4 月 15 日快到了，Part 500 年度申报却还卡着：先修这五份记录
纽约网络安全合规咨询机构如何在 4 月 15 日前，按实体、豁免、合规、整改和回执证据修复 NYDFS Part 500 年度申报。
重点监测信号
- 4 月 15 日年度通知期限临近，但申报法律实体、许可证或所主张的豁免仍未确定
- 群里说无法证明实质合规，却没有列出所有不合规适用条款、不合规性质和程度，或整改日期
- 最高级别高管或 CISO 签字、五年支持记录、门户权限或邮件回执编号仍然缺失
一份没做完的 NYDFS Part 500 年度申报，应按这个顺序修：确认申报实体与豁免，选择上一自然年的申报类型，把适用条款连到证据，记录重大缺口与整改日期，最后保存双签字和 DFS 邮件回执。不要先改门户答案：实体或豁免错了，适用条款也会错；没有支持证据，“合规”就站不住。
这正是纽约网络安全合规咨询机构商务拓展负责人要做的第一轮判断。他会看公司有权访问的金融服务、CISO 和监管运营 Telegram 群。晚一天看到，企业可能已选好申报顾问；但“cert 卡住了”不等于发言人确属 Covered Entity、确有不合规或有采购权。
一条群消息，还不能确定申报路径
下面是说明判断方法的复合消息，不是真实客户对话或商业结果：
“April filing 还没过。两个 control 是红的。”
“去年好像用了 exemption。headcount 变了。”
“exec sign-off 前，谁能把 portal 里的 cert 修一下？”
这里有期限、控制缺口、可能变化的豁免和高管审批；仍未知哪个持牌主体申报、报告哪一年、豁免属于哪一款、缺口是否重大、谁是 CISO、整改日期及采购权限。第一句应问：哪个受 DFS 监管的法律实体要申报，上一自然年哪些 Part 500 条款适用于它？
先建一张五行工作表：实体与豁免、申报类型、条款证据、整改状态、提交证明。法律或合规负责人批准监管结论，商务负责人据此判断工作范围。
第一步：确定法律实体和豁免
现行官方法规把 Covered Entity 定义为：依据纽约《银行法》《保险法》或《金融服务法》持有或应持有许可证、登记、特许、证书、许可、认证或类似授权的个人或实体。属于金融集团、服务受监管客户或同时受其他机构监管，不能代替这项判断。
工作表要记录准确法律实体与 DFS 授权、报告年度主张的豁免、支持豁免的有日期事实，以及人员、收入、资产、信息系统、非公开信息、关联关系或牌照变化。
NYDFS 的官方豁免资源区分 500.19(a)、(c)、(d) 的有限豁免与 500.19(b)、(e)、(g) 的完整豁免。有限豁免实体仍须就适用条款提交年度通知；完整豁免处理不同，(b) 和 (e) 需要 Notice of Exemption，(g) 因监管已知其状态而无需该通知。若豁免资格终止，500.19(h) 规定从失去资格之日起 180 天内遵守适用要求。
验收结果必须是一份注明豁免款项的适用条款清单。“小公司”或“去年豁免”不够。
第二步：在两类年度申报中选择
500.17(b) 要求在 4 月 15 日前，针对上一自然年电子提交：
- **Certification of Material Compliance（实质合规证明）：**实体以足以准确判断并展示合规的数据与文件，证明上一年度实质遵守所有适用要求。
- **Acknowledgment of Noncompliance（不合规确认）：**实体确认未实质遵守所有适用要求，列出每项未实质遵守的条款，说明性质和程度，并提供整改时间表或确认整改完成。
“二月已修好”不会自动把上一年度变成实质合规；后续整改是证据，却不抹掉此前状态。一张未关闭工单也不会自动证明重大不合规。合格人员仍要判断适用条款、事实和 materiality（是否达到实质程度）。
用一份签批记录写明适用条款、证据期间、已知例外、materiality 负责人和所选申报类型。任何一项未解决，门户答案都未准备好。
第三步：把申报判断连到证据
每项适用条款都应指向报告年度内存在的证据和能解释它的人：
| 状态 | 最少证据 | 缺失时的工作 |
|---|---|---|
| 实质合规 | 政策、测试、报告、批准或配置，且覆盖申报实体与期间 | 修复证据或重做判断 |
| 未实质合规 | 条款、受影响区域、不合规性质、程度和日期 | 起草不合规确认 |
| 整改中 | 已批准行动、负责人、里程碑、预计完成日 | 建立整改证据包 |
| 整改完成 | 变更、测试、批准、完成日期及剩余限制 | 确认完成范围 |
每份证据还要标注文件日期、适用实体、责任人和版本。若材料只覆盖集团、只在年末后生成，或无法说明报告期间，应把限制写进决策记录，不能默认它足以支持证明。
门户表单不会补出缺失证据。监管主张需要分清来源优先级时，可读如何建立官方来源阶梯；商务复核需要保留群消息的不确定性时，可用商业 Signal 可信度评分方法。
第四步：建立五年材料包并完成双签
500.17(b)(3) 要求把支持两类年度申报的记录、计划表、文件和数据保留 五年，其中包括需要或曾需要重大改进、更新或重新设计的区域、系统与流程，已采取的整改，以及整改计划和时间表。
材料包应包括实体与豁免判断、适用条款及证据索引、申报类型决策、不合规与整改材料、最终提交版本，以及两名必要签字人的批准记录。
两类申报都须由 Covered Entity 的最高级别高管和 CISO签字；没有 CISO 时，第二位签字人是负责该实体网络安全项目的高级管理人员。顾问可以整理证据，不能代替签字人判断。姓名、职务、法律实体和申报年份必须一致，集团材料也不能在没有范围证明时自动覆盖该实体。
第五步：提交并保存邮件回执
NYDFS 申报说明写明，申报通过 DFS Portal 完成，登录使用 DFS ID 和多因素认证。录入已批准事实、完成签字并保存最终副本后，还要等真正的提交证据。
NYDFS 明确说，包含回执编号的邮件是唯一提交确认。把邮件和编号放进五年材料包；若未收到，按页面的“Confirm My Submission”说明联系 NYDFS，不要把浏览器截图当作回执。最终核对法律实体、报告年度、申报类型和回执编号四项一致。
群聊发现的产品边界
咨询机构 BD 可以在公司选定且有权访问的 Telegram 群中，保存围绕“April filing”“cannot certify”“exemption changed”“CISO sign-off”等事件的匹配目标。TOP Prospect 当前版本中，保存匹配目标只保存配置，不会自动产出候选 Signal。商务负责人仍须查看可用来源并人工核实实体、年份和申报状态。
TOP Prospect 不能判断 Covered Entity 身份、测试控制、决定 materiality、代签、进入 DFS Portal、读取私聊或未选择的群，也不能确认提交成功。Telegram 商业 Signal 工作流说明了产品记录与人工判断的边界。
关键事实
- 年度通知须在 4 月 15 日前电子提交，针对上一自然年。
- 两类申报是实质合规证明和不合规确认。
- 不合规确认须列出所有未实质遵守的适用条款、性质和程度，并提供整改时间表或完成确认。
- 500.19(a)、(c)、(d) 的有限豁免仍保留适用要求与年度通知；(b)、(e)、(g) 的完整豁免不同。
- 两类申报均要求最高级别高管和 CISO 签字；没有 CISO 时由负责网络安全项目的高级管理人员签字。
- 支持文件须保留五年；含回执编号的邮件是 NYDFS 指定的唯一提交确认。
签字前最常见的五个问题
Covered Entity 在 4 月 15 日前要提交什么？
需要年度通知的 Covered Entity，针对上一自然年提交实质合规证明或不合规确认。选择取决于该主体是否实质遵守所有适用条款。
有限豁免实体可以跳过年度通知吗？
不可以。500.19(a)、(c) 或 (d) 的实体仍须针对适用条款申报；不要与 500.19(b)、(e) 或 (g) 的完整豁免混淆。
不合规确认里要写什么？
它要列出每项未实质遵守的适用条款、缺口性质和程度，并提供整改时间表或完成确认。只有“红色控制”清单却没有映射 Part 500 条款，不够。
年末之后修好缺口，就能选择实质合规证明吗？
不能自动得出结论。申报针对上一自然年；后续整改应进入证据，但合格人员仍须判断该年度应走哪条路径。
怎样证明门户提交成功？
保存 NYDFS 邮件和回执编号。草稿、截图或内部批准都不能替代这份唯一提交确认。
回到最初的消息：在“修 cert”之前，团队需要申报主体、豁免、条款证据、整改记录、签字人和回执路径。记录齐全，门户录入才是最后一步；记录不齐，缺失记录才是真正的咨询范围。
TOP Prospect 编辑团队于 2026 年 8 月 18 日复核。法规事实依据上列现行 23 NYCRR Part 500 官方文本及 NYDFS 页面。实体、豁免、materiality 和申报决定须由合格人员结合实际事实复核。
常见问题
Part 500 要求 Covered Entity 在 4 月 15 日前提交什么？
需要提交年度通知的 Covered Entity，针对上一自然年在实质合规证明和不合规确认之间选择一种。申报路径取决于该实体是否在实质上遵守所有适用条款。
取得有限豁免的实体可以不提交年度合规通知吗？
不可以。NYDFS 说明，依据 500.19(a)、(c) 或 (d) 取得有限豁免的实体仍需提交年度通知，只是通知范围限于适用于它的条款。500.19(b)、(e) 或 (g) 的完整豁免处理不同。
不合规确认必须包括什么？
它必须确认上一年度没有在实质上遵守所有适用要求，列出每项未实质遵守的条款，描述不合规的性质和程度，并给出整改时间表或确认整改已经完成。
支持材料要保留多久？
第 500.17(b)(3) 条要求将支持两种年度申报的记录、计划表、文件和数据保留五年，并在 NYDFS 要求时提供。
什么能证明门户申报已经提交？
NYDFS 说明，含回执编号的邮件是唯一的提交确认。申报包应保留该邮件和编号；内部截图或草稿状态不等于提交证据。
资料来源与延伸阅读
值得关注的潜在线索 Signal 是怎样被发现的
了解 Top商业线索怎样发现和整理值得核实的 Signal、保留 Telegram 原始上下文、去掉重复消息并安排查看顺序。是否跟进以及下一步做什么，仍由用户决定。
