长夏有梦 第25章 十点十四分

周五上午九点十三分，David把个人确认发了出去。

正文只有一页，他确认自己在六周前批准过那笔十九万四千澳元的付款，也确认审批使用的是本人名下的账号和绑定手机验证。

后面的说明写道：I approved the payment batch based on the supporting documents available at the time. I was not involved in maintaining or amending the supplier’s bank details.（本人根据当时取得的支持文件审批了付款批次，未参与供应商银行资料的维护或修改。）

他还特别补充了一句：Final approval of a payment batch does not constitute verification of every supplier master data field.（对付款批次作出最终审批，并不代表对供应商主数据中的每个字段进行了核验。）

Linda读完，把邮件保存进事件文件夹。

“他说的也不算错。”陈嘉怡低声说。

“是不算错。”Linda回答。

夏梦没有接话。过去几天，她已经越来越熟悉这种写法。每一句单独看都成立，放在一起，却能让一个人看起来只是恰好出现在流程里，而不是那个真正按下批准的人。

九点四十六分，Veridian发来会议邀请。标题是：Independent Supplier Verification Call（供应商独立核实电话会议）

会议安排在十点半。邀请中明确说明，Veridian已经通过原始合同、供应商官网和公开商业登记信息重新确认了供应商联系方式，不会使用六周前银行资料变更申请里提供的电话号码。

David看见邀请后，从办公室里走出来。“这通电话由谁参加？”

“您、Linda和我。”夏梦说，“会议邀请要求时间线整理人列席记录。”

David看了她一眼。“你只负责记录。”

“好。”

他没有再说什么，把打印出来的个人确认拿回办公室。

十点二十九分，会议室的屏幕亮起。

Veridian的供应商管理负责人和合规调查经理已经在线。

周砚深的名字也出现在参会名单上，状态显示静音。视频没有打开，从头到尾都没有发言。

合规调查经理先说明了核实方式。

We obtained the supplier’s contact details independently from the original contract and verified them against public business records. We did not use any contact information contained in the bank change request.（我们从原始合同中独立取得供应商联系方式，并通过公开商业登记信息进行了核验，没有使用银行资料变更申请中提供的任何联系信息。）

几秒后，供应商财务负责人接入电话。

对方确认公司名称和供应商编号后，合规调查经理直接问：Did your company request a change to the bank account used for payments from Jiaheng six weeks ago?（贵公司是否在六周前要求修改嘉恒向贵公司付款所使用的银行账户？）

“No.”对方回答得很快。

Our bank account has not changed in more than four years.（我们的银行账户在过去四年多里从未变更。）

会议室里没有人出声。Linda低头看了一眼桌上的旧付款记录。

合规调查经理继续问：“你们是否认识银行资料变更申请上的联系人？”她把申请里填写的姓名和手机号码念了一遍。

供应商财务负责人沉默了几秒。“姓名不是我们财务团队的人，电话号码也不属于公司。”

David皱起眉。“有没有可能是其他部门的人？”

“没有。”对方说，“所有银行资料变更都只能由财务总监发起，并通过公司域名邮箱发送。我们也不会要求客户使用申请里提供的新号码回拨。”

Veridian的供应商管理负责人把六周前的变更申请调到屏幕上。申请使用的是一个与供应商名称极为相近的邮箱域名，只少了一个字母。

页面最下方写着一个澳大利亚手机号码，并要求所有验证电话都联系该号码。

合规调查经理没有马上说话，她又打开另一份文件。那是上周六万三千八百澳元付款所对应的银行资料变更申请。

两份文件并排出现在屏幕上。供应商不同，申请时间相隔六周，银行账号也不同。但验证联系人栏里，出现了同一个手机号码。

陈嘉怡盯着屏幕，身体一点点坐直。“是同一个号码？”

“对。”合规调查经理说，“两份文件的元数据还显示，它们由同一版本的PDF编辑软件生成，作者字段使用了相同的缩写。”

David看着屏幕。“这说明是外部诈骗。”

“至少说明两次事件很可能来自同一条欺诈链。”合规调查经理说，“但外部欺诈能够进入付款流程，并不排除内部控制失效。”

她翻到六周前的事件时间线。“我们现在需要确认，当时是谁完成了独立回拨。”

会议室里安静下来。David先开口：“应该是AP团队。”

Linda抬起头。“没有回拨记录。”

“可能电话确认过，只是没有留档。”

“打给谁？”David看向她。

Linda把银行资料变更申请推到桌子中央。

“如果使用申请里的号码回拨，就不是独立核实。”

David的脸色沉了一些。“我没说是用这个号码。”

“那使用的是哪个号码？”

没有人回答。合规调查经理问：“嘉恒当时的流程要求由谁完成供应商银行资料回拨？”

Linda打开自己两年前整理的流程手册，翻到银行资料变更部分。

第三项写着：Independent callback must be completed by a manager using contact details obtained from the existing supplier record, original contract or independently verified public source. Contact details contained in the change request must not be used.（独立回拨须由经理使用现有供应商档案、原始合同或独立核实的公开来源中取得的联系方式完成，不得使用变更申请中提供的联系信息。）

会议室里静了几秒。

David看向她。“这份流程什么时候正式批准的？”

“没有正式批准。”Linda说，“我提交过，但后来一直没有签。”

“那它不能代表公司正式制度。”

“但这是本来应该执行的控制。”

David靠回椅背。“你认为应该怎么做，和公司正式要求怎么做，不是一回事。”

Linda没有继续争辩。她只把手册的版本号、提交日期和页码报给了Veridian。

电话会议结束前，供应商财务负责人再次确认，他们会配合银行追踪款项，也会提供过去四年银行账户未发生变更的书面证明。

通话断开后，会议室里只剩嘉恒的三个人。

David合上电脑。“既然已经确认是外部诈骗，接下来重点应该是追回款项。”

Linda说：“还要确认是谁修改了供应商资料。”

“账号已经查过，是你的登录名。”

“那天我在医院。”

“所以才说账号是团队共享。”

夏梦看着桌上的两份银行资料变更申请。假的资料从外面送进来，之后每一道本该拦住它的程序，都没有留下发生过的记录。

十一点四十分，Veridian发来一封简短邮件，要求嘉恒在下午三点前提供六周前的供应商主数据修改日志。

David看完，只说：“让IT导出来。”

嘉恒没有内部IT团队，系统维护一直由一家外包公司负责。Linda打了三次电话，才联系上当时负责系统迁移的技术顾问。

对方听完要求，先查了系统编号。“旧日志已经归档，而且系统迁移过一次。”他说，“正常申请至少要等到下周。”

Linda把Veridian的合规调查经理接入电话。对方说明这笔付款正在接受正式合规调查，要求外包公司立即保全相关日志，不得执行任何覆盖、清理或归档删除程序，并询问能否按照紧急事件先提取原始记录。

电话另一端安静了一会儿，技术顾问重新核对了归档位置。

“完整报告今天做不出来。”他说，“但原始日志可以先提取，分析报告之后补。下午两点前发给你们。”

一点五十八分，一个加密压缩文件被发送到嘉恒共享财务邮箱。里面有三份日志：

第一份是ERP供应商主数据修改记录。

第二份是工作站登录记录。

第三份是远程访问记录。

Linda解压文件时，陈嘉怡站在她身后，没有坐下。

夏梦先打开供应商主数据修改记录。

争议供应商的银行资料修改时间是：上午十点十四分。

系统账号：LINDA.CHEN。

操作类型：Bank Account Amendment（银行账户修改）

工作站编号：JH-FIN-04。

陈嘉怡盯着最后一行。“这是哪台电脑？”

Linda没有回答，先打开固定资产登记表。她在设备编号一栏输入JH-FIN-04。

登记使用人：David Xu。

夏梦看着日期。“这是现在的记录。六周前呢？”

Linda又调出设备分配历史。JH-FIN-04的使用人从九个月前开始就是David Xu，中间没有任何调拨或变更记录。

争议付款发生当天，这台工作站同样登记在David名下。

办公室里没有人说话，David的玻璃门关着。

Linda打开第二份日志，DAVID.XU的Windows会话在当天上午八点零三分建立。

上午十点十四分，供应商银行资料被修改时，该会话仍处于活动状态。在此期间，日志没有记录其他Windows用户登录或账户切换，也没有发现外部远程接入。

同一时间，ERP系统使用的却是：LINDA.CHEN。两组名字出现在同一台设备、同一个时间点。

陈嘉怡的手扶住桌沿。“这是不是说明，是他改的？”

“能说明修改发生在登录了David Windows账号的电脑上。”夏梦说，“还不能只凭这一条确定当时实际坐在电脑前的人。”

“那还能是谁？”

夏梦没有回答。

David的办公室平时不锁门。有人进去找文件、放材料或者等签字，并不罕见。如果电脑当时没有锁屏，理论上其他人也可能使用。

但那只是可能。

现有记录能证明的，是另一件事。六周前上午十点十四分，Linda正在医院。

陈嘉怡说，她直到十一点三十六分收到David的邮件以后，才获知密码并开始准备付款批次。银行资料被修改的时候，陈嘉怡甚至还没有被要求使用Linda的账号。

Linda打开第三份远程访问记录。当天上午，没有任何外部远程连接。

陈嘉怡的呼吸明显变快。“十点十四分的时候，我还不知道密码。”

Linda看向她。“确定？”

“确定。”她声音发紧，“邮件是十一点三十六分发的。便利贴也是他之后才给我的。”

夏梦重新核对时间：

上午十点十四分——供应商银行资料被修改。

上午十一点三十六分——David要求陈嘉怡使用Linda账号完成付款批次。

上午十一点五十二分——付款批次建立。

下午四点零七分——David通过自己的实名审批账号完成最终批准。

一条完整得多的时间线，第一次显露出来。

十点十四分，有人在David的工作站和Windows会话中，使用Linda的ERP账号修改了供应商银行资料。

一个多小时后，David要求陈嘉怡继续使用同一个账号准备付款。

下午四点零七分，David使用自己的实名审批账号和绑定手机验证完成最终审批。

这仍然不能证明三次操作都由同一个人完成。但David已经不可能再说，自己只是站在付款流程之外进行管理审阅。

Linda把三份日志保存进事件文件夹。“先不要叫他。”她说。

陈嘉怡看着她：“为什么？”

“先把原始记录发给Veridian。”

“David说所有材料都要先给他确认。”Linda的手停在鼠标上。

办公室里安静了几秒。

她最后没有添加任何结论，只在邮件正文中写下日志可以直接确认的内容：The archived logs have been retrieved. The supplier bank amendment was performed at 10:14 a.m. under the LINDA.CHEN ERP profile from workstation JH-FIN-04. The corresponding Windows session was authenticated as DAVID.XU. No external remote access was recorded at that time.（归档日志已经提取。供应商银行资料于上午十点十四分，通过LINDA.CHEN的ERP账号在JH-FIN-04工作站完成修改；对应Windows会话的登录用户为DAVID.XU，当时未发现外部远程访问记录。）

她在附件栏加入三份原始日志。发送前，她转头问陈嘉怡：“你确认十一点三十六分以前不知道密码？”

陈嘉怡点头。“确认。”

Linda又看向夏梦。“时间线一致吗？”

夏梦重新核对了一遍。“目前一致。”

Linda按下发送。邮件离开共享邮箱以后，三个人都没有说话。

两分钟后，David办公室的门开了。

“刚才谁发了邮件？”

Linda站起身。“我。”

David看着她，又看向屏幕上的设备日志。“为什么没有先给我确认？”

“这是Veridian明确要求的原始系统记录。”

“我问的是，为什么没有先给我看？”

Linda的脸色很白，却没有移开视线。“因为记录涉及您。”

David的表情彻底冷下来。“所以你认为我会删？”

“我没有这样说。”

“但你就是这个意思。”

没人开口。David走到她桌边，伸手去碰鼠标。

Linda先一步将本地文件设为只读。动作很小，David却看见了。

“把邮件撤回。”

“外部邮件无法撤回。”

“那就补充说明，这台电脑不只有我一个人能使用。”

夏梦开口：“可以补充。”David转向她。

她继续说：“但原始日志不能撤回。补充说明也需要写清楚，这是一台共享工作站，还是登记给您个人使用的设备。”

David盯着她看了很久。“这是我的办公室电脑。”

“那就按事实写。”

办公室里像忽然没有了空气。

嘉恒的邮件发出后，合规调查经理把三份原始日志和更新后的时间线转入Veridian内部调查组。

不到两分钟，周砚深在工作群里回复：Proceed with device preservation in accordance with protocol.（按流程启动设备保全。）

下午两点三十一分，Veridian回复。

邮件要求嘉恒立即停止任何人继续使用JH-FIN-04，并由独立IT人员保全整台设备的系统镜像。

同时，David不得接触、修改或删除任何与争议付款有关的原始记录。

邮件最后写道：The newly obtained logs materially change the investigation scope. David Xu must now be treated as a directly relevant individual in relation to both the supplier bank amendment and the final payment approval.（新取得的日志实质性改变了调查范围。就供应商银行资料修改及最终付款审批而言，现必须将David Xu视为直接相关人员。）

David把邮件从头看到尾。“他们无权封我的电脑。”

话音刚落，嘉恒总经理的回复进入所有收件人的邮箱。

只有一行：Proceed with immediate preservation. David is not to access the device until further notice.（立即执行数据保全。在另行通知前，David不得接触该设备。）

邮件同时抄送了外部IT服务商。这是调查开始以来，第一次有人越过David，直接决定证据应该怎样保存。

David盯着那封回复看了几秒，他没有再提撤回邮件。指节沿着手机边缘反复摩挲了两下，随后拿起外套和车钥匙，回办公室收了包。

经过工位时，他没有看任何人。办公室门在身后合上，声音比平时重了一些。

下午四点十分，两名外部IT人员到达嘉恒。总经理已经通过邮件完成授权。

他们先登记设备编号和当前状态，又拍摄主机接口、显示器和桌面文件摆放情况。随后给JH-FIN-04断开网络，在David办公室门口贴上临时限制使用标识。

David已经提前离开，他经过工位时没有和任何人说话。

陈嘉怡坐在位置上，看着技术人员在设备交接表上记录：Current assigned user: David Xu.（当前登记使用人：David Xu。）

“他会不会说，是我进去用过他的电脑？”她低声问。

Linda说：“所以还要看设备里的其他记录。”

“如果没有呢？”

“那就只写目前能证明的。”

这句话已经重复过很多次，可今天再听，终于不再只是安慰。

夏梦重新打开事件时间线。她依次录入：

上午十点十四分——供应商银行资料通过LINDA.CHEN账号修改。

操作设备——JH-FIN-04。

设备在争议付款发生当日及当前的登记使用人——David Xu。

Windows登录用户——DAVID.XU。

远程访问——未发现。

她没有在“实际操作人”一栏填写David。

只写：设备及登录会话与David Xu相关，实际键盘操作人待进一步确认。保存以后，版本号自动更新。

手机在桌边震了一下，陆祈安发来消息：“周末回来看看满满吗？”下面跟着一张照片。

夏梦把照片点开。满满趴在阳台门边，耳朵没完全竖起来，鼻尖旁还沾着一小撮不知道从纸箱上蹭来的碎屑。多多叼着那半个纸箱，眼睛却一直盯着镜头。

她把照片放大，又缩回去。过了一会儿，才回复：“周六下午可以。”

陆祈安很快回复：“我去接你。”

她的手指停在输入框上。几秒后，她写道：“我自己过去。”

对面没有再坚持。只回了一个字：“好。”夏梦把手机按暗。

外部IT人员完成第一轮取证登记后，关掉了David办公室里的电脑。

主机上的指示灯彻底熄灭，但上午十点十四分留下的记录，还在。

哦豁，终于要实锤了，替夏梦和 Linda感到开心！！

作者有话说

显示所有文的作话

第25章 十点十四分