第四十四章：补录轨迹(2/3)

首发：~第四十四章：补录轨迹

监管问：“你说补录机制，那就提供补录机制的制度文件、系统说明、以及补录操作的审计轨迹。补录是否允许改写创建时间？是否会记录为补录？谁可以补录？”

对方停顿了一下：“补录不会改写创建时间……创建时间就是补录时间。”

这句话几乎等于承认：04:12就是补录发生的时间。那意味着在变更执行之前没有申请单。否则不会需要补录。

监管没有急着结论，只问：“补录的原因是什么？你们为何在变更执行前未完成申请流程？”

技术负责人插话：“当时处于紧急保障窗口，我们先执行保障策略，后补流程，符合内部紧急变更机制。”

监管追问：“紧急变更机制在哪里？条款怎么写？是否要求事后补录在多少时间内完成？是否要求向客户告知？是否要求额外审批？请提供制度条款与执行记录。”

合规负责人试图把话往“行业通行”推：“在保障连续性方面，紧急变更先执行后补录是常见做法。”

监管抬头看他：“这是医疗机构关键系统。你们使用APAC回退优先级提升，且不启用地理围栏。你们用五分钟窗口、高敏感触发。你们把这些称为‘紧急保障’，却未在19:20告知邮件中明确提示，也未要求确认。你们现在说‘常见做法’，无法替代医疗场景评估与告知义务。”

一句话，把“常见”按回地面。

流程管理专员赶紧翻材料，拿出一份“紧急变更机制”摘录，试图证明内部制度允许后补。监管看完却只问了一句：“这份摘录的版本号与生效时间是什么？是否在2024A-1127事件发生前已生效？请提供全量制度文件的版本哈希或签章页。”

对方脸色微变。摘录没有版本哈希，没有签章页，只有一段文字。没有证据链，制度就只是纸。

林昼在隔壁观察室听着法务转述，心里清楚监管的打法：不跟你争“你们有没有制度”，只问“制度当时是否生效、是否可追溯”。只要你拿不出版本与生效证据，制度就不能当盾牌。

---

核验进入第二段：关联字段。

监管要求供应商现场打开变更系统，按时间范围检索那张申请单，展示其唯一编号与关联字段。流程管理专员打开系统，键入关键字，结果页面弹出一条记录，编号格式却与供应商之前提供的“变更单号CHG-IM-2024A-1127”不完全一致，末尾多了一个后缀“-R”。

监管问：“-R代表什么？”

流程管理专员答：“代表补录（Retroactive）。”

Retroactive。事后补录。

这一刻所有“解释”都显得多余。系统自己用一个后缀，把补录写在了编号里。你可以说补录合理，但你不能说它不存在。补录存在，就意味着当时未走完流程。医疗关键系统未走完流程就执行“紧急保障”，本身就是重大风险。

监管继续问：“该补录单据的创建者是谁？”

屏幕上出现一个账号：**itil_admin**。

不是OpsMgr，也不是svc_route_admin。

监管问：“itil_admin是谁？岗位是什么？为什么由它补录？补录的依据是什么？是否有原始申请的草稿或消息记录？”

对方开始结巴：“itil_admin是系统管理员账号，用于流程补录……”

监管打断：“系统管理员账号用于补录关键变更？那补录的审批是谁？”

流程管理专员点开审批轨迹：审批节点显示为OpsMgr，审批时间戳04:13。几乎紧贴着创建时间。

04:12创建，04:13审批。

一分钟完成审批。

在凌晨四点。

这更像“把洞补上”，而不是“补录真实发生过的流程”。真实流程需要写申请内容、填风险、选择窗口、通知客户、等待审批。凌晨四点一分钟审批，连读都来不及读。

监管问：“你们的紧急变更机制允许一分钟审批吗？审批人是否看过内容？请提供审批人确认方式（例如审批界面截图、确认记录）。是否有强制阅读/强制确认机制？”

合规负责人试图救场：“紧急机制下审批人已口头知晓风险，系统审批只是形式记录。”

监管的语气仍然平：“口头知晓无法替代审计。尤其在你们启用跨区回退优先级提升且不启用地理围栏的情况下。若你们用口头，说明你们的流程控制薄弱，审计缺口更大。请提交口头知晓的证据（通话记录、会议纪要）。”

对方哑住了。口头没有证据。没有证据就不能写进监管档案。

---

核验进入第三段：一致性校验。

监管调出策略配置系统的audit_export记录，指着其中一个字段：“ChangeCorrelationID”。然后要求供应商在变更系统里找到对应CorrelationID。流程管理专员搜了几次，搜不到。

技术负责人解释：“我们的两个系统之间关联不是强制的，有时CorrelationID不会回写。”

监管问：“那你们如何确保审批内容与执行内容一致？如果系统不强制关联，审批后变更内容是否可能被修改？”

技术负责人回答：“理论上可能，但我们有权限控制。”

监管再问：“权限控制的证据是什么？请列出谁有权限修改执行内容，是否有二次修改的审计轨迹？请在audit_export中展示19:08之后是否存在二次修改记录。”

这一问直接把对方按在系统日志上。对方如果说“没有二次修改”，必须用日志证明；如果说“有但合理”，必须解释理由；如果说“查不到”，就是审计能力不足。

流程管理专员试图把页面切到一个“变更内容对照”模块，但模块显示“无数据”。他解释：“该模块需要高级许可，没有启用。”

监管记录：“关键一致性校验模块未启用。”

这句话写进笔录，就像在合规报告里写“缺少制动系统”。你可以跑，但你不能说安全。

---