ALM管理系统的合规证据，平时不积累，审计前一定补不出来

审计通知下来后，很多团队第一件事是翻文件夹、找截图、补审批单，却没打开ALM管理系统。审计员随手抽一条需求变更，问三个问题：为什么改、谁批准、改完怎么验证。会议室里往往只剩沉默。

合规证据不是审计前写出来的说明材料，而是平时在系统里留下的过程记录。 下面只讲三件事：为什么补不出来、平时该留什么、审前怎么核验。

一、为什么合规证据补不出来

1. 证据要证明当时发生了什么

合规证据的核心不是结论，而是过程。合规检查常看五个属性：可归属、同步、原始、准确、完整。换成大白话，就是谁做的、何时记录、是否原始、内容是否准确、链路是否完整。时间和因果关系最难补。 事后说明只能证明现在这样说，不能证明当时这样做。倒签日期、发布后补审批，材料看似齐了，却制造矛盾：发布在前，审批在后。

2. 事后补录会切断证据链

常见补法有三种：补文档、补截图、补签字。补文档看不出中间改过几版；补截图证明不了审批顺序；补签字把责任集中在最后一位签字人，前面的评审和验证仍是空的。证据链一旦断开，单点材料再多也接不起来。

3. 审计看的是可追溯，不是材料厚度

审计通常按样本追两条线：从需求追到测试和发布，从发布追回需求和变更。两条线都能走通，才叫可追溯；只能拿出一摞打印件，叫材料多。

二、ALM管理系统里应沉淀哪五类证据

ALM管理系统的价值，不是列出任务，而是把需求、设计、开发、测试、发布放在同一条链上。证据不是额外工作，而是正常流转后留下的记录。

1. 需求与变更证据

需求与变更证据包括原始需求、验收标准、评审记录、变更申请、影响分析、审批结论和版本记录。最关键的是变更原因、影响范围和审批人。 只写客户要求，解释不了改了什么、影响了什么。

2. 设计与开发证据

设计与开发证据包括设计说明、评审意见、任务拆分、代码提交和评审结论。重点不是代码形式，而是每个开发动作都能回到一条需求或一个缺陷。任务、代码和需求脱节，测试再完整也拼不成链。

3. 测试与缺陷证据

测试与缺陷证据包括测试计划、用例、执行记录、测试环境、结果、缺陷单和回归记录。用例必须关联需求，执行结果必须能追到具体版本。 只留测试报告，证明不了测了什么、谁测的、在哪个版本上测的。

4. 发布与运维证据

发布与运维证据包括发布审批、版本清单、部署记录、上线验证和回滚方案。发布证据要能回答：谁批准、发了什么、出问题怎么退回。 发布记录散在聊天群里，时间一长就很难还原。

5. 权限与审计日志证据

权限与审计日志证据包括账号清单、角色授权、登录日志、导出记录和配置变更。共用账号是常见断点，它让操作无法归属到具体的人。 以网络日志为例，现行《中华人民共和国网络安全法》第二十三条规定，网络运营者应留存相关网络日志不少于六个月。

这张表不是用来一次性补齐，而是逐项检查证据由哪个环节产生、缺在哪一步。只能靠某个人回忆才能解释的记录，都应列为断点。

三、怎样让证据平时自动积累

证据补不出来，原因通常不在员工不配合，而在流程没把留痕设成必经动作。可靠的做法不是月底集中整理，而是让系统在流转时自动记录。

1. 统一入口，一个事项只在一个地方流转

需求、变更、缺陷、发布都从ALM管理系统进入，聊天和邮件只做通知。入口一多，版本就会分叉；版本一分叉，审计时就要解释哪份为准。 小团队至少保证同类事项只有一个主记录。

2. 状态流转即留痕，把审批做成必经动作

评审、批准、验证、关闭都通过状态流转完成，系统记录操作人、时间和意见。能绕过的审批等于没有审批。 线下签字时，保留原件、录入人和录入时间，避免代录变成倒签。

3. 关联关系要完整，能沿链查下去

需求关联设计、任务、用例、缺陷和发布，缺陷修复再关联回归用例。双向关联比单向链接更有用：既能从需求查测试，也能从发布反查需求。 关联不是多填字段，而是让影响分析有据可查，具体做法可参考需求、任务与Bug之间的关联。

4. 定期抽查，每季度做一次小审计

每季度抽五到十条已发布需求，按需求、测试、缺陷、发布走一遍，记录断点和责任人；下次先看上次问题有没有关闭。平时发现断点，成本是补流程；审计前才发现，成本是解释和整改。

四、审计前如何做证据核验

审计前可以整理、核对、补充说明，但不能补造当时没有发生的动作。

1. 先定范围、清单和责任人

按审计范围列出证据清单，明确存放位置、责任人、版本口径和保存期限。没有清单，就会出现业务部门说在质量部、质量部说在项目组的情况。

2. 做正向和反向追溯

正向从需求追到用例、缺陷和发布，反向从发布追回需求和变更，两条线要能落到同一张追溯矩阵上。两条线都能走通，才说明证据链闭合；只能走一条，通常意味着漏测或无来源变更。

3. 把缺口变成整改项，不要事后编造

发现缺失时，记录缺什么、影响什么、怎么补流程、谁负责、何时完成。事实不能改写，但可以用说明、纠正措施和后续记录证明改进。

4. 统一口径，避免多套说法

需求名称、版本号、发布日期、审批人，在不同系统和材料里要一致。审计员不怕一两个缺口，怕的是同一件事有三种说法。

五、常见问题

1. 审计前统一补签审批单，能过关吗？

很难过关。补签会留下集中的时间戳，和发布、测试记录对不上。更稳妥的是说明缺口，提供纠正措施和后续记录。

2. 小团队也要做完整证据链吗？

不必照搬大企业的全部表单，但需求、变更、测试、发布这条主链不能断。人员少时，申请、批准、验证尽量不要由同一个人完成。

3. 证据放在共享盘或聊天记录里，算留存吗？

只能算有文件，不算可靠留存。共享盘缺少权限和版本控制，聊天记录难以检索和防篡改。关键证据应放在有权限、有日志、有备份的ALM管理系统里。

4. 合规证据要保存多久？

没有统一答案。网络日志有法定最低期限，研发证据还要看行业监管、合同和产品生命周期。建议按类型制定期限，并由法务或合规确认。