核查公司/供应商/交易对手时，从品牌…

用于供应商与第三方风险、KYC/KYB、并购与投资尽调、采购诚信和空壳公司评估，对一家公司做身份、控制关系、人员、数字资产与风险的画像。

适用场景

解决思路

1. 按四层顺序执行：法律实体 → 人员 → 基础设施 → 声誉与风险；不要跳过第一层，否则后续发现会挂到错误主体上。
2. Step 1 — 授权范围：写下目标、该工作支持的决策、纳入范围的风险领域、涉及司法辖区和禁区；阅读 `../../ETHICS.md`。
3. 对目标公司自有系统保持被动：可读 DNS 和证书日志等 OSINT，不认证、不探测。
4. 公司内被点名个人仍是数据主体：可查其在册董事职位，不可查其家庭成员。
5. Step 1 完成标准：范围说明列出决策、风险领域、司法辖区，并声明未授权任何交互式测试。
6. Step 2 — 先解析法律实体：寻找具名注册处中的注册号；没有注册号就没有调查对象。
7. 若持有网站：查页脚、条款和隐私政策；欧洲许多法定披露规则会强制写出法律名称和编号，再到注册处确认。
8. 若持有品牌/商号：查商标注册处获得注册所有人；国家注册处按注册人索引商号。
9. 若持有发票/合同：提取公司号、VAT/税号和注册办公地址；逐一核实，不信任信头。
10. 若为上市公司：使用证券监管机构申报系统，它比公司注册处信息更丰富。
11. 若只有集团名称：找到任一成员实体，然后沿链双向查找。
12. 运行 `who-really-owns-it` 获取注册处机制。
13. 记录法律名称、注册号、司法辖区、成立日期、状态、注册办公地址、高管和股本。
14. 下游优先使用注册号而非名称，因为名称会变、编号不会。
15. 检查标准陷阱：运营公司与控股公司名称近似；已解散实体仍用旧品牌交易；品牌由不同司法辖区的 IP 实体持有；网站由营销实体运营但该实体不对产品负责。
16. Step 2 完成标准：能说出合同当事实体及其注册处和编号，并说明哪些其他实体共享该品牌。
17. Step 3 — 向上走到最终母公司，向下走到子公司。
18. 使用来源：已提交集团账目和子公司清单、上市公司列举子公司的附件、受益所有权登记册，以及 `who-really-owns-it` 中的共享高管和共享地址 pivot。
19. 跨境链是常态而非红旗；关键看链是否终止于具名自然人，还是消失在无公开信息的司法辖区。
20. 尽量记录所有权链，并说明在哪里停止；“追溯至开曼实体，其登记册不公开”是发现，不是失败。
21. 识别受益所有权四种失效方式：名义人，法律记录但经济上无关；信托和基金会，多数登记册无法穿透；分层，单一登记册看不到全链；阈值，对每人略低于门槛的四人组合制度性盲视。
22. Step 3 完成标准：所有权链画到终点或记录的不透明点，并记录具名受益所有人及其来源。
23. Step 4 — 从注册处而非网站拉取高管名单；网站展示宣传的人，注册处展示法律上负责的人。
24. 对每个影响决策的人运行 `find-anyone`。
25. 对这些人在 `who-really-owns-it` 中运行高管姓名 pivot，查其他和先前董事职位。
26. 评估董事风险画像：有已解散公司轨迹，或在二十个无关董事会任职，与履历连贯者风险不同。
27. 做员工枚举：从职业网络、招聘信息和团队页获取 headcount 与职能组合，检验公司运营是否如宣称。
28. 平台计数包含过时和重复档案、排除非用户，并受国家和行业强烈影响；使用劳动力形状而非绝对数字。
29. Step 4 完成标准：列出所有在册高管并检查其他董事职位，证实或标记劳动力声明。
30. Step 5 — 以 `recon-a-domain-passively` 为入口；它覆盖 `who-owns-this-domain`、`find-hidden-subdomains`、`find-exposed-servers`。
31. 尽调而非安全测试要从中看：注册日期与声称成立日期矛盾、基础设施与无关品牌共享同一运营者、子域透露未公布产品或合作伙伴、招聘信息证据显示真实技术栈。
32. 检查 `secrets-in-git-history` 中的公开仓库。
33. 用 `what-leaked-about-you` 检查邮箱域的泄露暴露。
34. Step 5 完成标准：枚举域名组合，比较注册日期与公司时间线，写下差异。
35. Step 6 — 诉讼：查法院案卷和判决数据库，覆盖实体、其 former names 和子公司；读 disposition 而非 filing，被起诉不等于责任，和解告诉你的少于判决。
36. 破产：查 insolvency registers 和 statutory gazettes，寻找清盘申请、管理、清算通知；检查高管先前公司，模式在那里显现。
37. 采购：查公共招标和合同授予数据库，这是第三方验证的收入，是真实运营最强的免费证据，且严重未被充分利用；同时查 debarment 和 exclusion lists。
38. 先按 filing regime 校准财务发现：上市公司提交经审计报表、分部明细、关联方交易和风险因素；多数司法辖区小型私企提交简化、通常未审计资产负债表，无损益和营业额，因此那里缺少收入披露是法律常态而非逃税。
39. 真正有意义的财务信号：迟交、反复更换审计师、审计师辞职、保留意见、资产登记 charges、账目与声称运营规模不符。
40. 每个风险领域使用具名来源：`reference/diligence-checklist.md`。
41. Step 6 完成标准：诉讼、破产、采购各有带来源发现或记录“已搜索这些数据库，未发现”，财务发现按该实体类型要求披露的内容来框定。
42. Step 7 — 将制裁、PEP 和负面媒体作为独立步骤并单独记录，因为监管者或法院会要求举证。
43. 筛查实体、其母公司和子公司以及每个具名个人。
44. 主要发布方：OFAC sanctions list search、EU consolidated list、UK sanctions list、UN consolidated list。
45. OpenSanctions 聚合跨司法辖区制裁和 PEP 数据集，是跨辖区扫描的实用起点；OCCRP Aleph 是研究索引，用于调查而非合规筛查。
46. 记住 PEP 身份是风险因素而非不法行为，并延伸到密切关联人和家庭成员，这正是自动筛查最弱处。
47. 负面媒体：对实体、former names 和主要负责人，在链中每个司法辖区的本地语言中，结构化搜索新闻和监管公告。
48. 对拥有外国母公司的公司只做英文搜索几乎无用。
49. 记录搜索词和日期范围，使阴性结果具有证据意义。
50. Step 7 完成标准：链中每个实体和个人都按制裁和 PEP 来源筛查并记录来源和日期，负面媒体用相关语言搜索。
51. Step 8 — 空壳公司评估：给画像打分，不要对单一指标作反应。
52. 使用加权目录：`reference/shell-company-red-flags.md`。
53. 核心集群：地址被数百/数千实体共享；在参与交易前不久成立；无网络存在或域名晚于推介；名义董事在无关公司重复出现；无员工且无显示活动的账目；名称模仿老牌公司；银行细节位于与实体、董事或工作无关的司法辖区。
54. 任何单一指标常见且无害；四个同时出现就是答案。
55. Step 8 完成标准：按目录给实体打分，每个指标有来源，结论说明哪些指标驱动判断。
56. Step 9 — 交给 `write-the-intel-brief`。
57. 简报先给实体图：最终母公司、中间控股、签约实体、子公司、关键人物；然后按风险领域给发现，附来源、日期和置信度。
58. 缺口单独成节；隐藏未能核查内容的尽调报告比没发现更糟。
59. Step 9 完成标准：简报含实体图、按风险领域发现、明确缺口节、声明总体置信度。
60. 对注册处数据做真实性校验：将其视为申报记录，不视为已核实事实；在结论中只按“申报内容和时间”使用。
61. 防范陈旧：不要依赖聚合器；到注册处确认当前状态，因为年度申报和聚合器会滞后，已解散公司仍可能显示活跃。
62. 处理名称匹配：同时排查误报和漏报；对常见名、标点、法律形式后缀、音译、合并后改名和 former names 做专门搜索。
63. 确认注册处覆盖：如果找不到申报，先排查是否找错注册处；检查联邦、州、市镇、外国分支、合伙企业和其他非公司形式的独立注册处。
64. 处理制裁命中：将音译名产生的命中视为复核触发，逐项人工复核，不直接作为发现。
65. 处理负面媒体偏差：在主要市场外和好诉主体上不要用“没搜到”直接下结论；记录语言和财富偏差。
66. 置信度分级：Confirmed——在初级注册处或监管机构申报，或法院记录，且文件已检索并注明日期。
67. 置信度分级：Probable——来自可靠聚合器或单一可信报告，与初级记录一致且未被反驳。
68. 置信度分级：Unconfirmed——公司营销、单一无来源报告，或仅从结构推断。
69. 置信度分级：Gap——应有该信息的来源返回空，或司法辖区不公开；命名数据库和日期，有记录的阴性也是交付物。
70. 所有权主张与运营主张分开评分；可确定注册股东是谁，却完全不知道谁受益。
71. Pivot：将注册号、高管、股东喂入 `who-really-owns-it`。
72. Pivot：将高管或董事姓名喂入 `find-anyone`。
73. Pivot：将主域名喂入 `recon-a-domain-passively`、`who-owns-this-domain`。
74. Pivot：将高管地址、电话、关联人喂入 `dig-through-data-brokers`。
75. Pivot：将母公司或子公司实体重新从 Step 2 进入本工作流。
76. Pivot：将公司邮箱域、公开仓库喂入 `what-leaked-about-you`、`secrets-in-git-history`。
77. Pivot：将多实体所有权网喂入 `graph-the-network`。
78. Pivot：将完成的证据集喂入 `write-the-intel-brief`。
79. 法律注意：KYB、AML 和制裁合规义务有来源和记录保存要求，本工作流本身不解除；用于受监管目的时，记录必须显示搜索了什么、何时搜索、结果如何。
80. 法律注意：注册处数据常有再利用条件和速率限制；使用公开 API 和批量产品而非抓取。
81. 法律注意：高管住宅地址和出生日期在许多登记册受保护，故意重新识别受保护地址在某些司法辖区是犯罪。

适用边界 · 注意事项

• 未获授权对目标公司自有系统做交互式测试时，不要使用本流程中的探测类动作。
• 用于受监管 KYB/AML/制裁合规时，本流程不能替代正式合规记录、来源留痕和法定报告义务。
• 仅凭单个空壳红旗或单个制裁命中，不要直接下结论；它们只是复核触发，需要加权或多源确认。