | 客户审计权（每两年一次、提前 30 天） | medium（受限） | 已验证（草案明示，待协商） | /data-room/ACME/contract-draft.md |
| L6 | 严重事件临时审计权 | medium（缺失） | 缺失（草案未明确） | /data-room/ACME/contract-draft.md |
| L7 | 分包商同等数据保护责任 | 已明确 | 已验证 | /data-room/ACME/contract-draft.md |
| L8 | 合同终止 30 天内删除客户数据 | 已明确 | 已验证 | /data-room/ACME/contract-draft.md |
| L9 | 责任上限为过去 12 个月服务费 | medium（受限） | 已验证（草案明示） | /data-room/ACME/contract-draft.md |
| L10 | 合同整体状态：草案、待协商 | 不适用 | 已验证 | /data-room/ACME/contract-draft.md |

### 3.3 财务域（总体：low）

| # | 指标 | 数值 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|---|
| F1 | 流动比率 | 2024: 1.29 / 2025: 1.23（均 ≥1.0） | low | 已验证（字段完整，计算直接） | /data-room/ACME/financials.csv |
| F2 | 资产负债率 | 2024: 57.6% / 2025: 59.0%（均 <80%） | low | 已验证 | /data-room/ACME/financials.csv |
| F3 | 收入趋势 | 1.28 亿 → 1.34 亿（+4.7%） | low | 已验证 | /data-room/ACME/financials.csv |
| F4 | 经营现金流 | 1200 万 → 900 万（连续两年为正，同比 -25%） | low（观察项） | 已验证 | /data-room/ACME/financials.csv |
| F5 | 主数据：逾期交付率 8%、24 个月 2 起争议、无付款冻结 | — | low（观察项） | 已验证 | /workspace/findings/finance.md（来源：供应商主数据） |
| F6 | 财务造假迹象 | 未发现（两年数据趋势合理） | low | 已验证 | /data-room/ACME/financials.csv |

### 3.4 舆情域（总体：unknown）

| # | 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|---|
| R1 | 已证实负面事件（诉讼/处罚/负面新闻/劳工争议） | 无已证实事件 | 缺失（数据房无声誉资料；外部检索无可归因事件） | /workspace/findings/reputation.md |
| R2 | 2026-02-18 劳工整改协议线索（某地区子公司加班记录） | 未证实线索（实体身份无法确认；来源 URL 为保留域名 example.test） | 缺失/冲突（不可归因，不作结论依据） | /workspace/findings/reputation.md |
| R3 | 声誉总体 | unknown | 缺失（"无负面报道"不等于声誉良好；置信度低） | /workspace/findings/reputation.md |

---

## 4. Unknown Items（未知项）与待补材料

1. 外部制裁名单（OFAC/EU/UN）核验结果——本地 fixture 为空 ≠ 确认无风险（/workspace/findings/legal.md）。
2. 受益所有人身份证明文件（KYC/注册证书）。
3. 遗留管理接口的访问控制/MFA 覆盖说明（安全域关键 unknown，S4）。
4. 渗透测试完整报告（范围、方法、复测证据）与 PT-02 整改完成证明（S11）。
5. 密钥轮换日志/KMS 审计记录（S6）。
6. ISO 27001 证书原件及年度第三方审计报告摘要（S1/S2）。
7. 供应商法律全称、注册地、注册号（实体唯一识别）；近两年诉讼与监管处罚清单或律师证明；劳工整改协议文号核实（R2/R3）。
8. 签署版合同（当前为草案）。

---

## 5. 证据冲突与处理方式

1. **问卷 vs 渗透报告**：未发现直接冲突（/workspace/findings/security.md）。
2. **披露缺口**：2025-11-03 钓鱼事件未在安全问卷中披露（/data-room/ACME/security-questionnaire.md 无该事件）。
   处理：记录为透明度缺口而非冲突，要求供应商补充说明（S9）。
3. **制裁核验**：本地 fixture 返回无命中，但 README 说明 fixture 非生产接口，生产名单未接入。
   处理：按证据缺失对待，不得据此确认无制裁风险，须人工复核外部名单（L2）。
4. **声誉劳工线索**：adverse news 记录存在但 URL 为保留域名、无实体身份信息，无法归因。
   处理：归类为未证实线索，不作为结论依据（R2）。
5. **PT-02 整改状态**：报告载"计划 2026-08-01 完成"，早于本报告日 2026-08-15，但无完成证据。
   处理：不得认定为已整改，按未整改 medium 风险处理，要求提供完成证明（S11）。

---

## 6. 最终建议、整改条件与复审日期

**总体风险等级：medium**
**最终建议：有条件准入（conditional）**——签署合同/上线前须完成以下整改条件：

1. 合同修订（法务域）：补充严重事件临时审计权（建议 48–72 小时内可临时审计/取证）；审计频率上调
   或按风险触发；责任上限排除监管罚金、第三方索赔与故意不当行为/重大过失；数据删除出具书面证明
   并设存续条款；分包商变更须提前通知并获客户同意（/data-room/ACME/contract-draft.md）。
2. 安全整改与证据：PT-02 整改完成证明；遗留管理接口访问控制/MFA 覆盖说明；密钥轮换 KMS/审计日志；
   ISO 27001 证书与年度审计报告；渗透测试完整报告（/data-room/ACME/pentest-report.md、
   /data-room/ACME/security-questionnaire.md）。
3. 合规核验：外部制裁名单（OFAC/EU/UN）核验结果；受益所有人 KYC 文件（/workspace/findings/legal.md）。
4. 声誉尽调：供应商法律全称、注册地、注册号；近两年诉讼/监管处罚清单或律师证明；劳工线索核实
   （/workspace/findings/reputation.md）。
5. 签署版合同归档，其中 72 小时通知条款须为最终确认时限并写明通知内容要素。

**复审日期**：整改条件完成后 30 天内复审，以整改证明提交日为起点；若 30 天窗口届满仍未提交，
将重新评估准入状态（依据 /policies/vendor-onboarding.md 第 14 行 medium 定义）。

**审批说明**：本报告已按流程生成完毕，随后提交人工审批；本报告不含人工审批结果，人工审批记录
由审批流程完成后追加写入。

<!-- vendor-guard-approval:803a534c-cbfa-49f3-8f21-e0b0e1c7bb93 -->
## 人工审批记录

| 字段 | 内容 |
|---|---|
| 审批记录 ID | 803a534c-cbfa-49f3-8f21-e0b0e1c7bb93 |
| 供应商 | ACME |
| 建议准入决定 | conditional |
| 人工处理结果 | 同意执行提交 |
| 人工处理时间 | 2026-08-15T21:26:28+08:00 |
| 操作人（本机账户，未经身份认证） | macbook |
| 工作流线程 | vendor-acme-001 |
| 提交状态 | 提交工具已执行 |
| LangSmith Trace | 未启用或未获取到 |
