3. 云服务合同主体资格审查

云服务合同的第一道风险闸门，不在价格条款，也不在SLA，而在“签约对手方到底是谁、有没有资格做这件事”。主体资格审查要回答四个问题：供应商是否真实存续、是否具备提供云服务的经营资质、境外主体是否满足跨境合规要求、以及中间是否存在代理或转售链条导致责任被稀释。以下按这四个维度展开，并给出可直接用于审查的操作方法。

一、供应商资质：从“营业执照”到“履约能力”

资质审查不能只看一张营业执照。对境内供应商，至少核验：营业执照（统一社会信用代码、经营范围、注册资本、成立日期、登记状态是否为“存续/在业”）、法定代表人信息、注册地址与实际经营地址是否一致。若供应商成立时间短、注册资本实缴比例低、参保人数极少，却承诺提供大规模云资源，应触发履约能力质疑。

更关键的是与云服务直接相关的资质。例如提供IDC/云资源托管，通常涉及增值电信业务经营许可证（ICP/IDC/ISP等，视业务形态而定）；涉及等保测评、密评、涉密信息系统集成等，需要对应资质证书。审查时应记录证书编号、发证机关、有效期、覆盖范围，并核对证书主体名称与合同签约主体是否完全一致——名称差一个字，都可能导致资质不被认定。

二、云服务经营许可：区分“自营”与“转售”

云服务经营许可的核心判断是：签约方是云平台自营主体，还是转售/代理主体。自营主体通常持有云平台相关的经营许可，能直接提供资源池、网络、安全能力；转售方往往只是“二房东”，其上游资源、价格、可用区、SLA都受制于原厂。审查时要追问：资源由谁提供？故障由谁处理？数据存在谁的机房？发票由谁开具？

若供应商声称“我们是某云的战略合作伙伴”，应要求其出示授权书或代理证书，并核对授权范围（产品线、区域、客户类型）、授权期限、是否允许转授权。没有授权书的“合作”，在争议中很难约束原厂。

三、境外供应商合规：数据出境与法律适用

境外供应商（含港澳台及外资主体）的审查重点不同：一是数据出境合规，若业务数据、个人信息存储或处理涉及境外，需评估是否触发数据出境安全评估、标准合同备案或认证；二是法律适用与争议解决，境外主体通常要求适用其本国法律、境外仲裁，这会显著抬高维权成本；三是制裁与出口管制，需确认供应商不在制裁名单内，且云服务不涉及受控技术；四是税务与发票，境外主体能否开具境内可抵扣发票、是否涉及预提所得税，直接影响采购成本。

审查动作包括：调取境外主体的注册证明（如Certificate of Incorporation）、存续证明（Good Standing）、授权代表签字权限文件；确认合同签署人是否有权代表该公司；若通过境内子公司签约，要确认子公司是否具备相应资质，避免“签约在境内、责任在境外”的错配。

四、代理与转售链条风险：穿透到最终责任方

多层代理是云采购中最隐蔽的风险源。典型链条为：最终用户 → 集成商 → 代理商 → 云原厂。每一层都可能出现加价、SLA缩水、服务响应延迟、数据归属不清。审查时要画出“合同链+资金链+数据链”三张图，确认：合同相对方是谁、付款给谁、数据最终落在谁的资源池、故障时谁有权限工单升级。

若无法穿透到原厂，至少应在合同中加入“上游变更通知”“原厂支持函”“数据迁移协助”“代理终止后的过渡期”等条款，防止代理关系断裂导致服务中断。

五、审查清单与判断标准

把上述四维落到可执行的审查动作，建议形成一张“主体资格审查表”，逐项打勾并留存证据。以下为示例字段，实际使用时可按项目规模裁剪。

判断标准可以简化为三条红线：签约主体与资质主体不一致且无授权、数据出境无合法路径、代理链条断裂后无迁移协助。任一红线触发，都应暂停签约，先补材料或调整合同结构。主体资格审查做扎实，后续的SLA、数据安全、价格谈判才有稳定的责任基础。