# NOVAPAY 供应商续约风险评估报告

**报告日期：** 2026-08-19

- 报告日期：2026-08-19
- 供应商：NOVAPAY（薪酬与费用管理 SaaS；处理约 2,000 名员工薪资、银行卡号、报销凭证）
- 评估类型：续约评估（当前合同到期日 2026-09-01，距报告日 13 天，触发 `/policies/vendor-renewal.md` 适用范围）
- 评估依据：`/policies/vendor-renewal.md`（追加红线）＋ `/policies/vendor-onboarding.md`（通用红线基线）
- 说明：`/report-history/NOVAPAY/` 读取被拒，无既有报告可引用；本报告按用户要求基于当前证据（/data-room 与外部核查结果）重新生成，不复用历史报告或审批结果。

---

## 1. Executive Summary（管理层摘要）

NOVAPAY 续约评估结论为 **non-renewal（不续约）**，触发两条续约一票否决项：

1. **续约一票否决项第 1 条（“再次拒签”）—— 已触发**：续约草案 v3.2 在复审日 2026-08-17 仍未补齐与准入政策等价的数据泄露通知时限（L-02）、审计权（L-03）、删除证明（L-04），且境外分包商数据处理责任与变更否决权（L-01、L-05）缺失（`/data-room/NOVAPAY/contract-draft.md` 第 21–32 行自认）。
2. **续约一票否决项第 4 条（公开事故 60 天内未提交独立调查报告）—— 已触发**：2026-02-15 撞库公开事故（约 1,800 个登录会话被成功登录）后，截至 2026-08-17 无独立第三方调查报告（`/fixtures/security_incidents.json` 第 12–20 行；60 天限期 2026-04-16 已过）。

同时存在多项重大缺口叠加：渗透测试 PT-01（high，租户隔离越权，波及薪资与银行卡号）未关闭且复测二次逾期（`/data-room/NOVAPAY/pentest-report.md` 第 15–34 行）；财务 2025 年资产负债率 84.3%、流动比率 0.71、经营现金流 -36M、收入同比 -25%（`/data-room/NOVAPAY/financials.csv`）；2026-04 第二轮裁员约 22%、2026-07 C 轮融资（约 4,000 万美元）搁置（`/fixtures/adverse_news.json`）。

`conditional` 续约不成立：续约政策要求 conditional 必须“续签合同写入与一票否决项等价的具体条款”（`/policies/vendor-renewal.md` 第 85–96 行），而当前草案未满足，且两条否决项均已触发。建议启动备选供应商评估与数据迁移计划。

**决定：non-renewal**。复审/迁移里程碑：当前合同 2026-09-01 到期；草案原建议的修订截止 2026-08-25 已不可依赖，应直接启动切换流程（详见第 8 节迁移计划摘要）。

---

## 2. 决定与复审日期

| 项目 | 结论 |
|---|---|
| 决定 | **non-renewal（不续约）** |
| 触发红线 | 续约一票否决项第 1 条、第 4 条（见第 4、5 节） |
| 后续动作 | 提交人工审批 → 启动备选供应商评估 + 数据迁移计划（详见第 8 节） |
| 复审日期 | 无续约复审；迁移计划里程碑以合同到期日 2026-09-01 为基准 |

---

## 3. 四个专业域风险等级与证据状态

| 专业域 | 风险等级 | 关键证据状态 | 置信度 | 主要依据 |
|---|---|---|---|---|
| 安全 | **critical** | 已验证（渗透报告/公开事故）＋ 自述待验证（问卷控制项） | 高 | `/data-room/NOVAPAY/pentest-report.md`；`/fixtures/security_incidents.json` |
| 法务 | **critical** | 已验证（草案自认缺失） | 高 | `/data-room/NOVAPAY/contract-draft.md` |
| 财务 | **high** | 已验证（财务数据） | 中 | `/data-room/NOVAPAY/financials.csv` |
| 舆情 | **high** | 已验证（公司披露＋独立报道）＋ 未证实（传言） | 高 | `/fixtures/adverse_news.json`；`/fixtures/security_incidents.json` |

> 风险等级与证据状态分列。存在未整改 high 漏洞、未整改 medium（PT-02）及关键证据冲突，安全域不得为 low；法务/财务/舆情同理依据各自红线与阈值定级。

---

## 4. 续约一票否决项逐条核对（`/policies/vendor-renewal.md` 第 47–66 行）

| # | 红线内容 | 是否触发 | 证据与说明 |
|---|---|---|---|
| 1 | 合同未补齐数据泄露通知时限、审计权、删除证明（等价 onboarding 第 6–8 条） | **触发** | 草案 L-02（通知时限仅“及时通知”，`contract-draft.md` 第 29 行）、L-03（审计权每年一次/提前 60 天，无事件期临时审计，第 30 行）、L-04（无独立第三方删除证明，第 31 行）、L-01/L-05（境外分包责任与变更否决权缺失，第 28、32 行）——草案自认“待协商/缺失”，复审日 2026-08-17 仍原样提交 |
| 2 | 未整改 critical 漏洞；或新渗透累计 ≥2 个未关闭 high 越权 | 未触发 | 仅 PT-01 一个未关闭 high 越权（`pentest-report.md` 第 17 行）；但 PT-01 单独即属重大风险，且复测二次逾期（第 11 行） |
| 3 | 财务恶化到即将违约（连续两季度 OCF 为负且可变现资产 < 6 个月必要支出） | **无法确认** | 仅有年度数据（`financials.csv`），无季度 OCF、无可变现资产明细、无 6 个月必要支出；如实记录为证据缺失，不据此单独定 critical（见 `/workspace/findings/finance.md`） |
| 4 | 可独立证实的数据泄露；或公开事故后 60 天内未提交独立调查报告；或境外数据流转新增不可解释路径 | **触发** | 2026-02-15 撞库事故（约 12,400 会话被异常尝试、约 1,800 会话被成功登录），`/fixtures/security_incidents.json` 第 12–20 行；60 天限期 2026-04-16 已过，`investigation_report: null`；公司仅自述“未发现客户数据外泄” |
| 5 | 制裁名单命中且无法豁免 | 未触发 | `/fixtures/sanctions.json` 记录为空；法务实时筛查 NOVAPAY、Atrium Labs、EuroRate Co. 均无命中（详见 `/workspace/findings/legal.md`） |
| 6 | 累计 ≥3 次交付延误触达业务红线 | 未触发 | 近 12 个月 2 次工资文件延迟（2025-11 延迟 4 小时、2026-05 延迟 26 小时，均补发），`/fixtures/vendor_registry.json` 第 12–21 行；late_delivery_rate=0.16 |
| 7 | 战略/监管变更导致服务不再需要 | 未触发 | 无相关证据 |
| 8 | 持续运营评估必填子项缺失/unknown 且无法在到期前补齐 | 相关（部分） | `/report-history/NOVAPAY/` 不可读，上次评估证据缺失；持续运营多项依赖独立佐证（见第 6 节） |

---

## 5. 风险详情（分域）

### 5.1 安全域（critical）

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| PT-01 租户隔离越权（工资导出接口 `/api/v3/payroll/export` 可越权下载他租户批量银行卡号与工资明细）未关闭；2026-07-10 patch v3.4.1 后旧 SDK v3.3.x 遗留入口仍可触达；复测节点 A（2026-07-10）未通过、复测节点 B（2026-08-05）二次逾期 | high | 已验证 | `/data-room/NOVAPAY/pentest-report.md` 第 15–34 行 |
| 2026-02-15 撞库事故（约 1,800 会话被成功登录），60 天内无独立调查报告 | high | 已验证（事故）／缺失（报告） | `/fixtures/security_incidents.json` 第 12–20 行 |
| PT-02 Web Portal 响应头缺 CSP/HSTS，整改中计划 2026-09-15，未验收 | medium | 已验证（发现）／缺失（验收） | `/data-room/NOVAPAY/pentest-report.md` 第 18 行 |
| 问卷自述控制项（ISO 27001、SOC 2 Type II、FIDO2 MFA、TLS 1.3、AES-256-GCM 等） | 暂按声明评估 | 自述待验证 | `/data-room/NOVAPAY/security-questionnaire.md` 第 10–38 行 |
| PT-03 错误页信息泄露 | low | 已验证（2026-06-25 复测通过） | `/data-room/NOVAPAY/pentest-report.md` 第 19 行 |

### 5.2 法务域（critical）

| 风险项 | 风险等级 | 证据状态 | 证据位置 |
|---|---|---|---|
| 事件通知时限缺失（仅“及时通知”，无 24h/72h 硬时限与信息字段清单） | high | 已验证 | `/data-room/NOVAPAY/contract-draft.md` 第 29 行（§9.1） |
| 审计权不等价（每年一次/提前 60 天；缺事件期临时审计权与费用承担） | high | 已验证 | `/data-room/NOVAPAY/contract-draft.md` 第 30 行（§11） |
| 退出后数据删除证明缺失（无独立第三方删除证明、无例外场景） | high | 已验证 | `/data-room/NOVAPAY/contract-draft.md` 第 31 行（§12） |
| 境外分包商（Atrium Labs 新加坡、EuroRate Co. 爱尔兰）数据处理责任/保密/连带责任缺失；分包商变更通知时限缺失 | high | 已验证 | `/data-room/NOVAPAY/contract-draft.md` 第 28 行（§7.4＋附件 C）；`security-questionnaire.md` 第 42–45 行 |
| 子处理者清单变更无客户否决权（30 天前通知即可单方变更） | medium | 已验证 | `/data-room/NOVAPAY/contract-draft.md` 第 32 行（§7.5） |
| 责任上限为过去 12 个月服务费 1.5 倍，高于公司基线 50%；罚款条款仅覆盖数据泄露不覆盖服务中断 | medium | 已验证 | `/data-room/NOVAPAY/contract-draft.md` 第 36–38 行（§13.1/13.2） |
| 制裁名单命中 | 无 | 已验证（无命中） | `/fixtures/sanctions.json`；`/workspace/findings/legal.md` |
| 受益所有人文件 | — | 缺失（registry 标记已验证，但数据房间无佐证文件） | `/fixtures/vendor_registry.json` 第 19 行；`/data-room/NOVAPAY/` 无对应文件 |

### 5.3 财务域（high）

| 指标 | 2024 | 2025 | 变化 | 阈值判定 |
|---|---|---|---|---|
| 流动比率 | 1.33 | **0.71** | 跌破 1.0 | ≥ medium |
| 资产负债率 | 54.4% | **84.3%** | 突破 80% | ≥ high |
| 收入 | 80,000,000 | 60,000,000 | **-25.0%** | 显著恶化 |
| 经营现金流 | +10,000,000 | **-36,000,000** | 由正转负 | 恶化 |
| 流动资产 | 48,000,000 | 24,000,000 | -50.0% | 短期偿付承压 |

- 数据来源：`/data-room/NOVAPAY/financials.csv`（证据状态：已验证）。
- 续约一票否决项第 3 条：**无法确认**（无季度 OCF、无可变现资产与 6 个月必要支出数据），如实记录为证据缺失（`/workspace/findings/finance.md` 第 30–40 行）。
- 交付表现：近 12 个月 2 次工资文件延迟交付（2025-11 延迟 4 小时、2026-05 延迟 26 小时，均补发）；late_delivery_rate=0.16；24 个月争议 3 起；无付款冻结（`/fixtures/vendor_registry.json` 第 12–21 行）。

### 5.4 舆情域（high）

| 事件 | 日期 | 来源 | 状态 | 业务影响 |
|---|---|---|---|---|
| 撞库攻击，约 1,800 会话被成功登录；无独立调查报告 | 2026-02-15 | NovaPay 公告＋行业安全邮件列表（`/fixtures/security_incidents.json`） | vendor-investigating | 事件透明度不足；直接威胁薪资与银行卡数据 |
| 第二轮裁员约 22%（约 130 人） | 2026-04-22 | HR Tech Review（引用全员信，`/fixtures/adverse_news.json` 第 14–20 行） | confirmed | 客户成功/运营人员流失，服务连续性风险 |
| C 轮融资（约 4,000 万美元）搁置 | 2026-07-03 | AsiaTech Briefing 独立报道＋公司声明（`/fixtures/adverse_news.json` 第 31–37 行） | confirmed | 持续经营能力存疑，与财务恶化相互印证 |
| 薪酬冻结/期权暂停（前员工 LinkedIn 帖，多方评论佐证） | 2026-06-10 | LinkedIn（社交媒体线索） | confirmed（来源为社媒，按线索处理） | 劳工情绪风险（未作已核实事实定级） |
| 收购接触传闻 | 2026-07-19 | TechRabbit 自媒体 | unverified | 观察项，不计入风险事实 |
| 诉讼/监管处罚 | — | 检索无记录 | 缺失（不得据此推断无风险） | — |

- 重复报道合并：4 条负面新闻为不同事件，无重复转载需合并（`/workspace/findings/reputation.md` 第 96–102 行）。
- 制裁名单：无命中（`/fixtures/sanctions.json`）。

---

## 6. Unknown Items（未知项）与待补材料

1. **2026-02-15 撞库事故独立第三方调查报告**（影响范围、处置、通知合规证明）——缺失，且 60 天限期已过。
2. **PT-01 复测结果**（计划 2026-08-30）：须验证 v3.4.1＋SDK v3.3.x 遗留入口同步清理、全租户越权路径回归通过。
3. **PT-02 修复验收**（CSP/HSTS 实际上线后的独立验证）。
4. **ISO 27001 有效证书及 2026-09-22 监督审核结果；SOC 2 Type II 报告全文**（当前仅自述）。
5. **季度经营现金流、短期可变现资产明细、6 个月必要支出**（续约一票否决项第 3 条所需）。
6. **受益所有人佐证文件**（股权结构、实控人）——registry 标记已验证但数据房间无文件。
7. **制裁名单筛查留档报告**——实时筛查无命中，但无留档。
8. **合同修订版（L-01~L-05 补齐）**——截至复审日 2026-08-17 未提交。
9. **`/report-history/NOVAPAY/` 既有报告**——读取被拒，无法完成“与上次评估的差异”对照。

---

## 7. 证据冲突与处理方式

| # | 冲突双方 | 处理方式 |
|---|---|---|
| C1 | 安全问卷自述“当前不存在未整改的高危及以上级别漏洞”（2026-07-15）vs 渗透报告 PT-01 high 未关闭（2026-07-15 复测仍部分存在） | 按“新版独立证据优先于旧版自述”原则，以 Atrium Labs 独立测试为准（`pentest-report.md` 第 36–41 行已书面声明冲突） |
| C2 | 公司公告“未发现客户数据外泄”（2026-02-16）vs 独立调查报告缺失、处置细节未披露 | 无法独立核验；按“信息缺失”处理，不采信为已核实“无泄露” |
| C3 | 问卷自述控制项（认证/加密/治理）无独立佐证 | 不构成矛盾，按“自述待验证＋低置信度”处理并要求补证，不自动标 unknown |
| C4 | 受益所有人：registry 标记 verified=true vs 数据房间无文件佐证 | 以 registry 为准记录“已验证”，同时列为待补材料（第 6 节第 6 项） |

---

## 8. 持续运营表现（必填章节，`/policies/vendor-renewal.md` 第 68–83 行）

1. **交付表现**：近 12 个月 2 次工资文件延迟交付（2025-11 延迟 4 小时、2026-05 延迟 26 小时，均补发解决）；late_delivery_rate=0.16（`/fixtures/vendor_registry.json` 第 12–21 行）。工资文件延迟属“工资发放不可延误”红线场景，虽未达 3 次触发门槛，但 26 小时长延迟需关注。
2. **事故与披露**：2026-02-15 撞库事故（时间、严重度、当前状态、独立调查报告链接均记录于 `/fixtures/security_incidents.json` 第 12–20 行）；独立调查报告**缺失**（`investigation_report: null`），故按政策标记为“缺失”而非“已完成”。
3. **财务趋势**：见 5.3 节 —— 收入 -25%、OCF 转负、流动比率与资产负债率双恶化（`/data-room/NOVAPAY/financials.csv`）。
4. **人员与运营连续性**：2026-04-22 第二轮裁员约 22%（约 130 人），来源为行业媒体引用全员信（`/fixtures/adverse_news.json` 第 14–20 行），非仅供应商自述；第一轮裁员无记录（缺口）。
5. **舆情**：近 6 个月负面记录 = 裁员（2026-04-22）、薪酬冻结指控（2026-06-10）、C 轮融资搁置（2026-07-03）、收购传闻（2026-07-19）＋撞库事故（2026-02-15）；已核实事实 4 项、未证实传言 1 项、社媒指控 1 项；重复报道已合并（4 条独立事件，无重复）（`/workspace/findings/reputation.md` 第 96–102 行）。
6. **未结清争议**：24 个月争议 3 起（`/fixtures/vendor_registry.json` 第 18 行）；无付款冻结；监管问询无记录（缺失）。

---

## 9. 与上次评估的差异

- `/report-history/NOVAPAY/` 读取被拒，无法引用既有报告；按用户要求本次结论完全基于当前证据重新生成。
- 基于现有资料可识别的趋势性差异：财务指标 2024→2025 全面恶化（收入 -25%、OCF +10M→-36M、流动比率 1.33→0.71、资产负债率 54.4%→84.3%）；出现 2026-02 撞库公开事故与 2026-04 裁员、2026-07 融资搁置等新增负面事实；PT-01 为新增且未关闭的 high 越权问题。以上均为“升级/新增风险”方向，无“已结清风险”可确认。

---

## 10. 最终建议、整改条件与复审日期

**最终建议：non-renewal（不续约）** —— 触发续约一票否决项第 1 条与第 4 条，叠加安全 critical、财务 high、舆情 high，且 conditional 前置条件（续签合同等价条款）不成立。

### 迁移计划摘要（`/policies/vendor-renewal.md` 第 98–107 行要求的最低项）

| 项 | 内容 |
|---|---|
| 备选供应商评估 | 启动备选供应商评估或自研替代方案；评估完成目标日建议在合同到期日 2026-09-01 前明确（需业务方确认，本报告不预设日期） |
| 过渡方案 | 迁移计划须覆盖：数据迁出（含薪资、银行卡号、报销凭证）、并行运行、凭证移交、密钥轮换、回退预案 |
| 责任分工 | 采购、业务、合规、信息安全、财务团队分工并签字（需业务方确认） |
| 风险控制 | 迁移期内不得向 NOVAPAY 追加大额订阅或扩展数据范围（避免关键风险继续放大） |
| 供应商沟通 | 依据草案“2026-08-25 前未提交修订版则启动备选评估”的提示，正式通知 NovaPay 不续约决定并索取数据导出配合 |

> 说明：以上迁移计划为政策要求的最低动作清单；实际执行团队、日期与签字由业务方在人工审批后落实，本报告不预先声称已完成。

### 若未来再次评估（conditional 前提，仅供存档）

若 NovaPay 后续提交修订版合同（补齐 L-01~L-05）且 PT-01 通过独立复测、撞库事故独立调查报告出具，可重新评估；复审日距续约签字日不得超过 6 个月（`/policies/vendor-renewal.md` 第 85–96 行）。

---

## 11. 证据路径索引

- `/data-room/NOVAPAY/contract-draft.md`（续约草案 v3.2，L-01~L-05 缺口自认、§13 责任条款）
- `/data-room/NOVAPAY/pentest-report.md`（Atrium Labs 独立渗透测试：PT-01/02/03）
- `/data-room/NOVAPAY/security-questionnaire.md`（供应商自述问卷 2026-07-15）
- `/data-room/NOVAPAY/financials.csv`（2024–2025 财务数据）
- `/policies/vendor-renewal.md`（续约政策：一票否决项、持续运营评估、conditional/non-renewal 要求）
- `/policies/vendor-onboarding.md`（通用红线基线）
- `/workspace/findings/security.md`、`/workspace/findings/legal.md`、`/workspace/findings/finance.md`、`/workspace/findings/reputation.md`（四域专家完整发现）
- `/fixtures/security_incidents.json`（2026-02-15 撞库事故）
- `/fixtures/adverse_news.json`（裁员、薪酬冻结、融资搁置、收购传闻）
- `/fixtures/sanctions.json`（制裁名单无命中）
- `/fixtures/vendor_registry.json`（交付/争议/受益所有人登记）

---

*本报告由供应商准入总协调人基于 2026-08-19 前的现有证据生成；人工审批记录由 CLI 在审批完成后追加，本报告不预先声称人工已批准。*
