云集中的风险：依赖、锁定、退出-评估项、合同条款与退出预案

云集中的风险：依赖、锁定、退出——评估项、合同条款与退出预案本文档提供：表1云依赖登记册；表2暴露度与可替代性矩阵；表3关键合同条款逐项核验表；表4退出预案核心要素与触发条件表；表5退出预案桌面推演记录表；表6监测信号与升级触发表；四条决策规则与一处矛盾权衡；某支付清算功能上云项目的合同改造与管辖权事件处置案例；三套场景操作序列；输出前自查表。2026-11-09这一节的标题读完读者能拿到什么这一节在全文中的功能一、登记册一行对一个业务功能，服务商信息填在列里表1登记册，含依赖层级、可替代性评级、退出触发条件逐功能识别云依赖，为后续评估建行二、暴露度和可替代性分两列打分，高暴露低成熟排前面表2矩阵与优先级映射规则把依赖深度转成可比较的处理顺序三、合同六类条款逐条核验，不合格的写补谈判要价表3六类条款合格条件、不合格形态与要价模板在签字前识别锁定，在运行中补谈判四、预案四个阶段写到谁在几小时内做什么表4保全、迁移、切换、验证四阶段要素与依赖期控制把退出从原则转成可执行的时间线五、桌面推演暴露取数链路的断点，断点写处置动作表5推演记录表与卡住位置处置用一次推演验证预案可执行性六、依赖集中的服务商进监测表，信号达到阈值联动预案表6监测信号与升级路径确定何时启动退出评估七、支付清算功能上云：合同两轮改造和一次管辖权事件含合同审查转折与预案触发的案例、变量表展示评估、合同、预案在真实判断中的联动八、提交审计或委员会前逐项打勾三套场景操作序列与输出前自查表确认每项控制有输入、动作和判定按第一列在正文找对应那节，按第二列判断这节有没有读者要的东西，按第三列判断这节是否对应读者当前卡住的位置。一、登记册一行对一个业务功能，服务商信息填在列里云集中的风险落在业务功能对特定云服务的依赖上。同一个服务商承载支付清算、客户认证、数据分析三个功能，三个功能的退出难度和中断后果各不相同。登记册按业务功能拆行，把服务商、服务层级、部署模式、合同到期日填在对应列里，每个功能单独评估可替代性和退出触发条件。金融机构上云的监管重点覆盖采购、迁移、运行和退出四个阶段。信息科技外包监管要求识别集中度风险，关注同一服务商是否承载多个重要系统、底层资源是否集中于同一云平台或同一区域，以及中断或服务商经营变化时是否存在可行的替代方案。登记册要做的事，是把每个依赖云的业务功能单独建行，填到可替代性和退出触发条件能在后续表格中被判定。成品块：输入取“业务功能清单.xlsx”的功能名称与关键性等级列、“云服务合同台账.xlsx”的服务商、服务类型、合同到期日列、“系统架构图”中的部署模式与区域信息；动作是逐功能识别其依赖的云服务层级（IaaS/PaaS/SaaS/MaaS）、部署模式（公有/私有/混合/团体云）、可替代方案数量，在表1中填写依赖类型、可替代性评级（高/中/低/无）和退出触发条件；输出为表1依赖登记册；判定条件是每个关键或重要业务功能至少有一行，每行有依赖类型、可替代性评级和一条可观察的退出触发条件。可替代性评级填“无”的行，退出触发条件列要写出一个具体触发点（哪个指标、连续多久、达到什么值），这一列空着的行先把条件补上，补完再参与优先级排序。表1云依赖登记册（示例行为某金融机构3个业务功能）功能编号业务功能关键性云服务层级部署模式依赖的服务商/产品可替代方案数量可替代性评级退出触发条件BF-01支付清算指令处理关键PaaS（消息队列+函数计算）公有云专属区域服务商A的MQ和函数计算0个同层级替代低服务商A在本区域可用性连续两个季度低于SLA下限，或合同终止通知期少于90天BF-02客户身份核验重要SaaS（人脸核验API）公有云多租户服务商B的核验API1个（服务商C同层级API，需改造接口）中服务商B的核验误报率连续两月超过合同阈值，或数据位置变更至境外未提前通知BF-03内部报表生成一般IaaS（虚拟机+对象存储）私有云（自控机房）自建，服务商提供硬件维保2个（可迁移至服务商C或回退本地存储）高硬件维保响应时间连续两季超过48小时表1中BF-01的可替代性评级为“低”，原因是函数计算和消息队列使用了服务商A的专有接口，迁移到其他云需要重写调用层。该行的退出触发条件写成了可观察判定：可用性连续两季度低于SLA下限，或合同终止通知期少于90天。这两个条件在表6中对应监测信号，在表4中对应预案启动。二、暴露度和可替代性分两列打分，高暴露低成熟排前面集中度风险的数量口径回答不了“哪个功能先处理”。单一服务商承载多个关键功能，锁定的后果被放大；多云策略如果各云之间接口不互通，切换成本没有下降，只是分散了合同。评估动作把暴露度（该功能中断或退出的后果）和可替代性成熟度（退出路径是否已建好、测试过）分成两列打分，两者之间的差距决定优先级。BCG的框架把暴露度与成熟度分开评分，高暴露低成熟的风险排在已经有所准备的高可见风险之前。成品块：输入取表1的关键性列和可替代性评级列、表3的合同条款核验结果、表4预案的存在状态；动作是按表2对每个功能分别评暴露度（高/中/低）和可替代性成熟度（高/中/低），将两者组合映射到优先级；输出为表2暴露度-可替代性矩阵；判定条件是每个功能有一对暴露度和成熟度评分，评分注明取数位置（来自哪张表的哪一列），组合结果有对应的处置动作。成熟度评分缺合同或预案证据支撑的，先补证据再评分。表2暴露度与可替代性矩阵暴露度可替代性成熟度优先级处置动作示例行高（关键功能，中断直接影响客户资金或监管报送）低（无替代方案或替代方案需6个月以上改造）P1本季度内完成合同退出条款补谈判和预案初稿；评估临时人工或规则替代路径BF-01：支付清算，暴露度高、成熟度低，P1高中（有替代方案但需接口改造，改造周期3—6个月）P212个月内完成一次桌面推演；替代方案的合同预备到位BF-02：身份核验，暴露度高、成熟度中，P2高高（替代方案已验证，切换可在30天内完成）P3年度推演确认预案仍有效—中或低低P2合同条款补谈判优先于预案；至少建立数据导出路径—中或低中或高P3常规监测BF-03：内部报表，暴露度低、成熟度高，P3矩阵的评分证据要能追溯。暴露度评“高”，对应表1关键性列为“关键”且该功能没有人工替代路径；成熟度评“低”，对应表3中终止权、过渡协助、数据导出格式三项里至少两项不合格，并且表4预案尚未建立。评分从表1、表3、表4的判定结果中取数组合。同一服务商在表1中承载两个以上P1/P2功能时，该服务商在表6的监测中列为集中度关注对象。三、合同六类条款逐条核验，不合格的写补谈判要价锁定风险在合同里集中在退出相关条款上。Oracle的标准云服务协议提供了一个可对照的基线：没有便利终止权，三年承诺期内退出只能援引重大违约（诉讼路径，不是采购路径）；基础合同不固定数据检索期限，只说“在服务规格中指定的检索期内”，而该规格可由供应商单方修订；现行政策把该期限设为服务期结束后不少于60天，第61天删除或使其不可恢复；检索期内云服务SLA不适用，环境不得用于生产活动；供应商自己把这段称为“软终止期”，设计意图是从已经关停的系统里把文件拉出来，不是带性能义务的过渡服务。把60天假设为“有60天可用运行时间”的迁移计划，对条款的理解与条款原文有偏差。合同核验按六类条款逐项判定，每类写出合格条件和取数位置。核验对象是拟签署或已签署的云服务合同，核验时点分签约前和年度复核两次。成品块：输入取云服务合同文本（主协议、SLA附件、服务规格附件、数据处理附件）、表1的依赖功能清单；动作是对每个P1/P2功能的合同逐条核验表3六类条款，在“合格/不合格/缺失”三档中判定，记录条款位置和修订建议；输出为表3合同条款核验表；判定条件是每个P1/P2功能对应的合同六类条款均有判定，不合格或缺失的条款写出具体补谈判要价。核验未完成的合同，签署或续约流程暂不启动。表3关键合同条款逐项核验表条款类别合格条件（肯定式）不合格形态示例补谈判要价或替代动作示例行（BF-01合同）终止权客户方享有至少提前30天通知的便利终止权，且不因行使该权利承担剩余期限费用无便利终止权，仅重大违约可终止要求增加便利终止权；供应商拒绝时，争取“最低跑道”条款：任何服务暂停或终止前不少于90天书面通知标准合同无便利终止权，补谈判要价：90天最低跑道加年费按比例退还过渡协助合同写明终止或到期后供应商提供不少于6个月的过渡协助，含数据迁移、配置导出、接口文档交付，费用承担方明确只写“合理协助”，无期限、无费用归属要求写明协助时长、交付物清单和费用上限；SaaS场景下代码托管效用有限，重点放在数据导出和过渡协助过渡协助条款空白，补谈判要价：6个月、交付物清单、费用由供应商承担数据导出格式与成本合同写明导出格式为开放、机器可读格式（Parquet/CSV/JSON加完整元数据），导出在供应商标准成本内不另行收费，迁出费有明确单价或封顶格式承诺为“可下载的报告”，不承诺底层交易记录和审计轨迹；迁出费无上限要求格式清单和字段级说明；迁出费设封顶或分阶段取消；欧盟数据法2027年1月起切换费归零的参照效应可用作谈判依据数据导出条款只提“报告可下载”，补谈判要价：Parquet格式加元数据加迁出费年度封顶审计权客户方或独立审计人有权访问、检查和审计服务商的控制措施，含现场检查，通知期不超过30天，频率每年至少一次审计权需供应商逐次批准，或仅接受供应商自评报告要求写入“年度审计权加事件触发审计权”；供应商以保密为由限制时，争取第三方审计报告加补充现场问答标准合同审计权限于供应商自评问卷，补谈判要价：年度现场审计加事件触发审计数据位置与变更通知合同写明数据存储和处理的具体区域，变更前不少于60天通知，变更需客户书面同意数据位置为“供应商选择的区域”，变更仅事后通知要求区域锁定和变更否决权；跨境场景叠加数据出境合规评估数据位置条款为“供应商可调整”，补谈判要价：区域锁定加60天事前通知加客户否决权分包链通知合同写明分包商清单及变更通知义务，关键分包变更需客户批准分包链不透明，或仅要求“通知”不要求批准要求分包商清单附件加变更前30天通知加关键分包否决权分包条款只写“可雇佣分包商”，补谈判要价：清单附件加变更批准权表3的核验结果直接进入表2的成熟度评分。六类条款中终止权、过渡协助、数据导出格式三项都不合格的，该功能的可替代性成熟度评为“低”，表1中可替代方案数量填得再多也不改变这个结论。合同写明了替代方案存在，而合同不允许退出，替代方案在退出时用不上。四、预案四个阶段写到谁在几小时内做什么DORA第28(8)条要求对支持关键或重要功能的ICT服务制定退出策略，策略须文档化、全面并经过测试；当替代在短期内不可行时，策略要处理这一约束，并列出依赖期间适用的控制措施。退出预案的质量落在能否在触发后的时间窗口内回答：谁在什么时点、打开什么系统、执行什么动作、完成判定是什么。预案按功能建，按阶段组织。每个阶段的动作绑定角色名和时间上限，完成判定写成可观察条件。预案的第一阶段不等待迁移决策，先执行数据快照和凭证保全；这两项动作在分钟级可启动，不依赖替代方案是否已就绪。成品块：输入取表1的P1/P2功能清单、表3的合同条款核验结果（过渡协助期限、数据导出格式）、表2的优先级；动作是逐功能填写表4四个阶段（保全、迁移、切换、验证）的动作、责任人角色、时间上限和完成判定，对替代不可行的功能单独标注约束和依赖期控制；输出为表4退出预案；判定条件是每个P1功能有完整的四阶段动作和时间上限，每个阶段有责任人角色和肯定式完成判定，替代不可行的功能有明确的约束陈述和依赖期控制措施。某一阶段缺完成判定的，预案改到每个阶段都能判定为止。表4退出预案核心要素与触发条件表阶段动作（谁做什么）责任人角色时间上限（自触发起）完成判定（肯定式）替代不可行时的约束与依赖期控制保全对依赖功能的数据和配置做全量快照，记录校验和；冻结该功能在源云上的变更；保全合同、SLA记录和审计日志云平台运维负责人4小时快照完成且校验和记录可查；源环境变更冻结时间戳存在替代不可行时，保全动作照常执行，作为依赖期内的恢复基线迁移按合同数据导出条款启动导出；逐数据集记录位置、格式、传输时间、迁出费；在目标环境完成数据接收和完整性校验数据工程负责人迁移窗口按数据集体量分档：≤1TB为24小时，1—10TB为72小时，>10TB为7天每个数据集在目标环境可查，行数与校验和同源一致；迁出费实际发生额有记录替代不可行且无法迁移时，转为数据可携带性最小目标：确保数据能以开放格式导出至客户控制的存储，目标云就绪不作为前置条件切换按Runbook逐项核对应用清单、JOB任务、中间件状态；切换DNS或流量入口；执行回退预案的触发条件检查应用运维负责人切换窗口4小时（含回退决策点）切换清单逐项打勾；切换后关键交易或查询的成功率不低于基线；回退触发条件已记录且未被触发替代不可行时，切换阶段暂不执行，预案停留于迁移或保全阶段，依赖期控制生效验证业务验收：关键功能端到端测试；核对SLA指标在新环境中的达成；确认旧环境数据按合同期限保留或已获准删除业务负责人加风险负责人切换后48小时端到端测试通过记录；新环境SLA首周记录；旧环境数据处置确认依赖期内，验证改为依赖期控制有效性检查：最低跑道条款是否被尊重、审计权是否可行使、数据导出是否仍可用表4的时间上限是预案可执行性的判定线。切换阶段“4小时含回退决策点”的设定与Runbook清单的要求对齐：正式切换前要完成环境详细清单核对，确认源端、目的端、迁移任务状态正常，执行脚本就绪，并检查回退任务状态。一个功能的迁移阶段在72小时内无法完成的，该功能在表2中重新评估暴露度，退出触发条件相应收紧。五、桌面推演暴露取数链路的断点，断点写处置动作合同写了退出条款、预案写了阶段和时限，退出能力还需要一次实际推演来验证。DORA的监管实践指出，差距集中在合同条款与机构实际建立的运行能力之间：有完整审计权条款而没有提出审计请求的流程，有退出策略而从未针对真实迁移场景测试过。桌面推演用一个具体功能、一个具体触发场景，走一遍表4的四个阶段，记录每个阶段实际卡在哪里。成品块：输入取表4中一个P1功能的预案、该功能对应的合同条款、实际的数据量、依赖清单和系统访问权限记录；动作是在不实际迁移的前提下，逐阶段模拟“打开什么、谁有权限、数据从哪里取、校验和与什么对照”，在表5中记录每个阶段的可执行判定（通过或卡住）和卡住位置；输出为表5推演记录；判定条件是每个阶段有“通过”或“卡住加卡住位置”的判定，卡住位置指向具体的权限缺失、数据不可导出或格式不匹配。某一阶段卡住且没有处置动作的，预案回到该阶段改到能执行为止。表5退出预案桌面推演记录表（示例行为BF-01支付清算功能）推演阶段模拟动作实际打开或取数的位置判定卡住位置（如卡住）处置动作责任人角色保全确认能否在4小时内生成源环境全量快照云控制台快照功能；备份存储的写入权限通过——云平台运维负责人迁移确认合同约定的导出格式能否覆盖消息队列中的在途消息和函数计算配置合同服务规格附件；控制台导出接口；消息队列的导出工具卡住消息队列在途消息不在标准导出范围内；函数计算配置只能通过专有API获取向供应商提出导出范围补谈判；同时评估从应用层重放消息的替代取数路径数据工程负责人加法务切换确认目标环境的中间件和函数计算兼容性目标云的产品文档；应用依赖清单卡住函数计算的运行时版本与目标云不兼容，需应用改造将改造工作量纳入表1的可替代性评级，更新BF-01的成熟度为“低”；启动改造或接受依赖期控制应用运维负责人验证确认旧环境数据在合同检索期内的可用性合同终止与过渡条款；供应商政策文档通过（有限）检索期内SLA不适用，环境不可用于生产预案中注明检索期仅用于数据拉取，不将其计入切换后的并行运行窗口风险负责人推演的判定落在卡住位置列。卡住位置指向权限缺失的，处置动作是补权限或调整访问流程；指向合同导出范围不足的，处置动作是合同补谈判；指向技术不兼容的，处置动作是调整可替代性评级和退出触发条件。推演产出的是逐阶段卡住清单和处置责任人。六、依赖集中的服务商进监测表，信号达到阈值联动预案云集中的风险监测落在机构直接相关的信号上：关键功能所用云服务的可用性、SLA达成、合同条款变化、数据位置变更、分包链变化、供应商经营或管辖权事件。2025年AWSDNS故障、Azure配置级联和Cloudflare中断连续发生，配置错误集中在高度集中的边缘服务上，影响范围跨越金融、航空和在线服务。单个云服务商的配置变更可以在数小时内把风险传导至多个客户，机构层面的监测要能在信号出现时判断是否接近退出触发条件。成品块：输入取表1的P1/P2功能、表3的合同条款（通知期限、数据位置、分包）、表4的退出触发条件、云服务商的SLA报告和状态页、监管或行业通报；动作是按表6逐信号设定阈值和观察频率，在月度或季度复核中判定信号级别（正常/关注/预警/触发退出），将“触发退出”信号联动到表4预案启动；输出为表6监测记录；判定条件是每个P1功能至少有两个监测信号有数值或状态判定，信号达到“触发退出”时有对应的预案启动记录。信号没有取数位置的，监测表先补取数位置再判定。表6监测信号与升级触发表监测信号取数位置正常关注预警触发退出联动动作关键功能云服务可用性供应商SLA月报；自身监控记录当月达成SLA连续1个月低于SLA但≥99%连续2个月低于SLA，或单次中断超过4小时连续2个季度低于SLA下限，或单次中断超过合同约定的重大事件阈值预警：启动表4保全阶段预检；触发退出：按决策规则一启动预案合同条款单方变更供应商通知函；合同修订记录无实质性变更变更涉及通知期限或分包链但未触及数据位置变更涉及数据位置或审计权受限变更导致表3中终止权或数据导出条款不合格预警：法务评估变更影响；触发退出：合同补谈判或启动预案数据位置与跨境传输供应商数据位置声明；数据处理附件与合同约定一致新增区域但仍在境内数据位置变更至境外且通知期不足未通知的跨境传输发生预警：数据保护负责人评估；触发退出：按数据出境合规流程处置并启动预案保全分包链变化供应商分包商清单更新；公开披露无新增关键分包新增分包商但已通知关键分包变更未获客户批准分包链变更导致审计权或数据控制实质性削弱预警：要求供应商说明；触发退出：行使合同否决权或启动退出评估供应商财务或管辖权事件公开披露、监管通报、信用评级变化无事件信用评级下调但服务正常供应商进入重组或被收购且管辖权变更供应商进入破产程序或被外国政府强制指令影响服务连续性预警：表2成熟度复评；触发退出：按决策规则二启动最低跑道条款和预案迁出费或定价变化供应商价格公告；账单无变化迁出费上调但未超过封顶迁出费无封顶且显著上升迁出费使退出成本超过表4预案预算的预设上限预警：评估替代方案成本；触发退出：启动迁移窗口并锁定当前成本监测信号的升级动作在月度复核会上执行。预警级别的信号启动表4保全阶段的预检（确认快照权限和备份可用，不实际执行保全）。触发退出级别的信号进入决策规则。七、支付清算功能上云：合同两轮改造和一次管辖权事件示例案例，细节为合理设定。某金融机构云风险管理负责人接手一个支付清算功能的上云项目（对应BF-01），业务团队已选定服务商A的PaaS产品（消息队列加函数计算），法务收到的标准合同版本接近供应商的未修订模板。起点：表1已建行，BF-01的可替代性评级暂填“低”。合同草案的终止条款无便利终止权，过渡协助条款只写“合理协助”，数据导出条款只承诺“报告可下载”，审计权限于供应商自评问卷，数据位置由供应商单方调整，分包链无清单附件。表2中该功能暴露度“高”、成熟度“低”，优先级P1。第一轮。表3核验中终止权和过渡协助两项不合格。最初的假设是标准合同改不动，只能接受锁定。向供应商提出增加便利终止权，供应商以“标准模板不接受修改”回应。新信息是供应商对“便利终止”的措辞敏感，对“最低跑道”和“过渡协助期限”的接受度更高。BCG的框架也指出，退出条款、审计权和数据本地化承诺可以写入合同，尽管对直接政府指令的法律效力有限，但能创造摩擦、留下尽职调查记录。换路为放弃便利终止权的直接要求，改为打包要价：90天最低跑道（任何暂停或终止前书面通知）、6个月过渡协助附交付物清单、数据导出格式清单（含在途消息和函数配置）。供应商接受了打包方案中的最低跑道和过渡协助，数据导出格式同意按“标准导出加专有配置的文档化说明”处理，配置的机器可读导出未纳入承诺。第二轮。合同签署前，表5推演在迁移阶段卡住：消息队列的在途消息不在标准导出范围内，函数计算配置只能通过专有API获取。当时的假设是推演暴露的问题是技术细节，不影响合同。推演记录显示，这两项缺失使退出预案的迁移阶段无法在72小时内完成，表2中BF-01的成熟度实际低于合同签署前的评估。新信息是合同条款的“合格”不等于退出可执行，推演卡住的位置要反馈回合同补谈判或替代方案设计。换路为在合同附件中增加“专有配置的文档化说明和迁移协助”作为过渡协助的子项，同时评估从应用层重放消息的替代取数路径，并将该路径写入表4迁移阶段的动作说明。表2中BF-01的成熟度维持“低”，优先级从“等待合同完美”转为“合同可签，预案携带替代取数路径”。第三轮。合同签署后第14个月，表6监测信号“供应商财务或管辖权事件”进入预警：服务商A被一家外国集团收购，管辖权变更可能导致数据位置和分包链的后续变化。表3复核发现数据位置条款的“客户否决权”在收购场景下难以执行，最低跑道条款（90天书面通知）仍然有效。新信息是管辖权事件使“替代不可行”的约束从理论变为现实，DORA要求的“诚实处理约束并列出依赖期控制”在此刻适用。换路为按表4“替代不可行时的约束与依赖期控制”列执行：保全动作照常（快照和校验和），迁移转为数据可携带性最小目标（确保数据能以开放格式导出至客户控制的存储），切换暂不执行，依赖期控制包括行使审计权（合同已写入年度审计加事件触发审计）、监测最低跑道条款是否被尊重、每季度复评表2成熟度。第18个月，收购未导致服务中断或数据位置变更，依赖期控制运行正常，预警信号降级为关注，未触发退出。终点：表3中BF-01的合同在终止权（最低跑道）、过渡协助、审计权、分包链通知四项上判定为合格，数据导出格式和迁移协助判定为“合格但附替代取数路径”。表4预案包含四个阶段、替代不可行时的依赖期控制和一次桌面推演的卡住记录及处置。表5推演记录中迁移和切换阶段的卡住位置有责任人和处置动作。表6在第三轮事件中按“预警→触发退出评估→依赖期控制→信号降级”走完一个完整周期，实际迁移未启动。表7案例变量表变量案例中情形如果变量不同处置变化供应商对便利终止权的接受度拒绝，接受90天最低跑道接受便利终止权表3终止权判定直接合格，表2成熟度可上调一档专有配置的机器可读导出不可导出，仅有文档说明可机器可读导出表5推演迁移阶段通过，不需要替代取数路径管辖权事件的实际服务变更未导致，信号降级导致数据位置变更触发退出执行，进入迁移和切换阶段；依赖期控制转为实际退出操作审计权的实际行使合同有年度审计加事件触发审计，未实际请求供应商以保密为由拒绝现场审计表3审计权降为不合格，表2成熟度下调，依赖期控制失效，触发合同补谈判或替代方案加速表中权重较高的变量是“管辖权事件的实际服务变更”。它决定依赖期控制是观察性还是执行性，并连锁影响表6信号升级路径和表4预案从保全或可携带性进入迁移或切换的时点。八、提交审计或委员会前逐项打勾表8三套场景操作序列场景适用条件保留的检查项删掉的检查项操作序列不能妥协的底线完整版关键功能依赖云、受金融外包监管、需向审计或监管提供退出证据表1至表6逐表执行无建表1→评表2→核表3→写表4→推演表5→监测表6P1功能有合同核验和预案；预案有推演记录；触发退出有决策规则精简版单一业务线、云依赖集中度较低表1、表2、表3（终止权、过渡协助、数据导出三项）、表4（保全和迁移阶段）、表6（可用性和合同变更两项信号）表3审计权和分包链条款（供应商为境内主体且无关键分包时）、表5全量推演（改为单项取数演练）、表6跨境传输和供应商财务信号跑精简清单→评P1/P2优先级→核三项合同条款→写保全加迁移预案→监测两项信号至少一个P1功能有可执行的保全和迁移阶段；终止权或最低跑道条款存在极简版个人了解、非云风险管理岗位表1依赖类型和可替代性速查、表3的终止权和数据导出两项速查、表4保全阶段动作表2矩阵评分、表5推演、表6全部监测信号查表1确认依赖类型→查表3两项条款是否合格→确认保全动作有人有时间看到无终止权或数据不可导出的条款，先按锁定信号报告精简版删掉的检查项逐项列出：表3审计权、分包链通知、数据位置与变更通知；表5全量桌面推演（改为对保全阶段做一次快照权限演练）；表6跨境传输、分包链变化、迁出费或定价变化三项信号。极简版删掉的检查项逐项列出：表2暴露度-成熟度评分、表5推演、表6全部监测信号。三套场景保留的检查项与完整版同名同口径，判定标准不因场景简化而改变。表9输出前自查表检查位置检查什么合格条件（肯定式）不合格形态与退回动作表1一行对一个业务功能每行有功能编号、云服务层级、可替代性评级、退出触发条件不合格形态：一行覆盖多个功能且无拆分；退回按功能重建表2暴露度和成熟度分列评分每个功能有一对评分，成熟度评分注明表3或表4的取数位置不合格形态：成熟度填“感觉”；退回写取数来源表3六类条款逐项核验每个P1/P2功能六类条款均有合格、不合格或缺失判定不合格形态：只核验SLA；退回补终止权、过渡协助、数据导出、审计、数据位置、分包表3不合格条款有补谈判要价不合格行“补谈判要价或替代动作”列有具体条款要价不合格形态：填“协商解决”；退回写具体要价表4预案四阶段有责任人、时限、完成判定每个P1功能保全、迁移、切换、验证各有角色名、时间上限、肯定式完成判定不合格形态：阶段填“有序退出”；退回按阶段重写表4替代不可行时有约束和控制“替代不可行时的约束与依赖期控制”列有明确约束陈述和至少一项控制不合格形态：空白；退回补约束和控制表5推演有卡住位置和处置每个卡住的阶段有具体卡住位置和处置动作不合格形态：推演结论填“基本可行”；退回逐阶段判定表6信号有取数位置和阈值每个信号有取数位置和正常、关注、预警、触发退出的判定条件不合格形态：信号填“监测中”；退回写取数位置和数值条件决策规则四条规则含执行与退路每条有可观察条件和退路不合格形态：出现“视情况启动退出”；整条重写四条决策规则决策规则一：如果表6中P1功能的云服务可用性信号达到触发退出（连续2个季度低于SLA下限，或单次中断超过合同重大事件阈值），则按表4启动保全和迁移阶段，同时援引合同最低跑道条款要求供应商提供不少于90天的书面通知和过渡协助；如果供应商拒绝或无法提供过渡协助，则退路为将迁移目标转为数据可携带性最小目标，并启用应用层替代取数路径，目标云就绪不作为前置条件。决策规则二：如果表6中供应商财务或管辖权事件进入触发退出（破产程序或被外国政府指令影响服务连续性），则立即执行表4保全阶段并复评表2成熟度；如果表3中便利终止权或最低跑道条款在事件中不可执行，则退路为按合同重大违约或不可抗力条款启动争议解决，同时将依赖期控制提升至每周复核，并向监管或委员会报告约束状态。决策规则三：如果表5推演中迁移阶段在同一取数环节连续两次卡住（专有配置不可导出、在途消息不在导出范围），则该功能的表2成熟度强制下调一档，表4预案携带替代取数路径；如果替代取数路径在推演中也无法完成，则退路为将该功能列为退出不可行，在表1中标注约束，并在表6中对该服务商启用集中度关注对象的加强监测频率。决策规则四：如果同一服务商在表1中承载两个以上P1/P2功能，且表3中该服务商的终止权或数据导出条款在任一P1功能上不合格，则将该服务商列为锁定集中度风险，在表2中将相关功能的优先级统一提升一档，并在下一个合同续约窗口前完成条款补谈判或替代方案合同预备；如果续约窗口无法延迟且条款未改善，则退路为对新增功能暂停使用该服务商，已有功能维持运行并按表4预案做季度推演。矛盾：表3的合同核验要求P1功能在终止权、过渡协助、数据导出格式上达到合格，而供应商的标准模板在便利终止权和机器可读导出上通常不接受修改。把合同条款作为签字的前置条件，项目可能无法按业务时间表上线；把条款要求推迟到上线后补谈判，机构在依赖形成后谈判力下降，锁定在合同签署时即被固化。实质分析：两项要求争用的是同一段签约前窗口。签约前是唯一能对供应商施加替代方案压力的时点；上线后，迁移成本和业务连续性约束成为供应商的谈判筹码。合同条款