如何选择新加坡 CSP 合规软件产品演示评分表

在演示前界定采购范围

说明首阶段上线必须涵盖的工作。记录客户和服务类型、涉及的司法管辖区、多层架构、大致业务量，以及将继续使用的系统。区分公司注册工作与持续服务关系，因为两者所需的信息和交接环节可能不同。

ACRA 针对注册 CSP 的指引 说明《企业服务提供商法》及相关法规下的义务。应依据这些官方材料确定控制要求。供应商声称产品“合规”，不能代替企业自行作出评估。

制作一页简报，列明：

• 纳入范围的客户群体和服务
• 谁负责准备、复核、审批和处理例外情况
• 具有权威性的客户与风险记录存放在哪里
• 根据内部政策，哪些未解决事项会阻止流程继续
• 记录发生变化后，哪些证据仍须能够检索

将必备要求与便利功能分开，并在看产品演示前达成一致，以免精彩的演示悄悄改变采购标准。

公司秘书工具可能负责申报、截止日期和账单。如果合规决策仍在其他地方处理，就要确认这些决策会记录在哪里。客户名称相同，并不代表证据和审批记录已经关联。

在评分表之外设定必备门槛

加权总分有助于比较优势与取舍；必备门槛则决定产品能否用于预定用途。

把每个门槛写成一项测试，注明预期结果、负责人及须保留的证据。例如，普通接案人员不得审批须由复核人员决定的个案；股东变更后，仍须能还原先前接纳客户的决定；权限问题未解决时，须遵循内部政策规定的限制或例外处理流程。

不要把门槛写成“安全性良好”或“可供审计”等含糊说法。写明尝试的操作、用户角色和应出现的结果，并商定哪些门槛适用于首阶段部署，哪些仅适用于日后扩展。

将门槛记录为通过、失败或尚未测试。截图、产品路线图或供应商保证可以说明某项能力，但不能代替现场测试。若关键功能尚未完成，应清楚记录这一依赖，而不是有条件地判定通过。

对所有供应商运行相同的三个 CSP 演示

使用虚构记录和一致的指示。给予每家供应商相同的准备时间与资料包。除评估治理和采购条款的人员外，也应让实际操作人员参与。

案例一：简单的公司注册委托

设定一家虚构的新加坡公司，有两名个人股东和一名获授权代表，并提供完整、一致的文件。请操作人员从接案开始，依次完成核实、筛查、风险评估和审批。

观察哪些资料需要重复输入，以及复核人员实际上能看到哪些证据。上传到文件夹的文件，必须与已完成、可归责的核实步骤区分开来。

最后请另一名用户说明为何接纳该客户。此人应能找到相关人员、角色、证据和决定，而无须依赖演示人员的记忆。保留生成的个案记录，供后续变更测试作参照。

案例二：所有权分层及日期冲突

设定一名虚构客户，由位于不同司法管辖区的两家企业股东持有。提供一张所有权架构图，以及一份较新的文件，其中一项关系已有变化。

请供应商展示每条关联背后的来源、相关日期及任何未解决的缺口。预期结果应是可供复核的所有权链，以及符合适用内部政策的书面结论。单凭一张图表，并不能证明核实已完成。

接着询问：如果中间层公司与现有记录名称相近，会怎样处理？观察操作人员如何确认标识信息并纠正错误关联。应区分经济所有权比例的计算与控制权的判断。

此案例测试的是证据处理，而非演示能画出多少层架构。相关的 KYC 与 KYB 指南 进一步解释个人核查与企业核查之间的区别。

案例三：例外情况未解决便尝试审批

为同一客户加入一个可能的筛查匹配，以及代表授权证明缺失的情况。请演示人员使用普通接案账户尝试审批。

预期结果须符合企业政策：系统应阻止操作，或引导至受控的例外处理流程，并具备适当权限及记录原因。另行测试获授权的复核人员账户。管理员账户存在，并不能说明普通员工实际获授的权限。

接着只解决其中一个问题。检查另一个问题是否仍然清晰可见，并继续适当地影响流程。最后，在个案负责人缺席时重新分派个案，查看交接记录。

这些情境把常见的 CSP 合规挑战 变成可观察的采购标准。更广泛的问题已在该指南中讨论；这里的演示旨在证明拟采用的配置如何处理这些问题。

应用 100 分产品演示评分表

这是一份示例采购工具，并非 ACRA 的评估框架。演示开始前，应调整并确定各项权重。以下权重合计为 100。

每一项均使用相同的零至三级评分标准：

• 0：缺失、未经证实或未作演示
• 1：仅能通过大量人工变通方式完成演示
• 2：已演示，但存在可管理且已明确记录的限制
• 3：按商定案例完成演示，并有可检索证据支持

每一行以权重乘以得分，再除以三，最后将各行结果相加。最高总分为 100。

例如，所有权核实得两分，则取得 15 × 2 ÷ 3 = 10 分；得三分则取得 15 分。计算时保留足够精度，只对最终展示的总分四舍五入，以免舍入影响比较结果。

在每项得分旁保留观察记录。“已演示导出，但缺少审批历史”比单独写一个两分更有用。评分表解释相对适配程度；是否因关键失败而阻止采购，应由独立的门槛记录决定。

让不同评估人员得出可复核的分数

请评估人员先独立记录暂定分数，再讨论结果。如果一人给三分、另一人给一分，应比较双方的证据及对评分标准的理解。不要简单平均互相矛盾的观察结果。

记录案例、产品配置、用户角色和演示日期。标明某步骤使用的是拟采购的标准配置、定制开发还是人工服务。另一套产品方案中展示的能力，不应计入当前报价所含功能。

向供应商提供简明的问题清单，让其有机会澄清事实上的误解。如果后续演示改变了结果，应保留前后两次观察并解释修订后的评分。若同一问题影响可比性，也应给予其他入围供应商相同机会。

假设某供应商得到 82 分，但未通过访问权限门槛；在问题解决并重新测试前，它仍不适用于已批准的范围。数字不能掩盖原因。

重新测试历史检索与持续工作

使用案例一中已接纳的客户。变更一名股东并更新风险评估，再请一名未参与准备该个案的用户检索最初的决定。

该用户应能识别当时考虑的证据、复核人员、审批人员及附带条件。检查先前的筛查结果是否仍可获取，并询问数据来源的许可条款会如何影响日后访问报告。

ACRA 的合规审查流程 包括审查风险评估、内部控制、客户核实及实益所有权信息。证据检索应被视为日常运营要求，而非为审查临时拼凑的特殊导出工作。

加入一次即将到期的复核，以及另一项所有权变更。观察任务分派、缺席替补和升级处理。这是一项简短的验收测试，并非另一套监控策略演练。应按适用规则和获批准的政策设定记录保留及复核责任。

签约前厘清采购依赖事项

要求进行小规模的数据迁移与导出测试，纳入重名、缺失标识信息、历史审批及附件。除核对记录数量外，还要核对关联关系：如果证据被归到错误客户名下，即使上传成功也不足够。

安全评估应与采购规模相称，但须有文件支持。检查拟采购服务的访问控制、托管、次级处理方、事故与恢复安排，以及合同中的责任分工。一个标志或笼统保证，不能证明相关安排适用于您的部署范围。

请每家供应商按相同的业务量和服务范围报价。厘清实体、个人、筛查、监控、用户、存储、培训及支持费用。识别哪些持续性活动会消耗额度或需要付费协助。以书面确认导出格式、收费、访问截止日期及退出支持。

提出建议前，为每个仍需人工处理的步骤指定负责人，写明频率、证据和监督要求。已知限制可能可以管理；无人负责的依赖事项则是暂停推进的理由。

决策文件应包括门槛记录、加权分数、支持性观察、商定范围及未决条件。这比“哪家产品演示最好”的偏好更能支持管理层判断。

常见问题