25、十点十四分 上午十点十 ...
-
周五上午九点十三分，David把个人确认发了出去。
正文只有一页，他确认自己在六周前批准过那笔十九万四千澳元的付款，也确认审批使用的是本人名下的账号和绑定手机验证。
后面的说明写道：I approved the payment batch based on the supporting documents available at the time. I was not involved in maintaining or amending the supplier’s bank details.（本人根据当时取得的支持文件审批了付款批次，未参与供应商银行资料的维护或修改。）
他还特别补充了一句：Final approval of a payment batch does not constitute verification of every supplier master data field.（对付款批次作出最终审批，并不代表对供应商主数据中的每个字段进行了核验。）
Linda读完，把邮件保存进事件文件夹。
“他说的也不算错。”陈嘉怡低声说。
“是不算错。”Linda回答。
夏梦没有接话。过去几天，她已经越来越熟悉这种写法。每一句单独看都成立，放在一起，却能让一个人看起来只是恰好出现在流程里，而不是那个真正按下批准的人。
九点四十六分，Veridian发来会议邀请。标题是：Independent Supplier Verification Call（供应商独立核实电话会议）
会议安排在十点半。邀请中明确说明，Veridian已经通过原始合同、供应商官网和公开商业登记信息重新确认了供应商联系方式，不会使用六周前银行资料变更申请里提供的电话号码。
David看见邀请后，从办公室里走出来。“这通电话由谁参加？”
“您、Linda和我。”夏梦说，“会议邀请要求时间线整理人列席记录。”
David看了她一眼。“你只负责记录。”
“好。”
他没有再说什么，把打印出来的个人确认拿回办公室。
十点二十九分，会议室的屏幕亮起。
Veridian的供应商管理负责人和合规调查经理已经在线。
周砚深的名字也出现在参会名单上，状态显示静音。视频没有打开，从头到尾都没有发言。
合规调查经理先说明了核实方式。
We obtained the supplier’s contact details independently from the original contract and verified them against public business records. We did not use any contact information contained in the bank change request.（我们从原始合同中独立取得供应商联系方式，并通过公开商业登记信息进行了核验，没有使用银行资料变更申请中提供的任何联系信息。）
几秒后，供应商财务负责人接入电话。
对方确认公司名称和供应商编号后，合规调查经理直接问：Did your company request a change to the bank account used for payments from Jiaheng six weeks ago?（贵公司是否在六周前要求修改嘉恒向贵公司付款所使用的银行账户？）
“No.”对方回答得很快。
Our bank account has not changed in more than four years.（我们的银行账户在过去四年多里从未变更。）
会议室里没有人出声。Linda低头看了一眼桌上的旧付款记录。
合规调查经理继续问：“你们是否认识银行资料变更申请上的联系人？”她把申请里填写的姓名和手机号码念了一遍。
供应商财务负责人沉默了几秒。“姓名不是我们财务团队的人，电话号码也不属于公司。”
David皱起眉。“有没有可能是其他部门的人？”
“没有。”对方说，“所有银行资料变更都只能由财务总监发起，并通过公司域名邮箱发送。我们也不会要求客户使用申请里提供的新号码回拨。”
Veridian的供应商管理负责人把六周前的变更申请调到屏幕上。申请使用的是一个与供应商名称极为相近的邮箱域名，只少了一个字母。
页面最下方写着一个澳大利亚手机号码，并要求所有验证电话都联系该号码。
合规调查经理没有马上说话，她又打开另一份文件。那是上周六万三千八百澳元付款所对应的银行资料变更申请。
两份文件并排出现在屏幕上。供应商不同，申请时间相隔六周，银行账号也不同。但验证联系人栏里，出现了同一个手机号码。
陈嘉怡盯着屏幕，身体一点点坐直。“是同一个号码？”
“对。”合规调查经理说，“两份文件的元数据还显示，它们由同一版本的PDF编辑软件生成，作者字段使用了相同的缩写。”
David看着屏幕。“这说明是外部诈骗。”
“至少说明两次事件很可能来自同一条欺诈链。”合规调查经理说，“但外部欺诈能够进入付款流程，并不排除内部控制失效。”
她翻到六周前的事件时间线。“我们现在需要确认，当时是谁完成了独立回拨。”
会议室里安静下来。David先开口：“应该是AP团队。”
Linda抬起头。“没有回拨记录。”
“可能电话确认过，只是没有留档。”
“打给谁？”David看向她。
Linda把银行资料变更申请推到桌子中央。
“如果使用申请里的号码回拨，就不是独立核实。”
David的脸色沉了一些。“我没说是用这个号码。”
“那使用的是哪个号码？”
没有人回答。合规调查经理问：“嘉恒当时的流程要求由谁完成供应商银行资料回拨？”
Linda打开自己两年前整理的流程手册，翻到银行资料变更部分。
第三项写着：Independent callback must be completed by a manager using contact details obtained from the existing supplier record, original contract or independently verified public source. Contact details contained in the change request must not be used.（独立回拨须由经理使用现有供应商档案、原始合同或独立核实的公开来源中取得的联系方式完成，不得使用变更申请中提供的联系信息。）
会议室里静了几秒。
David看向她。“这份流程什么时候正式批准的？”
“没有正式批准。”Linda说，“我提交过，但后来一直没有签。”
“那它不能代表公司正式制度。”
“但这是本来应该执行的控制。”
David靠回椅背。“你认为应该怎么做，和公司正式要求怎么做，不是一回事。”
Linda没有继续争辩。她只把手册的版本号、提交日期和页码报给了Veridian。
电话会议结束前，供应商财务负责人再次确认，他们会配合银行追踪款项，也会提供过去四年银行账户未发生变更的书面证明。
通话断开后，会议室里只剩嘉恒的三个人。
David合上电脑。“既然已经确认是外部诈骗，接下来重点应该是追回款项。”
Linda说：“还要确认是谁修改了供应商资料。”
“账号已经查过，是你的登录名。”
“那天我在医院。”
“所以才说账号是团队共享。”
夏梦看着桌上的两份银行资料变更申请。假的资料从外面送进来，之后每一道本该拦住它的程序，都没有留下发生过的记录。
十一点四十分，Veridian发来一封简短邮件，要求嘉恒在下午三点前提供六周前的供应商主数据修改日志。
David看完，只说：“让IT导出来。”
嘉恒没有内部IT团队，系统维护一直由一家外包公司负责。Linda打了三次电话，才联系上当时负责系统迁移的技术顾问。
对方听完要求，先查了系统编号。“旧日志已经归档，而且系统迁移过一次。”他说，“正常申请至少要等到下周。”
Linda把Veridian的合规调查经理接入电话。对方说明这笔付款正在接受正式合规调查，要求外包公司立即保全相关日志，不得执行任何覆盖、清理或归档删除程序，并询问能否按照紧急事件先提取原始记录。
电话另一端安静了一会儿，技术顾问重新核对了归档位置。
“完整报告今天做不出来。”他说，“但原始日志可以先提取，分析报告之后补。下午两点前发给你们。”
一点五十八分，一个加密压缩文件被发送到嘉恒共享财务邮箱。里面有三份日志：
第一份是ERP供应商主数据修改记录。
第二份是工作站登录记录。
第三份是远程访问记录。
Linda解压文件时，陈嘉怡站在她身后，没有坐下。
夏梦先打开供应商主数据修改记录。
争议供应商的银行资料修改时间是：上午十点十四分。
系统账号：LINDA.CHEN。
操作类型：Bank Account Amendment（银行账户修改）
工作站编号：JH-FIN-04。
陈嘉怡盯着最后一行。“这是哪台电脑？”
Linda没有回答，先打开固定资产登记表。她在设备编号一栏输入JH-FIN-04。
登记使用人：David Xu。
夏梦看着日期。“这是现在的记录。六周前呢？”
Linda又调出设备分配历史。JH-FIN-04的使用人从九个月前开始就是David Xu，中间没有任何调拨或变更记录。
争议付款发生当天，这台工作站同样登记在David名下。
办公室里没有人说话，David的玻璃门关着。
Linda打开第二份日志，DAVID.XU的Windows会话在当天上午八点零三分建立。
上午十点十四分，供应商银行资料被修改时，该会话仍处于活动状态。在此期间，日志没有记录其他Windows用户登录或账户切换，也没有发现外部远程接入。
同一时间，ERP系统使用的却是：LINDA.CHEN。两组名字出现在同一台设备、同一个时间点。
陈嘉怡的手扶住桌沿。“这是不是说明，是他改的？”
“能说明修改发生在登录了David Windows账号的电脑上。”夏梦说，“还不能只凭这一条确定当时实际坐在电脑前的人。”
“那还能是谁？”
夏梦没有回答。
David的办公室平时不锁门。有人进去找文件、放材料或者等签字，并不罕见。如果电脑当时没有锁屏，理论上其他人也可能使用。
但那只是可能。
现有记录能证明的，是另一件事。六周前上午十点十四分，Linda正在医院。
陈嘉怡说，她直到十一点三十六分收到David的邮件以后，才获知密码并开始准备付款批次。银行资料被修改的时候，陈嘉怡甚至还没有被要求使用Linda的账号。
Linda打开第三份远程访问记录。当天上午，没有任何外部远程连接。
陈嘉怡的呼吸明显变快。“十点十四分的时候，我还不知道密码。”
Linda看向她。“确定？”
“确定。”她声音发紧，“邮件是十一点三十六分发的。便利贴也是他之后才给我的。”
夏梦重新核对时间：
上午十点十四分——供应商银行资料被修改。
上午十一点三十六分——David要求陈嘉怡使用Linda账号完成付款批次。
上午十一点五十二分——付款批次建立。
下午四点零七分——David通过自己的实名审批账号完成最终批准。
一条完整得多的时间线，第一次显露出来。
十点十四分，有人在David的工作站和Windows会话中，使用Linda的ERP账号修改了供应商银行资料。
一个多小时后，David要求陈嘉怡继续使用同一个账号准备付款。
下午四点零七分，David使用自己的实名审批账号和绑定手机验证完成最终审批。
这仍然不能证明三次操作都由同一个人完成。但David已经不可能再说，自己只是站在付款流程之外进行管理审阅。
Linda把三份日志保存进事件文件夹。“先不要叫他。”她说。
陈嘉怡看着她：“为什么？”
“先把原始记录发给Veridian。”
“David说所有材料都要先给他确认。”Linda的手停在鼠标上。
办公室里安静了几秒。
她最后没有添加任何结论，只在邮件正文中写下日志可以直接确认的内容：The archived logs have been retrieved. The supplier bank amendment was performed at 10:14 a.m. under the LINDA.CHEN ERP profile from workstation JH-FIN-04. The corresponding Windows session was authenticated as DAVID.XU. No external remote access was recorded at that time.（归档日志已经提取。供应商银行资料于上午十点十四分，通过LINDA.CHEN的ERP账号在JH-FIN-04工作站完成修改；对应Windows会话的登录用户为DAVID.XU，当时未发现外部远程访问记录。）
她在附件栏加入三份原始日志。发送前，她转头问陈嘉怡：“你确认十一点三十六分以前不知道密码？”
陈嘉怡点头。“确认。”
Linda又看向夏梦。“时间线一致吗？”
夏梦重新核对了一遍。“目前一致。”
Linda按下发送。邮件离开共享邮箱以后，三个人都没有说话。
两分钟后，David办公室的门开了。
“刚才谁发了邮件？”
Linda站起身。“我。”
David看着她，又看向屏幕上的设备日志。“为什么没有先给我确认？”
“这是Veridian明确要求的原始系统记录。”
“我问的是，为什么没有先给我看？”
Linda的脸色很白，却没有移开视线。“因为记录涉及您。”
David的表情彻底冷下来。“所以你认为我会删？”
“我没有这样说。”
“但你就是这个意思。”
没人开口。David走到她桌边，伸手去碰鼠标。
Linda先一步将本地文件设为只读。动作很小，David却看见了。
“把邮件撤回。”
“外部邮件无法撤回。”
“那就补充说明，这台电脑不只有我一个人能使用。”
夏梦开口：“可以补充。”David转向她。
她继续说：“但原始日志不能撤回。补充说明也需要写清楚，这是一台共享工作站，还是登记给您个人使用的设备。”
David盯着她看了很久。“这是我的办公室电脑。”
“那就按事实写。”
办公室里像忽然没有了空气。
嘉恒的邮件发出后，合规调查经理把三份原始日志和更新后的时间线转入Veridian内部调查组。
不到两分钟，周砚深在工作群里回复：Proceed with device preservation in accordance with protocol.（按流程启动设备保全。）
下午两点三十一分，Veridian回复。
邮件要求嘉恒立即停止任何人继续使用JH-FIN-04，并由独立IT人员保全整台设备的系统镜像。
同时，David不得接触、修改或删除任何与争议付款有关的原始记录。
邮件最后写道：The newly obtained logs materially change the investigation scope. David Xu must now be treated as a directly relevant individual in relation to both the supplier bank amendment and the final payment approval.（新取得的日志实质性改变了调查范围。就供应商银行资料修改及最终付款审批而言，现必须将David Xu视为直接相关人员。）
David把邮件从头看到尾。“他们无权封我的电脑。”
话音刚落，嘉恒总经理的回复进入所有收件人的邮箱。
只有一行：Proceed with immediate preservation. David is not to access the device until further notice.（立即执行数据保全。在另行通知前，David不得接触该设备。）
邮件同时抄送了外部IT服务商。这是调查开始以来，第一次有人越过David，直接决定证据应该怎样保存。
David盯着那封回复看了几秒，他没有再提撤回邮件。指节沿着手机边缘反复摩挲了两下，随后拿起外套和车钥匙，回办公室收了包。
经过工位时，他没有看任何人。办公室门在身后合上，声音比平时重了一些。
下午四点十分，两名外部IT人员到达嘉恒。总经理已经通过邮件完成授权。
他们先登记设备编号和当前状态，又拍摄主机接口、显示器和桌面文件摆放情况。随后给JH-FIN-04断开网络，在David办公室门口贴上临时限制使用标识。
David已经提前离开，他经过工位时没有和任何人说话。
陈嘉怡坐在位置上，看着技术人员在设备交接表上记录：Current assigned user: David Xu.（当前登记使用人：David Xu。）
“他会不会说，是我进去用过他的电脑？”她低声问。
Linda说：“所以还要看设备里的其他记录。”
“如果没有呢？”
“那就只写目前能证明的。”
这句话已经重复过很多次，可今天再听，终于不再只是安慰。
夏梦重新打开事件时间线。她依次录入：
上午十点十四分——供应商银行资料通过LINDA.CHEN账号修改。
操作设备——JH-FIN-04。
设备在争议付款发生当日及当前的登记使用人——David Xu。
Windows登录用户——DAVID.XU。
远程访问——未发现。
她没有在“实际操作人”一栏填写David。
只写：设备及登录会话与David Xu相关，实际键盘操作人待进一步确认。保存以后，版本号自动更新。
手机在桌边震了一下，陆祈安发来消息：“周末回来看看满满吗？”下面跟着一张照片。
夏梦把照片点开。满满趴在阳台门边，耳朵没完全竖起来，鼻尖旁还沾着一小撮不知道从纸箱上蹭来的碎屑。多多叼着那半个纸箱，眼睛却一直盯着镜头。
她把照片放大，又缩回去。过了一会儿，才回复：“周六下午可以。”
陆祈安很快回复：“我去接你。”
她的手指停在输入框上。几秒后，她写道：“我自己过去。”
对面没有再坚持。只回了一个字：“好。”夏梦把手机按暗。
外部IT人员完成第一轮取证登记后，关掉了David办公室里的电脑。
主机上的指示灯彻底熄灭，但上午十点十四分留下的记录，还在。
作者有话说
第25章 十点十四分
