為可稽核的決策軌跡定義採購事件數據
「在允許軟體草擬決標建議之前，我希望將每一項審批、例外情況和價格變動都記錄為獨立事件，因為日後審查人員正是依賴這條追溯軌跡。」
| 統計 | 來源 |
|---|---|
| FAR 子部分 4.8 保留美國聯邦合約及相關記錄（包括未成功的投標案），保存期限為最終付款後 6 年。 | 聯邦採購法規（FAR）第 4.8 子部分，2026 年版本 |
| 美國政府問責署（GAO）發現，向聯邦採購資料系統（Federal Procurement Data System）報告的 70 個機構中，有 36 確認完成了資料品質報告（針對 2023 會計年度）。 | 美國政府問責署 (GAO)，2025 |
| 聯合國稽核人員發現，在抽樣的 30 個當地採購案例中，有 14 缺乏足夠的評估文件供評估。 | 聯合國內部監督事務廳（UN OIOS），2024 |
| NIST 草案將日誌管理定義為生成、傳輸、儲存、存取和處置日誌數據。 | NIST SP 800-92 修訂版 1 草案，2023 |
| 一篇關於程序探勘（process mining）方法的文章指出，程序實例、活動、資源與時間戳記是事件日誌的核心內容。 | 邱等人，2019 |
| 一項郡級稽核發現，各部門未能持續為單一來源採購提供充分的理由說明。 | 庫克郡審計長，2016 |
這些來源涵蓋不同的司法管轄區、組織、期間和目的。它們並未衡量企業出現這些落差的頻率，且相關法規僅在其明定的範圍內適用。
可稽核的採購決策軌跡包含哪些內容？
美國聯邦政府採購為界定範疇提供了實用的參考。 聯邦採購法規 (FAR) 的合約檔案規則 要求政府採購辦公室保留足以構成交易完整歷史的檔案文件，並列出了從採購請求、正當性說明、招標、報價、供應商選擇、決標批准到變更等記錄。這些規則規範的是聯邦辦公室自身的檔案而非企業的採購作業，因此請將此清單視為您自身設計的覆蓋範圍檢查。
您可以將軌跡視為改變採購狀態的事件，加上每個事件所依據的證據：核准的請購單、確定的供應商名單、收到的報價、簽署的評估報告、核准的中標、修訂的合約、收到的貨物以及支付的發票。每個時刻都有相關的執行者、時間和文件，審查人員應該能夠在這些項目之間自由切換，而不需要要求三個團隊去翻找各自的收件匣。
每個採購事件記錄應該包含哪些欄位？
一篇關於程序探勘方法的文章給出了精簡的最小值。 邱（Chiu）、布朗-利伯德（Brown-Liburd）與瓦薩赫利（Vasarhelyi） 描述了一個事件日誌，其中包含流程實例、活動、執行該活動的資源以及時間戳記。他們示例性的採購到付款路徑（例如採購訂單、簽名、收貨、收發票、放行與付款）將標準序列與非標準序列區分開來，這取決於每個事件是否都帶有其流程實例、活動和時間戳記，同時資源欄位支援其他測試，例如職責分離。
採購事件需要的欄位比一般系統日誌稍多，因為採購審查人員也會詢問授權與依據。請新增記錄系統及其原生記錄編號、適用的核准規則、事件變更承諾時的金額與幣別，以及通往支援文件存檔版本的連結。將執行者記錄為具名人員或服務帳戶，外加當日生效的角色與授權委託，以便職責分離測試能夠查出請求者核准自己提出的請求。
如果這些資料將輸入至流程探勘或稽核分析工具中，採用已發布的交換格式可以讓您省去日後進行轉換專案的麻煩。 IEEE 1849-2023 XES 標準 定義了一種 XML 格式，用於在產生事件記錄的系統與分析這些記錄的工具之間交換事件記錄，其範圍將採購系統列為這些來源之一。將您的結構描述對應至該格式可確保資料在傳輸時每個欄位的含義清晰，不過完整性仍取決於每個系統所記錄的內容。
記錄應如何在需求登記、採購、合約與 ERP 系統之間進行串聯？
稽核軌跡可能跨越多個系統：需求受理工具中的請求、電子採購平台中的競標、合約管理中的協議，以及 ERP 中的承諾與付款。 開放式採購資料標準入門指南 為公共合約處理類似的問題，每個採購流程使用一個識別碼。每次變更都會以發布版本形式公布，一旦發布便無法更改，且記錄會對這些版本進行索引，並可包含保存各欄位最新值的編譯版本。
同樣的模式也適用於企業內部。在收件時指派案號識別碼，將其帶入採購事件、合約、採購訂單與發票中；當系統發行自身編號時，請儲存交叉參照；對於框架協議，應以合約作為錨點，讓框架協議項下的分批訂單、收貨記錄與發票皆能回溯指向它。保持歷史紀錄為唯讀附加（append-only），並由此建構出目前視圖，如此一來，修正後的供應商名稱或價格將會以帶有原因的新事件形式呈現，同時先前的數值依然可供檢視。
哪些採購事件需要最強的管控措施？
例外情況需要最強的控制，因為標準流程本身就內建了文件，而例外情況則必須建立自己的記錄。 一項針對單一來源與緊急採購的 2016 庫克郡審計 闡明了這項落差：研究發現，發起部門並未持續為單一來源採購提供充分的理由。調查亦發現，緊急採購表格並未要求說明為何未取得三家報價。
將每項例外情況記錄為獨立的事件類型：單一來源或單一投標的合理性說明、豁免競爭或報價要求、其他豁免的政策步驟，或是在決標後進行的手動價格或數量變更。每項例外都應載明其所偏離的規則、書面理由、核准人及其權限，以及核准時間相對於承諾事項的先後順序。在登錄表將授權委派（delegation-of-authority）限制視為不可豁免，因此超出個人權限的核准應記錄為呈報升級，或記錄為未授權承諾及其追認與違規記錄。
評估記錄也應獲得相同的待遇。在針對南蘇丹當地採購進行的 2024 內部稽核中， 聯合國審計人員 發現技術與財務評估在 30 個抽樣案例中的 16 符合招標標準，而其餘 14 則缺乏足供評估的適當文件。同一次稽核發現，開標委員會隨後記錄了每份投標文件的收件時間，這正是評估軌跡可以起步的時間戳記事件。
採購事件紀錄應該保留多久？
保存期限取決於管轄權與記錄類型，因此應與法務和財務部門共同制定，而非為所有項目選擇單一數字。針對美國聯邦合約， 聯邦採購法規（FAR）的檔案保留表 顯示合約及相關記錄（包括成功與未成功的提案），並在最終付款後保留 6 年。同一子部分要求資料傳輸、儲存與檢索程序，以保護原始資料免受竄改。
稅務規則從另一角度規範了相同的記錄。 美國國稅局（Internal Revenue Service）的收入程序（Revenue Procedure）98-25 要求其適用範圍內的納稅人在其內容可能對稅務管理具備實質意義時，保留機器可讀的記錄。它還要求納稅人記錄建立和修改這些記錄的業務流程，並在保留的記錄、帳冊與納稅申報表之間建立稽核軌跡，因此請將您的事件綱要及其變更歷史記錄與資料一同保存。
至於日誌本身， NIST SP 800-92 的修訂草案 將日誌管理定義為生成、傳輸、儲存、存取和處置日誌數據，並將在規定期間內保留記錄列為目的之一。它是針對網路安全日誌而編寫的，因此請將其用於儲存、存取和處置紀律，而不是用於決定哪些採購事件具備重要性。
採購團隊如何在稽核前測試稽核軌跡？
執行稽核員會執行的測試。為每個案例排序事件，並尋找違反您規則的路徑，例如在收貨之後才記錄簽署。在 邱與同僚，該路徑會被視為非標準流程，且同一作者群警告說，不完整的事件日誌會產生稽核人員無法使用的資訊。接著，尋找無人申報的例外情況，例如超過競爭性採購門檻卻沒有採購事件的訂單，或是發票日期早於訂單日期的情況，並檢查每個申報的例外情況是否都有其原因與核准人。
即使在強制性系統中，欄位資料品質也需要進行自身的檢查。在其對聯邦採購資料的 2025 審查中， 美國政府問責局 發現，在向聯邦採購數據系統（Federal Procurement Data System）報告 2023 會計年度數據的 70 個機構中，有 36 個確認完成了數據品質報告，其餘機構則佔合約支出承諾額的約百分之 0.26。調查亦發現，有兩個機構尚未針對重複出現低準確度的數據欄位記錄矯正行動計畫。每個週期抽樣關鍵欄位，並指派負責人找出重複發生錯誤的原因。
採購事件登記冊應包含哪些內容？
使用下方登記冊，逐系統確認哪些事件存在、每個事件必須包含哪些內容，以及誰負責處理缺失的欄位。從一個類別和一個最近的採購事件開始，從請購到付款進行追蹤，並標記出所有必須向人員詢問而非從記錄中讀取的地方。如果您的採購事件已經 遵循結構化的 RFQ 工作流程，其階段會對應到採購列。
| 事件類別 | 必須擷取的最低欄位 | 證據與所有者 |
|---|---|---|
| 請求與核准 | 案件編號、申請人、成本中心、類別、估計價值與幣別、需求、審批人、審批規則、時間戳記 | 採購收件記錄與審批歷史；預算負責人 |
| 採購事件設定 | 案件編號、採購事件編號、採購方法、受邀與排除的供應商及其原因、發布日期與截止日期（含任何展延及其核准人）、在發布時即已固定的評選標準、權重與計分方法 | 事件組態與供應商清單版本；品類經理 |
| 投標期間的提問與補充公告 | 投標者提問、發布給所有受邀投標者的匿名化解答、補充文件版本 | 事件訊息與附錄；事件負責人 |
| 投標收件與開標 | 供應商、提交時間、版本、逾期或拒絕狀態與原因 | 密封投標與收件記錄；專案負責人 |
| 開標後的澄清與談判 | 投標者專屬的澄清說明應予以保密並檢查報價變更、附帶理由的輪次邀請、各輪價格以及最後且最佳報價 | 澄清記錄與所使用的標價彙總版本；採購負責人 |
| 評估與決標 | 標準版本、評估人員利益衝突聲明、個人與經協調的評分、建議、決標審批人員與權限 | 經簽署的評估與決標核准；採購負責人 |
| 例外或違規 | 偏離的規則、原因、審批人、權限、相對於承諾的審批時間；針對任何未授權承諾的追認 | 正當性或追認記錄；政策負責人 |
| 合約與增補條款 | 合約編號連結至案件編號、進行的變更、變更前後的值、簽署權限、相對於核准決標金額的累計金額 | 已簽署版本與修訂比對；合約經理 |
| 訂單、收貨與發票 | 訂單審批人、合約價格參考、收貨或服務驗收、匹配類型與公差、附帶原因的受阻發票解鎖 | ERP 文件與比對例外；採購到付款負責人 |
| 付款 | 付款執行批次、日期、金額以及資金實際匯入的受款人銀行帳戶 | 付款檔案與銀行確認；應付帳款負責人 |
| 供應商建立與主檔資料變更 | 重複及稅務編號檢查、制裁篩選、欄位變更前後的值、獨立於請求之外驗證的銀行明細（變更時使用檔案中已有的聯絡人，新供應商則使用獨立取得的聯絡人）、請求人、核准人 | 變更請求與驗證憑證；不具採購權或付款釋放權的供應商主檔負責人 |
由作者撰寫的專業分析。請根據您的系統、審批政策及適用的記錄保存規則調整事件類別與欄位。這既非法律檢查清單，亦非完整的控制架構。
供應商記錄需要兩條獨立的追蹤路徑。當新供應商 通過分級供應商風險評估，請將評估版本、結果與審查人員記錄為該供應商的事件。將所有銀行明細變更視為針對所有供應商（無論其層級為何）的高風險主檔資料事件，記錄請求者、如何透過檔案中已有的聯絡人進行確認、誰進行了驗證與核准以及時間，以便付款審查能夠確認在資金轉移前檢查了哪些項目。
AI 代理如何改變採購決策軌跡？
常見問題
採購稽核軌跡所需的事件日誌最小資料量為何？
邱（Chiu）、布朗-利伯德（Brown-Liburd）與瓦薩赫利（Vasarhelyi） 將核心描述為程序實例、活動、資源和時間戳記。對於採購記錄，本指南建議同時擷取系統記錄編號、套用的審批規則以及支援文件的連結。
私人公司是否必須遵循 FAR 合約檔案規則？
聯邦採購法規 (FAR) 子部分 4.8 規定了美國政府採購辦公室檔案的要求，而非私人買家自身的採購要求。它仍然是一個有用的涵蓋範圍參考，因為它列出了從採購申請到合約完成的記錄。
採購活動歷程是否應該可以編輯？
將記錄更正作為附帶原因的新事件記錄下來，並保留先前的條目完整。 OCDS 入門指南 描述了相同的模式：發布後即無法更改版本，且記錄會對其進行索引，並可包含各欄位最新值的編譯視圖。
團隊該如何檢查其採購資料是否保持準確？
定期抽查關鍵欄位，並記錄任何持續失效欄位的糾正措施。 GAO 的 2025 審查 發現有兩個機構未針對重複出現低準確度率的資料項目記錄糾正措施計畫。
來源
- 聯邦支出透明度：確保採購數據品質所需的行動 (GAO-25-107469) — 美國政府問責署，2025。目前實證證據（官方報告）：FPDS 申報機構之間的資料品質報告完成情況，以及針對重複出現低準確度資料項目的未記錄之糾正措施。未確認完成報告的機構的採購義務份額。
- 聯合國南蘇丹共和國特派團當地採購審計（報告 2024/064） — 聯合國內部監督事務廳內部審計司，聯合國內部監督事務廳，2024。當前的經驗證據（官方報告）：抽樣評估案例中文件不充分的比例，以及投標開標委員會隨後記錄每份提交物收件時間的情況。
- 聯邦採購法規（FAR）子部分 4.8 - 政府合約檔案 — 聯邦採購法規委員會（總務署、國防部、美國太空總署），Acquisition.gov（美國聯邦總務署），2026。情境證據（官方報告）：合約檔案的完整歷史目的、檔案內容範例、保存期限以及保護儲存資料不受竄改。
- OCDS 數據如何發布？（開放合約數據標準 v1.1.5 入門指南） — 開放式採購夥伴關係（Open Contracting Partnership），2020。情境證據（官方報告）：由流程識別碼連結的不變更版本發布模式，以及最新數值的編譯記錄。
- IEEE 1849-2023 XES 標準 — IEEE 程序挖掘工作小組，IEEE 程序挖掘工作小組（xes-standard.org），2023。情境證據（官方報告）：IEEE 事件日誌交換標準的存在、目的與範圍，包含將採購系統作為產生來源。
- 使用程序探勘執行內部控制測試：可能會出什麼錯？ — Tiffany Chiu、Helen L. Brown-Liburd 與 Miklos A. Vasarhelyi，《The CPA Journal》（紐約州會計師協會），2019。基礎證據（經同行評審的期刊）：核心事件日誌內容、標準與非標準採購到付款 (P2P) 路徑的變體區分、資源欄位在職責分離問題中的角色，以及日誌不完整的限制。
- NIST SP 800-92 修訂版 1（首次公開草案）：網路安全日誌管理規劃指南 — 美國國家標準暨技術研究院（National Institute of Standards and Technology）的凱倫・斯卡芬（Karen Scarfone）與姆魯吉亞・蘇帕亞（Murugiah Souppaya），2023。背景依據（官方報告）：對日誌管理的定義，以及將按規定期間保留日誌列為其目的之一。
- 稅收程序公告（Rev. Proc.）98-25（機器可讀記錄的保留） — 美國國稅局（Internal Revenue Service），1998。基礎證據（官方報告）：在記錄可能具實質意義時進行保留、記錄建立流程的文件化，以及記錄、帳冊與申報表之間的稽核軌跡。
- 首席採購官辦公室之單一來源與緊急採購稽核 — 庫克郡審計長辦公室，伊利諾州庫克郡，2016。歷史證據（官方報告）：獨家供應商（sole-source）理由不充分，且緊急表格缺少了將取得三家報價之例外情況合理化的必要條件。