← 返回概念解读

Concept Fable精修版

审计证据

Audit Evidence · Auditability

先读故事。这里不急着给定义,先让问题自己长出来。

寓言故事

会说话的账本,救不了没有票根的远行队

山路商队每到月末都要向城主说明粮草去了哪里。老账房口才很好,能把每一次采购、借宿和换马讲得像亲眼重演,城主也多年照单相信。

后来商队越走越远,同行的人换了几拨,账房讲得仍然流畅,可问题开始变多:有的粮价偏高,有的马匹没有到站,有的护卫说自己从未领过那笔银子。

年轻管事想了个省事办法,让每个人在回城后写一段保证。纸上全是好话,字迹也整齐,可一旦问到哪天、哪家铺子、谁验收,保证书就变得很轻。

一次暴雨后,城主要求复查一批丢失的药材。账房能说出大概经过,却拿不出收据、签收、路引、盘点记录和异常说明。大家这才发现,很多所谓记录只是事后故事。

新管事没有再要求账房背得更熟。他把每次采购拆成几件必须留下的东西:谁批准、向谁买、什么时候交付、谁验收、有没有例外、例外由谁接受。

起初商队嫌麻烦。可当下一次争议出现时,管事不用召集十个人回忆,只要把票根、签章、称重单和巡夜记录排在桌上,责任和缺口就自己显出来。

有些票根证明事情做过,有些记录证明控制真的生效,有些异常单证明问题被发现并处理。它们合在一起,比任何漂亮汇报都更能让外人相信。

老账房最后承认,城主需要的不是更动听的解释,而是离开讲述者之后仍能站得住的材料。后来城主换了审查官。新官不认识老账房,也没有听过商队的旧名声。他只问三件事:这笔支出当时谁同意,货物后来谁收下,异常有没有留下处理痕迹。能回答这些问题的纸,才被摆到案上;只靠记忆补出来的故事,一律放在旁边。商队从此明白,证据要能让陌生人复核。后来商队每次出发前先检查空白凭据是否足够,免得事后补写。路上多花一点力气,回城时就少一场争吵。少一张关键纸,就少一段可信链条。

揭示

这个故事讲的是:审计证据

Audit Evidence 是审计中用来支持结论的可检查材料,例如审批记录、配置截图、日志、测试结果、工单、访问复核、培训记录、事件报告和第三方证明。在企业 Agent 落地里,安全和合规不能只靠口头承诺或架构宣称,而要能拿出证据证明控制被设计、被执行、被监控,并在例外发生时被处理。好的审计证据要具体、可追溯、与控制目标相关,并能覆盖审计周期。

它重要的地方在于:它不只是一个术语,而是在真实 AI / Agent 系统里会反复出现的结构性问题。理解它,才能判断什么时候该加模型,什么时候该改流程,什么时候该补治理。

隐喻映射

  • 山路商队:运行中的企业 Agent 或 SaaS 服务
  • 老账房的口才:供应商对安全能力的口头说明
  • 保证书:缺少支撑材料的自我声明
  • 收据、签收和路引:可复查的审计证据
  • 谁批准、谁验收:控制执行链条
  • 异常单:例外处理与补救证据
  • 离开讲述者仍能站住:证据可独立支持审计判断

Soloharness 判断

这个概念的实战价值,是帮你把“看起来聪明的 AI 功能”拆成可交付、可验收、可治理的工作单元。

audit logevidence collectioncontrol testingtraceability