homework/06_vendor_guard/data-room/NOVAPAY.original-2026-08-19

NOVAPAY 原始数据快照（2026-08-19）

本目录为 NovaPay 续约复审项目整改前状态的快照。data-room/NOVAPAY/ 当前内容是整改后版本（可提交审批），而本目录冻结的是为了让教学对比可以 回归到原始的"故意埋入 5 条风险线索"状态。

文件清单

文件	整改前状态
security-questionnaire.md	自述"无未整改高危漏洞"与"近 12 个月无数据泄露"，两条声明均与独立证据冲突
pentest-report.md	PT-01 high 越权访问漏洞复测两次未通过，SDK 旧路径仍可触发
contract-draft.md	草案 v3.2；L-01 至 L-05（境外分包商责任、事件通知时限、临时审计权、删除证明、子处理者变更否决权）全部缺失
financials.csv	收入 80M → 60M（-25%），2025 年 current_ratio≈0.71 / debt_ratio≈84% / OpCF=-36M，现金跑道 ≈ 8 个月
_fixtures-snapshot/security_incidents.json	NovaPay 撞库事件 investigation_report: null，状态 vendor-investigating
_fixtures-snapshot/vendor_registry.json	NovaPay late_delivery_rate=0.16、disputes_24m=3、notes 含 2 次延迟交付
_fixtures-snapshot/adverse_news.json	4 条负面新闻：2026-04 裁员、2026-06 调薪冻结、2026-07 C 轮融资失败、2026-07 收购传闻

配套政策

整改前的所有 5 条故意埋入的风险，分别对应 policies/vendor-renewal.md 8 条一票否决项中的 4 条：

故意埋入风险	对应红线
合同 L-01/L-02/L-04 缺失	第 1 条（再次拒签）
PT-01 复测未通过且 SDK 旧路径可触发	第 2 条（≥ 2 个未关闭 high）
收入 -25%、OpCF=-36M、跑道 8 个月	第 3 条（即将违约）
撞库后独立报告缺失 ≥ 60 天	第 4 条（独立报告缺失 ≥ 60 天）

整改后版本位于 data-room/NOVAPAY/，每条风险都被客观证据替代为 "已整改 + 可验证"，因此按 policies/vendor-renewal.md 评估可达到 renewal 档（无新增缺口，关键控制位仍保持已验证）。