审计档案收集管理规定

审计档案收集管理规定第一章总则1.1目的为统一集团及所属公司审计档案的收集口径、移交时点、质量标准和保管责任，确保审计证据链完整、可追溯、可复现，依据《中华人民共和国档案法》《审计署关于内部审计工作的规定》《企业文件材料归档范围与保管期限表》等上位法，制定本规定。1.2适用范围本规定覆盖集团总部、全资及控股子公司、境外SPV、基金合伙平台、共享中心、审计中心、外部中介机构的全部审计活动，包括年度财报审计、内控审计、专项审计、经济责任审计、IT审计、反舞弊调查、离任审计、清算审计等。1.3定义审计档案：指在审计准备、实施、报告、整改、后续跟踪全过程中形成的、具有保存价值且未经篡改的全部原始记录与派生文件，无论其载体为纸质、电子、音视频、区块链存证或其他形态。第二章组织与职责2.1审计档案管理委员会（以下简称“档委会”）主任由集团总审计师兼任，成员包括档案中心、法务中心、信息中心、合规中心、保密办、采购中心、HRBP。职责：a)审批年度审计档案工作计划与预算；b)发布档案技术标准、元数据规范、加密算法清单；c)对重大档案缺失、损毁、泄密事件进行问责。2.2审计项目组（含外聘中介）a)指定“档案责任人”一名，须在审计通知书下达2日内向档委会备案；b)对审计现场产生的全部底稿、聊天记录、无人机航拍、IoT传感器日志进行“日清日结”式收集；c)在出具正式审计报告前完成档案自检，自检表须由项目经理、档案责任人双签；d)对涉密文件进行密级标识，绝密级文件须使用国密SM4加密并刻录一次性光盘。2.3档案中心a)提供统一档案系统（ADMS-Audit）账号权限，配置“四眼原则”审批流；b)在收到移交申请后5个工作日内完成质量复核，复核通过率低于95%的，退回整改并暂停该项目尾款支付；c)对已满保管期限的档案提出鉴定意见，经档委会批准后实施销毁或续存。2.4信息中心a)负责审计档案系统与ERP、OA、SAP、金蝶、用友、SharePoint、飞书、企业微信、钉钉的API对接，确保日志实时抓取；b)每季度进行灾备演练，RPO≤15分钟，RTO≤30分钟；c)对存储介质实施“双活+异地三中心”策略，主中心在北京亦庄，备中心在上海外高桥，冷备在宁夏中卫。第三章收集范围与颗粒度3.1必收纸质类a)审计业务约定书、补充协议、独立性声明、报价单、费用确认单；b)被审计单位承诺书、管理层声明书、治理层沟通函；c)原始凭证抽样表、现金盘点表、存货监盘表、固定资产标签粘贴单；d)询证函回函原件及快递封皮、物流轨迹截图；e)董事会、审计委员会、监事会会议纪要（须加盖骑缝章）。3.2必收电子类a)审计模型、Python/R/SQL脚本、参数表、运行日志、结果文件；b)被审计单位提供的ERP导库文件（.bak、.dmp）、系统管理员账号权限截屏；c)视频会议录像（1080P、MP4、H.264编码，码率≥2Mbps），须含人脸识别水印；d)区块链存证哈希值、智能合约地址、Gas消耗记录；e)邮箱.eml、.msg、.pst，微信/钉钉JSON原始报文，须保留消息ID。3.3选收类（视项目特点勾选）a)无人机航拍原始RAW、航线KML、POS数据；b)IoT温湿度传感器分钟级CSV；c)人脸识别门禁日志、NFC打卡记录；d)舆情爬虫数据、情感分析中间表；e)反舞弊调查中的手机镜像（.bin、.ufd）。3.4不收类a)与审计目标无关的个人隐私数据（如员工体检报告、婚姻状况）；b)已作废的草稿纸、重复扫描件、未使用的空白询证函；c)被审计单位明确声明涉及国家秘密且未经脱敏的文件。第四章收集流程4.1准备阶段（T-7日至T0日）步骤1：档案责任人登录ADMS-Audit，创建项目编号（规则：AD-年份-被审单位3位码-流水号），自动生成“收集清单模板”。步骤2：项目经理与被审计单位召开“档案启动会”，明确数据接口人、提供格式、时间节点、加密方式，会议纪要须双方双签。步骤3：档案责任人下载“审计档案移交承诺书”模板，被审计单位盖章后回传PDF。4.2实施阶段（T0日至T+30日）步骤1：每日离场前，审计员使用“审计宝”APP扫描纸质底稿，OCR识别后生成双层PDF，自动上传至项目文件夹；系统同步生成MD5值并写入区块链。步骤2：对电子数据采用“3+1”策略：原始库、工作库、分析库+只读镜像库；任何分析操作只能在分析库执行，禁止改写原始库。步骤3：对涉密纸质文件，使用“国密碎纸机”销毁草稿，保留正本；销毁过程须录像，录像命名规则：SHRED-YYYYMMDD-序号.mp4。步骤4：遇被审计单位拒绝提供关键数据时，审计组须当场填写“拒证记录单”，由双方签字并加盖骑缝章；拒证记录单纳入必收档案。4.3报告阶段（T+31日至T+45日）步骤1：出具审计报告初稿前，档案责任人运行“档案完整性自检脚本”，脚本自动核对：①底稿索引号与审计报告段落交叉引用一致性；②电子函证回函哈希与区块链存证哈希一致性；③纸质档案页码连续性、缺页检测。步骤2：自检不通过的项目，系统锁定报告用章流程；整改后须重新运行脚本直至100%通过。步骤3：正式报告加盖公章后，档案责任人将PDF/A-2b格式报告上传至“报告库”，并同步生成纸质一份，使用无酸纸打印，线装。4.4整改与跟踪阶段（T+46日至T+365日）步骤1：被审计单位提交整改报告时，须同步提供佐证材料（发票、凭证、系统截屏），档案责任人按“一问题一档”归集。步骤2：后续审计项目须在“引用档案”字段中关联前期档案编号，确保跨年度追踪。第五章质量标准5.1可读性a)纸质档案须使用黑色签字笔或激光打印，字迹耐久性≥25年；b)电子档案须采用PDF/A-2b、TIFFG4、JPEG2000无损压缩；c)音视频须配SRT字幕，字幕须含时间轴、发言人姓名、审计项目名称。5.2完整性a)每份底稿须含“审计目标、程序、结论、索引”四要素；b)抽样表须列示总体、样本量、选样方法、随机种子、错报推断；c)电子函证须保留发件人SMTP日志、收件人IP、回函SSL证书指纹。5.3真实性a)任何修改须留痕：系统记录用户ID、时间戳、修改前后值；b)对关键数据使用国密SM2数字签名，签名证书须由集团CA签发；c)禁止任何形式的“事后补单”“倒签日期”，一经发现按“虚假记载”处理。5.4一致性a)纸质与电子版本须逐页比对，差异率≤0.1%；b)审计报告附注数字须与底稿、试算平衡表、调整分录保持勾稽一致；c)多语言版本以中文为准，如存在差异，须出具“差异调节表”。第六章移交与接收6.1移交时点a)现场审计结束5个工作日内完成首次移交；b)后续整改佐证材料须在收到后10个工作日内补充移交；c)中介机构的档案须随最终发票一并移交，否则财务共享中心拒绝付款。6.2移交方式a)纸质档案：使用“审计档案专用箱”（PP中空板、带铅封、RFID标签），每箱附“档案交接清单”一式三份；b)电子档案：通过SFTP加密通道上传，加密算法TLS1.3，ciphersuite：TLS_AES_256_GCM_SHA384；c)大文件（>10GB）使用移动硬盘，硬盘须采用AES256整盘加密，密码通过短信分两段发送给不同接收人。6.3接收检验a)档案中心在拆箱前使用RFID扫描仪核对箱号、铅封号；b)对电子包进行病毒扫描、格式校验、哈希校验，任一环节失败即视为拒收；c)拒收须在24小时内出具“拒收通知单”，列明原因、整改期限、复验方式。第七章保管与利用7.1保管期限a)年度财报审计：永久；b)内控审计、专项审计：30年；c)离任审计：10年；d)反舞弊调查：永久，且单独设置“涉密库”；e)保管期限自审计报告签发之日起算。7.2存储环境a)纸质库：温度14-24℃，相对湿度45-60%，使用七氟丙烷气体灭火；b)电子库：采用对象存储，多副本EC4+2，磁盘年失效率<0.5%；c)每两年进行磁性载体倒带、光盘可读性抽检，抽检比例≥10%。7.3利用权限a)审计组内部：项目经理可申请在线浏览，系统记录查询日志；b)被审计单位：仅可查询自身数据，须提交书面申请，经档案中心、法务中心双批；c)外部监管：持正式协查函，由档委会主任审批，并在“监管阅览室”查阅，禁止拍照、复印，全程录像。第八章保密与处罚8.1密级划分a)绝密：涉及集团并购、股价敏感信息、反舞弊调查；b)机密：未公开财报、内控缺陷、高管薪酬；c)秘密：一般抽样方法、审计程序描述；d)内部：可内部流转，但不得外泄。8.2技术保密a)绝密级电子档案须使用硬件加密UKey，私钥分段托管；b)纸质绝密档案须装入“防透视袋”，袋口贴RFID防拆标签；c)离职人员须在HR系统中注销ADMS-Audit账号，账号停用日志保存5年。8.3处罚措施a)轻微违规（如未按时移交）：项目经理扣减当年绩效5%，档案责任人通报批评；b)一般违规（如丢失非核心底稿）：项目经理降职，档案责任人记过，罚款1万元；c)严重违规（如泄露绝密信息）：解除劳动合同，赔偿损失，移交公安机关；d)外聘中介违规：暂停投标资格3年，没收履约保证金，并列入“黑名单”。第九章应急预案9.1档案损毁a)火灾：启动七氟丙烷喷淋，同时拨打119，档案中心在30分钟内将备份硬盘转移至地下金库；b)水灾：使用吸水膨胀袋封堵门口，启动去湿机，48小时内完成冷冻干燥；c)病毒攻击：立即切断网络，启动隔离区，使用备份快照回滚至攻击前15分钟状态。9.2档案泄密a)发现泄密后1小时内口头报告档委会，2小时内书面报告；b)由法务中心启动“证据固定”流程：对邮件、IM、服务器镜像进行区块链存证；c)48小时内完成内部调查，7日内向监管机构提交“重大事件报告”。9.3业务连续性a)档案中心须维护“最小可用档案集”，含最近三年审计报告、关键底稿；b)当主系统不可用时，启用“只读灾难恢复站点”，保证查询不中断；c)每季度进行“档案容灾演练”，演练报告经档委会签字后归档。第十章监督与考核10.1监督机制a)集团审计部每年组织一次飞行检查，抽查比例≥20%；b)外部CA每三年对数字签名、时间戳、哈希算法进行穿透测试；c)档案中心每月发布“档案健康度”仪表盘，指标包括：移交及时率、质检通过率、哈希一致率、泄密事件数。10.2考核指标a)移交及时率≥98%；b)质检通过率≥95%；c)泄密事件=0；d)档案系统可用性≥99.9%。10.3结果运用a)考核结果纳入集团“红黑名单”，与评优、晋升、奖金、投标资格挂钩；b)对连续三年考核前3名的项目