第三方风险的审计：尽调、合同、监控（审计项、尽调、监控）

第三方风险的审计：尽调、合同、监控

（审计项、尽调、监控）本文档提供：三个审计项与范围界定表（表2）；尽调审计检查表（表3）；合同审计检查表（表4）；监控审计检查表（表5）；审计发现分级与判定依据表（表6）；审计结论三档认定与处置表（表7）；审计报告要素与签批表（表8）；审计底稿要素表（表9）；追溯链检查表（表10）；案例变量表（表11）。2026-11-10表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、第三方风险审计的三个审计项与范围界定表2三个审计项与覆盖内容表界定尽调、合同、监控三个审计项各自回答的问题和取数文件二、尽调审计：准入评估、资质核验与风险分级表3尽调审计检查表核验第三方准入前的评估深度、资质文件的有效性和风险分级的合理性三、合同审计：服务定义、责任条款与退出安排表4合同审计检查表核验合同对服务范围、责任分配和退出路径的约定完整性四、监控审计：持续评估、指标跟踪与事件响应表5监控审计检查表核验第三方合作期间的持续监控机制和异常事件的响应闭环五、审计标准与发现分级依据表6审计发现分级与判定依据表按影响范围、依赖程度和后果三项事实划分发现等级六、审计结论的三档认定与处置表7审计结论认定与处置表把发现汇总为管控有效、基本有效、管控缺陷三档结论并匹配处置动作七、审计报告要素与签批表8审计报告要素与签批表确定报告内容要素、签批层级和与治理层的沟通要求八、审计底稿与追溯链表9审计底稿要素表、表10追溯链检查表核验底稿要素和三份材料的索引关系，支撑监管调阅九、案例：一次外包服务商第三方风险审计表11案例变量表与完整案例复现三个审计项的检查、发现分级、结论认定和整改跟踪的操作链十、操作规则与矛盾处置六条操作规则与一处矛盾四段在尽调深度争议、合同条款缺失和监控数据不可得时给出裁决顺序一、第三方风险审计的三个审计项与范围界定第三方风险审计回答的问题是：组织对外部服务商、供应商和合作伙伴的风险管控是否覆盖了准入、约定和存续三个环节。三个审计项各有侧重。尽调审计指向准入环节，检查第三方在合作开始前的评估是否充分、资质文件是否有效、风险分级是否合理。合同审计指向约定环节，检查合同条款是否将服务范围、责任分配、数据保护、退出安排等关键事项写清。监控审计指向存续环节，检查合作期间的持续评估、指标跟踪和异常事件响应是否按约定执行。三个审计项形成时间序列。尽调发生在合作之前，合同在合作开始时签订，监控贯穿合作全过程。审计按尽调、合同、监控的顺序推进，前一环节的缺陷会在后一环节放大：尽调未识别的风险在合同条款中缺少对应约束，合同未约定的监控要求在存续期间无法执行。审计范围的界定按第三方的重要性和风险等级确定。重要第三方（承载关键业务、接触敏感数据、单一来源依赖）纳入全面审计，覆盖三个审计项；一般第三方纳入重点审计，覆盖合同和监控；低风险第三方按抽样方式纳入一般审计。成品块：输入为第三方清单、重要性评估记录和风险分级记录；动作为按表2确认三个审计项的覆盖内容和取数文件；输出为审计范围界定表；判定为每个第三方类别有覆盖内容、取数文件名称和检查深度。表2三个审计项与覆盖内容表审计项核心问题覆盖内容取数文件检查深度尽调准入前的评估能否识别第三方风险评估深度、资质核验、风险分级尽调报告、资质文件、风险分级记录完整检查合同合同条款能否约束第三方行为服务定义、责任条款、数据保护、退出安排合同文本、补充协议、服务目录完整检查监控存续期间的监控能否及时发现问题持续评估、指标跟踪、事件响应监控报告、指标记录、事件台账关键第三方完整检查，其余抽样表2第2行示例行中，审计项“合同”、核心问题“合同条款能否约束第三方行为”、覆盖内容“服务定义、责任条款、数据保护、退出安排”、取数文件“合同文本、补充协议、服务目录”、检查深度“完整检查”五项具体。三个审计项的检查结果在报告阶段汇总，尽调审计的发现可能引出合同审计的检查线索，合同审计的发现可能引出监控审计的检查线索，线索传导记录写入底稿。二、尽调审计：准入评估、资质核验与风险分级尽调审计的检查内容分三组。准入评估检查核对第三方在合作开始前的评估是否覆盖关键维度：财务稳健性（财务报表、信用评级、涉诉记录）、运营能力（服务案例、人员配置、技术能力）、合规状况（监管处罚记录、制裁名单筛查、反腐败合规）、信息安全（数据保护能力、安全认证、历史安全事件）。评估报告的深度与第三方的重要性相匹配，重要第三方的评估覆盖全部四个维度并有支持性文件，一般第三方覆盖财务和合规两个维度。资质核验检查核对第三方提供的资质文件是否在有效期内、文件内容与合同约定的服务范围是否匹配、文件的真实性是否经过核验。风险分级检查核对第三方是否按组织的分级标准确定风险等级，分级的依据是否有记录，分级结果是否与合同条款和监控频率挂钩。尽调的常见缺陷形态包括：评估报告只有结论性意见而缺少支持性文件、资质文件在合作开始后到期而未更新、风险分级由业务部门自行确定而无风险职能复核、制裁名单筛查在合作开始后补做。审计方法为文档核验加抽样核对，抽样从第三方清单中按风险等级分层抽取，重要第三方全量核对，一般第三方按不低于20%的比例抽取。成品块：输入为第三方清单、尽调报告、资质文件和风险分级记录；动作为按表3逐组核对准入评估、资质核验和风险分级；输出为尽调审计记录；判定为每组有检查结论、抽样核对结果和待完善项说明。表3尽调审计检查表检查组检查内容合格形态待完善情形补正或升级动作准入评估评估维度覆盖、支持性文件重要第三方覆盖四个维度，文件可查评估维度待补充补充评估并归档支持文件资质核验有效期、服务范围匹配、真实性资质在有效期内，范围与合同匹配资质即将到期或范围待核实更新资质文件，核对服务范围制裁筛查筛查时点、名单来源、复核记录合作前完成筛查，名单来源可查筛查记录待补充补做筛查并记录结果风险分级分级依据、风险职能复核分级有依据记录，经风险职能复核复核记录待补充补充复核记录分级与合同联动分级结果与合同条款、监控频率的对应重要第三方的合同条款和监控频率与分级匹配对应关系待明确修订合同条款或监控计划表3第3行示例行中，检查组“制裁筛查”、检查内容“筛查时点、名单来源、复核记录”、合格形态“合作前完成筛查，名单来源可查”、待完善情形“筛查记录待补充”、补正或升级动作“补做筛查并记录结果”五项具体。制裁筛查的检查以“筛查是否在合作开始前完成”为时点标准，合作开始后补做的筛查记录列为待完善项。风险分级的检查以“分级依据能否被复核”为标准，分级依据写到具体维度的评估结论和评分。三、合同审计：服务定义、责任条款与退出安排合同审计的检查内容分四组。服务定义检查核对合同是否将服务写成可衡量的产出和验收标准：服务目录列明服务项目和水平要求，验收标准写到可观察的条件，服务变更的审批程序在合同中约定。责任条款检查核对合同对违约、赔偿、保险、分包等事项的约定：违约情形和违约责任逐项列明，赔偿责任的上限和范围清晰，保险要求（保额、险种、被保险人）写入合同，分包的限制和审批程序明确。数据保护检查核对合同对数据访问、存储、传输和销毁的约定：数据访问权限的授予和收回程序，数据泄露的通知时限和处置责任，数据销毁的方式和证明文件。退出安排检查核对合同终止后的过渡服务、数据交还和知识转移安排：过渡期长度与迁移需要匹配，数据交还的格式和时限明确，知识转移的交付物清单可查。合同审计的常见缺陷形态包括：服务定义按活动描述而非产出描述、赔偿责任上限低于风险敞口、数据保护条款只写原则而无操作程序、退出安排只有“配合交接”而无具体安排。审计方法为合同文本逐条核验加条款与监管要求的对照，重要第三方的合同逐条核验，一般第三方按关键条款核验。成品块：输入为合同文本、补充协议和服务目录；动作为按表4逐组核对服务定义、责任条款、数据保护和退出安排；输出为合同审计记录；判定为每组有检查结论、条款编号和待完善项说明。表4合同审计检查表检查组检查内容合格形态待完善情形补正或升级动作服务定义产出描述、验收标准、变更程序服务目录列明项目和水平要求，验收标准可观察服务描述按活动列举补充产出描述和验收标准责任条款违约情形、赔偿上限、保险要求、分包限制违约和赔偿逐项列明，保险要求具体赔偿上限或保险要求待明确补充条款或签订补充协议数据保护访问权限、泄露通知、销毁方式条款含操作程序、时限和证明文件要求条款只写原则无程序补充操作程序条款退出安排过渡期、数据交还、知识转移过渡期覆盖迁移需要，交还格式明确退出条款表述笼统补充过渡期和交还格式监管条款对照合同条款与监管要求的对应监管要求的合同条款在文本中有对应对应关系待梳理补充条款并更新对照表表4第4行示例行中，检查组“退出安排”、检查内容“过渡期、数据交还、知识转移”、合格形态“过渡期覆盖迁移需要，交还格式明确”、待完善情形“退出条款表述笼统”、补正或升级动作“补充过渡期和交还格式”五项具体。退出安排的检查以“过渡期长度能否覆盖迁移的关键路径”为标准，过渡期短于迁移需要的列为待完善项。数据保护条款的检查以“条款能否被直接执行”为标准，只写“保护数据安全”而无操作程序的条款列为待完善项。四、监控审计：持续评估、指标跟踪与事件响应监控审计的检查内容分三组。持续评估检查核对组织是否按约定频率对第三方进行重新评估：年度评估是否执行，评估内容是否覆盖第三方财务状况、合规状况和服务表现的变化，评估结果是否更新风险分级。指标跟踪检查核对服务水平的监控是否按合同约定的指标和频率执行：指标数据的采集是否有系统记录，指标未达标时是否触发合同约定的处理程序，指标的月度或季度报告是否报送至约定层级。事件响应检查核对异常事件的记录和处置：事件台账是否记录事件时间、影响范围、处置过程和结果，重大事件是否在规定时限内上报，事件处置后的整改是否闭环。监控审计的常见缺陷形态包括：年度评估在合作第二年及以后未执行、指标数据由第三方自行提供而缺少核验、事件台账只记录事件不记录处置结果、重大事件的上报时限超出合同约定。审计方法为文档核验加数据抽样，指标数据的核验从系统记录中抽样比对第三方提供的报告，事件台账的抽样覆盖年度事件的不少于30%。成品块：输入为第三方清单、评估报告、指标记录和事件台账；动作为按表5逐组核对持续评估、指标跟踪和事件响应；输出为监控审计记录；判定为每组有检查结论、抽样核对结果和待完善项说明。表5监控审计检查表检查组检查内容合格形态待完善情形补正或升级动作持续评估评估频率、内容覆盖、分级更新按约定频率执行，评估覆盖财务、合规和服务变化年度评估待执行或内容待补充补做评估并更新分级指标跟踪指标采集、未达标处理、报告报送指标数据有系统记录，未达标触发处理程序指标数据核验记录待补充补充数据核验和报告记录事件响应台账完整性、上报时限、整改闭环台账含时间、影响、处置和结果，重大事件按时上报处置结果或整改闭环待补充补录处置结果，跟踪整改监控报告报告频率、内容、报送层级报告按频率报送，内容覆盖指标和事件报告内容或报送记录待补充修订报告模板，补充报送记录分级与监控联动风险等级与监控频率的对应高风险第三方监控频率高于一般第三方对应关系待明确调整监控计划表5第2行示例行中，检查组“持续评估”、检查内容“评估频率、内容覆盖、分级更新”、合格形态“按约定频率执行，评估覆盖财务、合规和服务变化”、待完善情形“年度评估待执行或内容待补充”、补正或升级动作“补做评估并更新分级”五项具体。指标数据的核验以“系统记录与第三方报告能否勾稽”为标准，仅有第三方报告而无系统记录的指标列为待完善项。事件台账的抽样核对记录事件编号、处置结果和整改闭环状态。五、审计标准与发现分级依据审计发现按影响范围、依赖程度和后果三项事实分级。一级发现指重要第三方的尽调缺失或合同关键条款缺失，已影响服务连续性、数据安全或监管合规，或已造成实际损失；处置动作为立即启动补充尽调或补充协议，必要时暂停合作直至整改完成。二级发现指一般第三方的尽调深度不足、合同条款存在偏差、监控频率低于约定，影响范围限于特定第三方或特定条款；处置动作为限期整改，整改期间对受影响第三方增加监控频率。三级发现指文档归档待完善、评估记录待补充、指标报告格式待统一；处置动作为限期补正，不影响合作。分级判定依据写到可观察的事实：影响范围（重要第三方、一般第三方或局部）、依赖程度（单一来源依赖、多来源可选或低依赖）、后果（已有损失或监管影响、存在潜在影响、无实际影响）。三项事实的组合决定等级，等级调整须有审计委员会的书面记录。成品块：输入为表3至表5的审计记录；动作为按表6逐项判定影响范围、依赖程度和后果，确定发现等级；输出为审计发现清单与分级表；判定为每项发现有影响范围、依赖程度、后果三项依据和等级结论。表6审计发现分级与判定依据表发现等级影响范围依赖程度后果处置时限参照一级重要第三方单一来源依赖已有损失或监管影响立即整改，必要时暂停合作二级一般第三方或特定条款多来源可选存在潜在影响限期整改，增加监控频率三级局部文档或记录低依赖无实际影响限期补正表6第2行示例行中，发现等级“二级”、影响范围“一般第三方或特定条款”、依赖程度“多来源可选”、后果“存在潜在影响”、处置时限参照“限期整改，增加监控频率”五项具体。三项判定依据中，依赖程度以“该第三方在服务链条中的可替代性”为标准，可替代性低的列为单一来源依赖。一级发现的整改方案含整改责任岗位、时间表和效果验证方式，方案经审计委员会审定后执行。六、审计结论的三档认定与处置审计结论由三个审计项的发现汇总形成。管控有效：三个审计项均未发现一级和二级发现，或仅有三级发现且已完成补正；处置动作为常规跟踪，下一审计周期按计划复核。基本有效：存在二级发现但无一级发现，或一级发现已启动整改且整改方案经审定；处置动作为限期整改，整改完成前对受影响第三方增加监控。管控缺陷：存在一级发现且整改方案尚未审定，或一级发现的影响仍在持续；处置动作为向审计委员会报告，启动专项治理，受影响合作事项提交上级审议。结论认定的依据写到发现清单的等级分布和整改状态。管控缺陷结论可能触发监管报告义务，报告义务的评估由合规职能执行。结论在审计报告中单列一节，与发现清单交叉引用。成品块：输入为表6的发现清单与分级；动作为汇总等级分布和整改状态，按表7认定结论档位；输出为审计结论记录；判定为每个审计项有发现等级分布，结论档位与等级分布匹配，处置动作与结论档位对应。表7审计结论认定与处置表结论档位认定条件处置动作报告路径管控有效无一级和二级发现，或仅有三级发现且已补正常规跟踪，下一周期复核审计报告报送审计委员会基本有效存在二级发现无一级发现，或一级发现整改方案已审定限期整改，受影响第三方增加监控审计报告报送审计委员会，抄送风险管理委员会管控缺陷存在一级发现且整改方案未审定，或影响仍在持续专项治理，合作事项提交上级审议向董事会报告，评估监管报告义务表7第2行示例行中，结论档位“基本有效”、认定条件“存在二级发现无一级发现，或一级发现整改方案已审定”、处置动作“限期整改，受影响第三方增加监控”、报告路径“审计报告报送审计委员会，抄送风险管理委员会”四项具体。结论档位的认定以发现清单的最终状态为准，整改过程中的临时状态记录在报告中但不改变结论档位。监管报告义务的评估记录写入审计报告附件。七、审计报告要素与签批审计报告要素包括：审计范围与三个审计项的覆盖内容、尽调审计结论、合同审计结论、监控审计结论、发现清单与分级、结论档位、整改要求、审计局限说明、审计团队签署和签批记录。报告中的结论与发现清单对应，每项发现有编号、等级和整改要求。审计局限说明写明检查深度、抽样范围和证据可获得性的限制。签批层级按结论档位确定：管控缺陷结论的报告由审计委员会签批后报董事会，基本有效结论的报告由审计委员会签批，管控有效结论的报告由审计委员会授权的负责人签批。签批意见中的决定写入整改台账。报告与三个审计项的检查记录、发现清单建立索引，按审计批次和审计项检索。成品块：输入为审计记录、发现清单和结论记录；动作为按表8核对报告要素，按结论档位确定签批层级；输出为审计报告与签批记录；判定为报告要素齐备、结论与发现对应、签批层级与结论档位匹配。表8审计报告要素与签批表报告要素内容要求合格形态签批层级范围与覆盖内容三个审计项的覆盖内容与表2的审计方案一致管控缺陷时审计委员会签批后报董事会三个审计项结论各自的检查结论和证据引用结论与检查记录对应同上发现清单分级、影响范围、整改要求每项发现编号唯一、等级有依据基本有效时审计委员会签批结论档位三档结论的认定依据与发现清单的等级分布匹配同上审计局限检查深度、抽样范围限制局限对结论的影响有说明管控有效时授权负责人签批签批记录签批角色、日期、意见意见中的决定可追溯同上表8第3行示例行中，报告要素“发现清单”、内容要求“分级、影响范围、整改要求”、合格形态“每项发现编号唯一、等级有依据”、签批层级“基本有效时审计委员会签批”四项具体。报告签批后，整改台账按发现编号建立行，整改跟踪按季度执行，整改完成后验证销号。整改台账与审计报告、检查记录建立索引。八、审计底稿与追溯链审计底稿要素包括：审计范围与审计项引用、检查程序与执行记录、抽样清单与样本标识、取数文件与条款编号、发现的事实描述与证据编号、结论及其依据、编制人与复核人签署、复核意见与日期。检查程序记录中，尽调审计的第三方抽样清单、合同审计的条款核对清单和监控审计的事件抽样清单逐项列示，样本标识采用第三方编号、合同编号或事件编号。追溯链按审计项建立，三份材料互相索引：审计方案提供三个审计项的覆盖内容和检查深度；审计报告按审计项记录检查结论和发现清单；底稿按审计项保存检查记录和证据材料。监管检查调阅时，按审计项和发现编号逐层追溯，三层材料的编号、日期和结论保持一致。追溯链检查按季度执行。成品块：输入为检查过程中的程序记录、抽样清单和证据材料；动作为按表9核对底稿八项要素，按表10核对三层材料的索引关系；输出为底稿完整性结论和追溯链检查记录；判定为八项要素齐备、三层材料字段一致。表9审计底稿要素表底稿要素合格形态待完善情形复核检查点范围与审计项引用引用审计方案的审计项编号只写“按方案执行”，缺引用核对方案与底稿的对应程序与执行记录每组检查有执行步骤和结果事件台账抽样缺清单检查程序记录与表3至表5的对应抽样清单样本逐项列示，标识可追溯写“抽取若干”，无清单核对样本标识的可检索性取数文件文件编号和条款编号文件名称缺编号追溯取数文件的可得性发现与证据每项发现有证据编号发现描述缺证据支撑核对证据编号与发现的对应结论与依据结论对应发现等级分布结论写“基本符合”，缺等级分布核对结论与发现清单的对应编制与复核编制人、复核人、日期复核记录待补充核对复核签字的独立性表9第3行示例行中，底稿要素“抽样清单”、合格形态“样本逐项列示，标识可追溯”、待完善情形“写‘抽取若干’，无清单”、复核检查点“核对样本标识的可检索性”四项具体。第三方抽样的样本标识采用第三方编号，合同抽样的样本标识采用合同编号和条款编号，事件抽样的样本标识采用事件编号。表10追溯链检查表追溯层级索引字段核对内容合格形态待完善时的补正审计方案审计项编号覆盖内容、检查深度方案与表2一致补正覆盖内容记录审计报告审计项编号检查结论、发现清单、签批结论与发现对应，签批匹配结论档位补正结论或签批记录审计底稿发现编号程序记录、抽样清单、证据记录可复现，样本可追溯补存程序文件或抽样清单三层一致性发现编号编号、日期、等级三份材料逐项一致查明差异原因并统一记录表10第3行示例行中，追溯层级“审计底稿”、索引字段“发现编号”、核对内容“程序记录、抽样清单、证据”、合格形态“记录可复现，样本可追溯”、待完善时的补正“补存程序文件或抽样清单”五项具体。记录可复现的判定标准以“另一位审计人员在不询问原编制人的条件下能够复核检查过程和结论”为准，复核记录附于底稿之后。九、案例：一次外包服务商第三方风险审计示例案例，细节为合理设定。本案例的转折集中在尽调评估深度不足的定位、合同数据保护条款的操作性缺陷和监控指标数据来源的核验三处，第四处转折因第三轮修正后关键分叉已穷尽而未发生。起点：某机构对外包服务商执行第三方风险审计，服务商承载客户数据处理和客服运营，属于单一来源依赖的重要第三方。审计范围覆盖尽调、合同、监控三个审计项，检查深度为完整检查。审计方案经审计委员会批准。第一次转折。信号：尽调审计时，抽样核对服务商的准入评估报告，发现评估报告覆盖了财务稳健性和运营能力两个维度，合规状况和信息安全两个维度的评估只有“符合要求”的结论性意见，支持性文件缺失。假设：合规和信息安全的评估由业务部门在准入前口头确认，支持性文件可以在审计期间补充。试了什么：核对评估报告的签署记录和评估时点，调取准入审批流程中的附件清单。新信息：评估报告由业务部门自行编制，合规和信息安全评估没有风险职能或信息安全职能的参与记录；服务商的制裁名单筛查在合作开始后第三个月才完成。推翻的假设：评估报告的结论性意见代表评估已完成。换哪条路：尽调评估深度不足定为二级发现，影响范围为重要第三方的准入评估，整改措施为对服务商补做合规和信息安全的专项评估，评估由对应职能参与并出具书面意见；制裁筛查补做并记录结果，准入评估的参与职能要求在尽调流程文件中明确。这一轮把评估深度问题从文件补充修正为流程参与要求的修订。第二次转折。信号：合同审计时，数据保护条款写有“服务商应采取适当措施保护客户数据安全”，缺少数据访问权限的授予和收回程序、数据泄露的通知时限、数据销毁的方式和证明文件。假设：条款的原则性表述已经覆盖数据保护要求，操作细节由服务商的内部制度保障。试了什么：核对合同条款与监管要求的数据保护条款对照表，调取服务商最近一次安全事件的通知记录。新信息：监管要求明确数据泄露应在规定时限内通知发包方，合同条款无时限约定；服务商的安全事件通知记录显示，上一次事件的通知在发生后第七天发出，发包方收到通知时事件已扩散至两个业务系统。推翻的假设：原则性表述可以替代操作程序。换哪条路：合同数据保护条款缺陷定为二级发现，影响范围为客户数据处理环节，整改措施为签订补充协议，明确访问权限的授予和收回程序、泄露通知的时限（按监管要求的最短时限）、数据销毁的证明文件要求；补充协议签订前的过渡期，增加对服务商安全事件的即时查询要求。这一轮把合同条款从原则性表述修正为可执行的操作程序。第三次转折。信号：监控审计时，指标跟踪检查发现服务可用率的月度报告由服务商自行编制提交，发包方系统内没有对应的监控记录。假设：服务商提交的报告附有系统截图，可以作为指标数据的佐证。试了什么：核对报告中的系统截图与发包方自有监控系统的记录，抽取三个月的可用率数据比对。新信息：三个月的报告中，有两个月的可用率数值高于发包方监控系统的记录，差异分别为0.3和0.5个百分点；差异原因是服务商的统计口径将计划内维护时间排除在不可用时间之外，而合同约定的可用率口径包含计划内维护。推翻的假设：服务商报告的数据可以直接作为监控依据。换哪条路：监控指标数据核验缺失定为二级发现，影响范围为服务可用率的监控有效性，整改措施为监控数据以发包方自有监控系统记录为准，服务商报告作为参照；合同补充协议中明确可用率的口径和计划内维护的计入规则；每季度对两套数据做一次差异核对。这一轮把指标数据来源从单方报告修正为双源核对。终点：审计报告汇总三个审计项的发现，二级发现三项、三级发现两项，无一级发现。结论档位为“基本有效”，报告经审计委员会签批，抄送风险管理委员会。整改台账建立五行，整改时限按二级和三级发现分别设定，整改完成后验证销号。表11列出案例变量与处置变化。表11案例变量表变量案例中情形如果变量不同处置变化尽调评估参与职能合规和信息安全评估无对应职能参与对应职能参与并出具意见尽调审计无二级发现，准入评估通过数据泄露通知时限合同无时限约定，实际通知延迟七天合同约定监管要求的最短时限合同审计无二级发现，过渡期无即时查询要求可用率统计口径服务商口径排除计划内维护双方口径一致监控审计的指标核验通过，无差异指标差异幅度0.3和0.5个百分点差异低于0.1个百分点二级发现降为三级，整改范围限于口径统一结论档位基本有效出现一级发现结论为管控缺陷，报告报董事会并评估监管报告义务表11第2行至第6行覆盖评估参与职能、通知时限、统计口径、差异幅度和结论档位五类变量。其中“尽调评估参与职能”决定准入评估的完整性，“可用率统计口径”决定监控数据的可比性，两者对发现等级和结论档位的影响高于其余变量。十、操作规则与矛盾处置规则一。尽调审计的抽样按风险等级分层，重要第三方全量核对，一般第三方抽取比例不低于20%。评估报告的检查以“支持性文件能否支撑结论”为标准，结论性意见无文件支撑的列为发现。规则二。合同审计的条款核验对照监管要求和组织模板，重要第三方的合同逐条核验，一般第三方核验服务定义、责任条款和退出安排三组关键条款。条款的可执行性以