如何選擇新加坡 CSP 合規軟件產品演示評分表

在演示前界定採購範圍

說明首階段上線必須涵蓋的工作。記錄客戶和服務類型、涉及的司法管轄區、多層架構、大致業務量，以及將繼續使用的系統。區分公司註冊工作與持續服務關係，因為兩者所需的資料和交接環節可能不同。

ACRA 針對註冊 CSP 的指引 說明《企業服務提供商法》及相關法規下的義務。應依據這些官方材料確定控制要求。供應商聲稱產品“合規”，不能代替企業自行作出評估。

製作一頁簡報，列明：

• 納入範圍的客戶群體和服務
• 誰負責準備、覆核、審批和處理例外情況
• 具有權威性的客戶與風險記錄存放在哪裡
• 根據內部政策，哪些未解決事項會阻止流程繼續
• 記錄發生變化後，哪些證據仍須能夠檢索

將必備要求與便利功能分開，並在看產品演示前達成一致，以免精彩的演示悄悄改變採購標準。

公司秘書工具可能負責申報、截止日期和賬單。如果合規決策仍在其他地方處理，就要確認這些決策會記錄在哪裡。客戶名稱相同，並不代表證據和審批記錄已經關聯。

在評分表之外設定必備門檻

加權總分有助於比較優勢與取捨；必備門檻則決定產品能否用於預定用途。

把每個門檻寫成一項測試，註明預期結果、負責人及須保留的證據。例如，普通接案人員不得審批須由覆核人員決定的個案；股東變更後，仍須能還原先前接納客戶的決定；權限問題未解決時，須遵循內部政策規定的限制或例外處理流程。

不要把門檻寫成“安全性良好”或“可供審計”等含糊說法。寫明嘗試的操作、用戶角色和應出現的結果，並商定哪些門檻適用於首階段部署，哪些僅適用於日後擴展。

將門檻記錄為通過、失敗或尚未測試。截圖、產品路線圖或供應商保證可以說明某項能力，但不能代替現場測試。若關鍵功能尚未完成，應清楚記錄這一依賴，而不是有條件地判定通過。

對所有供應商運行相同的三個 CSP 演示

使用虛構記錄和一致的指示。給予每家供應商相同的準備時間與資料包。除評估治理和採購條款的人員外，也應讓實際操作人員參與。

案例一：簡單的公司註冊委託

設定一家虛構的新加坡公司，有兩名個人股東和一名獲授權代表，並提供完整、一致的文件。請操作人員從接案開始，依次完成核實、篩查、風險評估和審批。

觀察哪些資料需要重複輸入，以及覆核人員實際上能看到哪些證據。上傳到資料夾的文件，必須與已完成、可歸責的核實步驟區分開來。

最後請另一名用戶說明為何接納該客戶。此人應能找到相關人員、角色、證據和決定，而無須依賴演示人員的記憶。保留生成的個案記錄，供後續變更測試作參照。

案例二：擁有權分層及日期衝突

設定一名虛構客戶，由位於不同司法管轄區的兩家企業股東持有。提供一張擁有權架構圖，以及一份較新的文件，其中一項關係已有變化。

請供應商展示每條關聯背後的來源、相關日期及任何未解決的缺口。預期結果應是可供覆核的擁有權鏈，以及符合適用內部政策的書面結論。單憑一張圖表，並不能證明核實已完成。

接著詢問：如果中間層公司與現有記錄名稱相近，會怎樣處理？觀察操作人員如何確認識別資料並糾正錯誤關聯。應區分經濟擁有權比例的計算與控制權的判斷。

此案例測試的是證據處理，而非演示能畫出多少層架構。相關的 KYC 與 KYB 指南 進一步解釋個人核查與企業核查之間的區別。

案例三：例外情況未解決便嘗試審批

為同一客戶加入一個可能的篩查匹配，以及代表授權證明缺失的情況。請演示人員使用普通接案賬戶嘗試審批。

預期結果須符合企業政策：系統應阻止操作，或引導至受控的例外處理流程，並具備適當權限及記錄原因。另行測試獲授權的覆核人員賬戶。管理員賬戶存在，並不能說明普通員工實際獲授的權限。

接著只解決其中一個問題。檢查另一個問題是否仍然清晰可見，並繼續適當地影響流程。最後，在個案負責人缺席時重新分派個案，查看交接記錄。

這些情境把常見的 CSP 合規挑戰 變成可觀察的採購標準。更廣泛的問題已在該指南中討論；這裡的演示旨在證明擬採用的配置如何處理這些問題。

應用 100 分產品演示評分表

這是一份範例採購工具，並非 ACRA 的評估框架。演示開始前，應調整並確定各項權重。以下權重合計為 100。

每一項均使用相同的零至三級評分標準：

• 0：缺失、未經證實或未作演示
• 1：僅能通過大量人工變通方式完成演示
• 2：已演示，但存在可管理且已明確記錄的限制
• 3：按商定案例完成演示，並有可檢索證據支持

每一行以權重乘以得分，再除以三，最後將各行結果相加。最高總分為 100。

例如，擁有權核實得兩分，則取得 15 × 2 ÷ 3 = 10 分；得三分則取得 15 分。計算時保留足夠精度，只對最終展示的總分四捨五入，以免捨入影響比較結果。

在每項得分旁保留觀察記錄。“已演示匯出，但缺少審批歷史”比單獨寫一個兩分更有用。評分表解釋相對適配程度；是否因關鍵失敗而阻止採購，應由獨立的門檻記錄決定。

讓不同評估人員得出可覆核的分數

請評估人員先獨立記錄暫定分數，再討論結果。如果一人給三分、另一人給一分，應比較雙方的證據及對評分標準的理解。不要簡單平均互相矛盾的觀察結果。

記錄案例、產品配置、用戶角色和演示日期。標明某步驟使用的是擬採購的標準配置、定制開發還是人工服務。另一套產品方案中展示的能力，不應計入當前報價所含功能。

向供應商提供簡明的問題清單，讓其有機會澄清事實上的誤解。如果後續演示改變了結果，應保留前後兩次觀察並解釋修訂後的評分。若同一問題影響可比性，也應給予其他入圍供應商相同機會。

假設某供應商得到 82 分，但未通過訪問權限門檻；在問題解決並重新測試前，它仍不適用於已批准的範圍。數字不能掩蓋原因。

重新測試歷史檢索與持續工作

使用案例一中已接納的客戶。變更一名股東並更新風險評估，再請一名未參與準備該個案的用戶檢索最初的決定。

該用戶應能識別當時考慮的證據、覆核人員、審批人員及附帶條件。檢查先前的篩查結果是否仍可獲取，並詢問數據來源的許可條款會如何影響日後訪問報告。

ACRA 的合規審查流程 包括審查風險評估、內部控制、客戶核實及實益擁有權資料。證據檢索應被視為日常營運要求，而非為審查臨時拼湊的特殊匯出工作。

加入一次即將到期的覆核，以及另一項擁有權變更。觀察任務分派、缺席替補和升級處理。這是一項簡短的驗收測試，並非另一套監控策略演練。應按適用規則和獲批准的政策設定記錄保留及覆核責任。

簽約前釐清採購依賴事項

要求進行小規模的資料遷移與匯出測試，納入重名、缺失識別資料、歷史審批及附件。除核對記錄數量外，還要核對關聯關係：如果證據被歸到錯誤客戶名下，即使上傳成功也不足夠。

安全評估應與採購規模相稱，但須有文件支持。檢查擬採購服務的訪問控制、托管、次級處理方、事故與恢復安排，以及合同中的責任分工。一個標誌或籠統保證，不能證明相關安排適用於您的部署範圍。

請每家供應商按相同的業務量和服務範圍報價。釐清實體、個人、篩查、監控、用戶、存儲、培訓及支持費用。識別哪些持續性活動會消耗額度或需要付費協助。以書面確認匯出格式、收費、訪問截止日期及退出支持。

提出建議前，為每個仍需人工處理的步驟指定負責人，寫明頻率、證據和監督要求。已知限制可能可以管理；無人負責的依賴事項則是暫停推進的理由。

決策文件應包括門檻記錄、加權分數、支持性觀察、商定範圍及未決條件。這比“哪家產品演示最好”的偏好更能支持管理層判斷。

常見問題