寓言故事
托管金库要赢得信任，不能只展示厚门
山城许多铺子不再自己保管银票，而是交给一家新金库代管。金库承诺门厚、人少、账清、夜里有人巡。铺主们听起来满意，却仍不敢把全部家当交出去。他们担心的不只是一把锁。银票能不能随时取回，账目会不会算错，秘密会不会外泄，外包守卫是否可靠，出事后谁通知谁，这些问题都压在桌上。金库掌柜先安排参观。大家看见铁门、火盆和守卫，却看不见制度是否长期执行，也看不见背后的例外和补救。
一次邻城金库失火后，铺主们要求独立证明。掌柜明白，信任不能只靠参观路线和销售话术。
外部审计人按一套服务组织控制标准检查金库。他关心安全性，也可能关心可用性、保密性、处理完整性和隐私，具体取决于金库向客户承诺了什么。
审计人要求金库描述整套装置边界、控制目标、控制措施、测试结果和例外。掌柜第一次把日常管理翻译成客户和审计员都能读懂的报告。
报告出来后，铺主没有因此放弃自己的判断。他们仍要看报告范围、期间、例外和互补用户控制，确认哪些责任在金库，哪些责任还在自己。
掌柜说，代管别人的重要资产，卖的不是神秘感，而是可被独立检查的信任。
审计人还问了一些让掌柜不舒服的问题：夜班守卫离职时钥匙怎样收回，账房改错有没有第二人复核，外包修门匠进库时谁陪同。掌柜才发现，客户担心的是日常细节能否长期保持。
报告没有把金库变成无风险之地，却让风险有了边界。铺主知道哪些控制被测过，哪些例外已经处理，哪些事仍要自己配合。信任从口头承诺变成可审阅的证据。铺主不再只听掌柜说可靠，而是拿着报告判断自己能承担哪些剩余风险。