为可审计的决策追踪定义采购事件数据

可审计的采购决策轨迹包含哪些内容？

美国联邦政府采购为界定范围提供了有益的参考。 联邦采购条例（FAR）的合同档案规则 要求政府采购办公室保存足以构成交易完整历史的文档，并列出了从采购申请、理由说明到招标、报价、供应商选择、授标批准和合同修改的各项记录。这些规则适用于联邦办公室自身的档案，而非企业的采购部门，因此请将此清单视为设计自身系统的覆盖范围检查。

可以将该轨迹视作改变采购状态的事件总和，外加每个事件所依赖的证据：得到批准的请购、确定的供应商名单、收到的报价、签署的评估、批准的中标、修改的合同、收到的货物以及支付的发票。每个环节都有责任人、时间和单据，审核人员应当能够穿梭于这些内容之间，而无需让三个团队去各自的收件箱中搜寻。

每个采购事件记录都应包含哪些字段？

一篇关于过程挖掘方法的文章给出了一个紧凑的最小值。 邱（Chiu）、布朗-利伯德（Brown-Liburd）和瓦萨赫利（Vasarhelyi） 描述了一个事件日志，其中包含流程实例、活动、执行该活动的资源以及时间戳。他们说明性的采购到付款路径（例如采购订单、签字、收货、发票接收、放行和付款）区分了标准序列与非标准序列，这取决于每个事件都带有其流程实例、活动和时间戳，而资源字段则支持诸如职责分离等其他测试。

采购事件比通用系统日志需要更多的字段，因为采购审核员还会询问授权和依据。请添加记录系统及其原生记录编号、适用的审批规则、在事件更改承诺时的金额和币种，以及指向所存储支持文档版本的链接。将操作人员记录为具名人员或服务账户，加上当日有效的角色和授权委托，以便职责分离测试能够查出请求者自行审批其请求的情况。

如果数据将输入流程挖掘或审计分析工具，采用公开的交换格式可以免去日后的数据转换项目。 IEEE 1849-2023 XES 标准 定义了一种 XML 格式，用于在生成事件日志的系统与分析这些日志的工具之间交换事件日志，其适用范围将采购系统列为了这些来源之一。将您的架构映射到该格式可以在数据传输时保持每个字段含义清晰，尽管完整性仍取决于每个系统记录的内容。

记录应如何在采购申请、采购寻源、合同和 ERP 系统之间进行关联？

一条轨迹可能跨越多个系统：录入工具中的请求、电子采购平台中的投标、合同管理中的协议，以及 ERP 中的承诺与付款。 开放式合同数据标准入门指南 针对公共采购中的类似问题，每个采购流程使用一个标识符进行处理。每个变更都会作为版本发布，发布后便无法更改，记录会对这些版本进行索引，并且可以包含一个保存每个字段最新值的编译版本。

同样的模式也适用于企业内部。在接收阶段分配一个案例标识符，将其贯穿至采购项目、合同、采购订单和发票中，并在系统生成自身编号时存储交叉引用；对于框架协议，应将合同作为核心，供框架协议项下的分批订单、收货和发票进行关联指向。保持历史记录仅追加、不可覆盖（append-only），并据此构建当前视图，以便经修正的供应商名称或价格作为带有原因的新事件显示，同时早期记录的值保持可读。

哪些采购事件需要最严格的控制？

例外情况需要最严格的控制，因为标准流程自带内置文档，而例外情况则必须创建自身的记录。 一项关于单一来源采购和紧急采购的 2016 库克县审计工作 说明了这一差距：调查发现，发起部门并未始终为单一来源采购提供充分的理由。调查还发现，紧急采购表没有要求说明未获取三家报价的理由。

将每项例外情况作为独立的事件类型进行记录：单一来源或唯一投标的合理解释、放弃竞争或报价要求、放弃其他政策步骤、或者在授标后对手工价格或数量的更改。每项记录都应包含其所偏离的规则、书面理由、批准人及其权限，以及批准相对于承诺发生的时间。在登记册中，将权限委派限制视为不可放弃的条款，因此超出某人权限的批准应记录为升级事件或未经授权的承诺，并附带追认记录和违规记录。

评估记录也应受到同等对待。在对南苏丹地方采购进行的一项 2024 内部审计中， 联合国审计员 发现在抽样的 30 个案例中，有 16 的技术和财务评估遵循了招标标准，而其余的 14 则缺乏进行评估所需的充分文件。同一次审计发现，开标委员会随后记录了每份投标文件的接收时间，这就是评估追踪可以从其开始的那种带有时间戳的事件。

采购项目记录应该保存多长时间？

保留期限取决于司法管辖区和记录类型，因此应与法务和财务部门共同设定，而不是为所有内容选择同一个数字。对于美国联邦合同， 联邦采购条例（FAR）的保存期限表 显示了合同及相关记录（包括成功和未成功的投标），这些记录在最终付款后需保留 6 年。同一子部分还要求采用数据传输、存储和检索程序，以保护原始数据免遭篡改。

税收规则从另一个方向触及相同的记录。 美国国税局的税收程序 98-25 要求其管辖范围内的纳税人在其内容可能对税务管理具有实质性影响期间，保留机器可读的记录。该规定还要求纳税人记录创建和修改这些记录的业务流程，并在保留记录、账簿与纳税申报表之间建立审计线索，因此请将您的事件模式及其变更历史与数据一并保存。

至于日志本身， NIST SP 800-92 的修订草案 将日志管理定义为生成、传输、存储、访问和处置日志数据，并将按要求期限保留记录列为目的之一。该标准针对网络安全日志编写，因此请将其用于存储、访问和处置规范，而不是用于决定哪些采购事件更为重要。

采购团队如何在审计前测试审计线索？

运行审计人员会执行的测试。按每个案例对事件进行排序，并查找违反规则的路径，例如在收货之后记录的签字。在以下示例中： 邱及其同事，该路径会被视作非标准路径，且同一作者警告称，不完整的事件日志会产出审计人员无法使用的信息。接下来，查找无人申报的异常情况，例如超出竞争性采购阈值却没有进行采购寻源的订单，或是开票日期早于订单日期的发票，并检查每项申报的异常是否都有其理由和审批人。

字段数据质量需要进行单独检查，即使在强制性系统中也是如此。在其 2025 联邦采购数据审查中， 美国政府问责局 发现，在向联邦采购数据系统报告 2023 财年数据的 70 个机构中，有 36 个确认完成了数据质量报告，其余机构则占合同支出承诺额的约百分之 0.26。该报告还发现，有两家机构尚未针对数据元素中准确率持续偏低的问题记录纠正行动计划。在每个周期抽查关键字段，并指定专人负责查找重复出错的原因。

采购活动登记簿应包含哪些内容？

使用下方的登记册，逐个系统地确认存在哪些事件、每个事件必须包含的内容以及缺失字段的负责人。从一个类别和一个最近的采购事件开始，将其从请求跟踪到付款，并标出所有不得不向人工询问而不是阅读记录的地方。如果您的采购事件已经 遵循结构化的 RFQ 工作流程，其阶段映射到采购行。

供应商记录需要两条独立的追踪轨迹。当新供应商 通过分级供应商风险评估，在该供应商上记录评估版本、结果以及审核员作为事件。将任何银行账户信息的变更视为所有层级供应商的高风险主数据事件，记录谁提出了请求、如何通过已经在案的联系人进行确认、谁对其进行了核实和批准以及具体时间，以便付款审核能够查明在资金划拨前核查了哪些内容。

AI 代理如何改变采购决策轨迹？