留痕与审计

每一次动作都留痕

谁看了什么、改了什么、哪位数字员工动了哪个文件，都写进动作记录，管理员在 Console 里看得到用量、动作与文件访问。出了事能倒查，不靠回忆。

留痕不是可选项：会改变业务状态的操作都必须留痕，不能为了速度或体验关掉。每一条记录回答四个问题：

高敏的小组级资料，连每一次查看都记下来：谁、什么时候、看了哪一份。

记摘要，不记正文

记录要能复盘，又不能让自己变成敏感资料最集中的地方，所以只记摘要：

为什么不全记？如果记录里存着完整内容，「读记录」就成了绕过权限拿到敏感资料的后门。只记摘要，记录才读得完、留得久；真要复盘，按版本回到源头去看，仍然要过原来的权限。

出了事，怎么倒查

写回业务系统的动作设有审批位，关键一步由人批准，所以出了问题能追溯到具体哪一步。倒查按四步走：

1. 找到这件事

   按任务拉出它的全部动作，按时间排好。

2. 看它当时看到了什么

   用的是哪一版资料，缺没缺关键的一份。

3. 看它做了什么

   调用了什么、改了什么；对外发送、资金、删除这类高风险动作，由谁批准。

4. 定位到环节

   是权限配错、资料缺了、判断有误，还是流程少了一道检查；改对应的那一处。

倒查的对象是环节，不是笼统的「AI 出错了」，也不是找一个人背锅。同一类失败攒多了，记录还会告诉你：哪类任务总缺同一份资料，哪个动作总被权限拒绝。

收回：立即生效，记录还在

员工离职或设备丢了，在 Console 里收回账号或吊销那把钥匙即可，立即生效。此前的动作记录不会因此消失，该查的还查得到。人走了，知识、SOP 和岗位档案也留在 Nexus 里。

越权、异常与离职回收，都在 Console 这一处操作。每位数字员工还有一个停机开关：它的负责人可以让它立即停下，不用重启整个系统。

上线后一旦发现违反治理基线，先暂停，再在 48 小时内写出事故记录：原因、影响、修复与预防措施，全部落档。

一个停不下来的自动化系统，无论表现多好，都不该上线。