欧盟企业客户尽调与招投标：48 小时应答机制

执行阶段（7–11 周，估算）

1. 1. 阶段一：常备证据柜与答案库建设（一次性，4–6 周）

   4–6 周

   把"每次都要现找"的材料做成一次建好、按季度刷新的资产：处理活动记录、处理者合同与再委托方清单、安全措施说明、模型卡与数据卡、价值链上游提供者的配合与书面协议安排、以及供应链安全管理材料。答案库按主题分组，每条答案挂一个证据编号，指向证据柜里的具体文件版本。判断这一阶段是否做完的标准只有一个：任意一位销售或售前，在没有法务参与的情况下，能否在两小时内组出一份 80% 完整度的初稿。

   本阶段义务

   • 处理活动记录（ROPA）欧盟通用数据保护条例（GDPR） · Art. 30 · 严重度 高
   • 处理者合同与再委托管理欧盟通用数据保护条例（GDPR） · Art. 28 · 严重度 高
   • 处理安全与设计/默认数据保护欧盟通用数据保护条例（GDPR） · Art. 25, Art. 32 · 严重度 高
   • 价值链上游提供者的配合与书面协议义务欧盟人工智能法案 · Art. 25(2), Art. 25(4) · 严重度 高
   • 供应链与直接供应商安全管理欧盟网络与信息系统安全指令 2（NIS2） · Art. 21(2)(d), Art. 21(3) · 严重度 高

   本阶段交付物

   客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）模型卡（Model Card）

   完成后应留存的证据

   • · 证据柜目录（文件 × 版本 × 保管人 × 最近更新日 × 可对外级别）
   • · 答案库（主题 × 问题模式 × 标准答案 × 证据编号 × 有效期）
   • · 处理活动记录与再委托方清单（含每家的所在地与服务内容）
   • · 安全措施说明（可对外版本与完整版本各一份）
   • · 模型卡、数据卡与向下游提供者的集成文档
   • · 对外披露分级规则（哪些材料可直接发、哪些需签保密协议、哪些只在受控环境查阅）

   常见卡点

   • · 答案库由法务写给法务看：真正用它的是销售与售前，措辞必须是他们能直接复制的。
   • · 证据柜没有版本与有效期：发出去一份过期的子处理者清单，比不发更伤信任。
   • · 把所有材料都列为"需签保密协议"：会显著拖慢应答，应先做披露分级。

2. 2. 阶段二：收件后 2 小时 —— 分流、定级与回复承诺

   0.1–0.2 周

   两小时内完成四件事：确认问卷类型与提交截止时间；判定本企业在该笔交易中的角色；对照阶段一的答案库判定覆盖率（多少题能直接答、多少题要新写、多少题答不了）；向客户回一封确认函，写明预计回复时间与需要对方澄清的问题。这封确认函本身是加分项 —— 多数供应商在截止日才第一次回话。同时启动两项判定：产品在该用途下是否构成高风险 AI 系统，以及该处理是否需要 DPIA。

   本阶段义务

   • 高风险分类判定与不属于高风险的自评备案欧盟人工智能法案 · Art. 6, Art. 49(2), Art. 113 · 严重度 极高
   • 数据保护影响评估（DPIA）与事前咨询欧盟通用数据保护条例（GDPR） · Art. 35, Art. 36 · 严重度 高

   本阶段交付物

   招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）

   完成后应留存的证据

   • · 收件登记表（来源、类型、截止时间、对接人、内部责任人）
   • · 覆盖率评估表（可直接答 / 需新写 / 答不了，各多少题）
   • · 角色判定结论（提供者 / 处理者 / 分包商）
   • · 发给客户的确认函副本（含预计回复时间与澄清问题清单）

   常见卡点

   • · 不回确认函直接埋头写：客户无法判断你是否在处理，往往在截止前就已内部倾向其它供应商。
   • · 角色判定拖到写答案时才做：角色错了，整份问卷的答案都要重写。
   • · 答不了的题先跳过不标记：最后汇总时会被当成遗漏，不如一开始就列为待决项并说明处理计划。

3. 3. 阶段三：24 小时内 —— 逐题应答与缺口标注

   0.2–0.4 周

   把答案库里能直接用的填满，把要新写的写完，把答不了的显式标注为"当前不具备 + 计划与时间表"。诚实标注缺口比含糊其辞更可能过审：欧盟企业的供应商评审普遍接受"有缺口但有计划"，但不接受"回答与后续发现不符"。重点题型包括：使用说明与部署者所需信息、与自然人交互的 AI 告知、数据主体权利响应流程与时限、以及金融客户会问的第 30 条第 2 款合同必备要素。

   本阶段义务

   • 面向部署者的透明度与使用说明欧盟人工智能法案 · Art. 13 · 严重度 高
   • 与自然人直接交互的 AI 系统告知义务欧盟人工智能法案 · Art. 50(1), Art. 50(5) · 严重度 高
   • 数据主体权利响应机制（一个月时限）欧盟通用数据保护条例（GDPR） · Art. 12(3), Art. 15-22 · 严重度 高
   • 接受并落地第 30 条第 2 款合同必备要素欧盟数字运营韧性法案对 AI/ICT 第三方服务商的义务 · Art. 30(1)–(2) · 严重度 高
   • 配合金融实体维护 ICT 服务合同安排信息登记册欧盟数字运营韧性法案对 AI/ICT 第三方服务商的义务 · Art. 28(3) · 严重度 中

   本阶段交付物

   客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）模型卡（Model Card）数据卡（Data Card）——训练、验证与测试数据集说明书

   完成后应留存的证据

   • · 逐题应答稿（每题标注：直接引用 / 新写 / 缺口）
   • · 缺口清单与整改计划（含负责人与目标日期）
   • · 随附材料清单与对应的披露级别
   • · 内部复核记录（技术复核人 + 法务复核人 + 复核时间）

   常见卡点

   • · 为了通过评审把"计划中"写成"已实现"：一旦进入合同执行或审计阶段被发现，后果远大于当初的失分。
   • · 技术答案未经工程复核：销售凭理解填写的架构描述，在技术电话会上会被当场拆穿。
   • · 附件级别与答案不匹配：答案说"可提供 SOC 2 报告"，实际只能提供摘要，等于埋雷。

4. 4. 阶段四：48 小时内 —— 合同条款、传输机制与附件定稿

   0.3–0.6 周

   把法律附件一次性备齐：数据处理协议、标准合同条款及其附录、传输影响评估摘要、子处理者清单与变更通知机制、事件通报时限承诺。若客户是金融实体或该服务支撑其关键或重要职能，还须准备第 30 条第 3 款的加强条款（含审计权、退出策略、韧性测试配合）。数据法第 32 条的第三国政府访问防护条款应主动提出，而不是等客户提 —— 主动提出会显著提高可信度。公共采购线则同步完成 ESPD 的自我声明并核对中标后须补交的证明文件清单。

   本阶段义务

   • 向中国等第三国传输个人数据的机制与评估欧盟通用数据保护条例（GDPR） · Art. 44-49 · 严重度 极高
   • 处理者合同与再委托管理欧盟通用数据保护条例（GDPR） · Art. 28 · 严重度 高
   • 个人数据泄露的 72 小时通报与数据主体告知欧盟通用数据保护条例（GDPR） · Art. 33, Art. 34 · 严重度 极高
   • 支持关键或重要职能时满足第 30 条第 3 款加强条款欧盟数字运营韧性法案对 AI/ICT 第三方服务商的义务 · Art. 30(3)(a)–(f)；Art. 26–27（TLPT） · 严重度 极高
   • 防止第三国政府非法获取在欧盟持有的非个人数据欧盟数据法 · Art. 32 · 严重度 极高
   • 重大事件的 24 小时 / 72 小时 / 一个月分阶段报告欧盟网络与信息系统安全指令 2（NIS2） · Art. 23(1)-(4) · 严重度 极高

   本阶段交付物

   传输影响评估（TIA）——配合欧盟标准合同条款第 14 条招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）

   完成后应留存的证据

   • · 数据处理协议与标准合同条款附录（技术与组织措施部分按本次交易定制）
   • · 传输影响评估摘要（可对外版本）
   • · 子处理者清单与变更通知机制说明
   • · 事件通报时限承诺表（按适用立法分列接收方与时限）
   • · 第三国政府访问请求处置承诺与流程说明
   • · ESPD 自我声明与中标后须补交证明文件清单（公共采购线）

   常见卡点

   • · 标准合同条款附录用通用模板：技术与组织措施部分若与实际不符，是后续审计中最容易被抓的一项。
   • · 事件通报承诺给得比法定时限还短：一旦承诺就是合同义务，做不到即违约。
   • · ESPD 自我声明填写与实际资质不符：公共采购中虚假声明的后果包括被排除出后续招标。

5. 5. 阶段五：提交后跟进与承诺落地

   2–4 周

   把应答中承诺的每一项缺口整改排进计划并跟踪到关闭，把客户提出的额外要求回流到阶段一的答案库与证据柜，把本次交易新增的价值链配合义务写进内部流程。同时建立与该客户的常态通报通道：数据泄露、被积极利用的漏洞、以及可能影响其合规状态的重大变更。绝大多数供应商在拿到合同后停止跟进 —— 而年度复审正是从这里开始扣分的。

   本阶段义务

   • 价值链上游提供者的配合与书面协议义务欧盟人工智能法案 · Art. 25(2), Art. 25(4) · 严重度 高
   • 个人数据泄露的 72 小时通报与数据主体告知欧盟通用数据保护条例（GDPR） · Art. 33, Art. 34 · 严重度 极高
   • 被积极利用漏洞的 24 小时 / 72 小时 / 14 日报告欧盟网络韧性法案（CRA） · Art. 14(1)-(2), Art. 16 · 严重度 极高
   • 供应链与直接供应商安全管理欧盟网络与信息系统安全指令 2（NIS2） · Art. 21(2)(d), Art. 21(3) · 严重度 高

   本阶段交付物

   AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）供应商与分包商 ESG 与安全尽调问卷（本企业作为采购方使用）

   完成后应留存的证据

   • · 缺口整改跟踪表（承诺项 × 目标日期 × 实际完成日 × 客户确认）
   • · 答案库与证据柜的本次更新记录
   • · 与客户的通报通道约定（接收人、渠道、时限）
   • · 本次交易新增内部流程的发布记录

   常见卡点

   • · 承诺的整改没人跟：年度复审时客户会逐条对照上一年的承诺，未完成项直接影响续约。
   • · 答案库不回流：下一个客户问同样的问题，又要重新写一遍。