引言 

继上篇构建反舞弊合规调查的整体框架后，本篇我们将聚焦于具体的调查方法，深入探讨文件和电子数据证据的审查。现代企业运营高度依赖电子数据，电子邮件、合同文档、保障数据乃至删除的文件，往往潜藏着舞弊行为的关键线索。因此，对文件和电子数据的“深潜”成为了反舞弊合规调查中必不可少的一环。本文将解析如何使用各种技术与方法对文件和数据进行审查，有效识别风险线索、挖掘关键证据，为反舞弊合规调查提供有力支撑。 

一、  背景调查 

背景调查是合规调查手段中最基础、最前置的调查手段之一。通过各种免费或收费的、官方的或第三方的数据库、媒体、网络等，对涉案的人员或公司、企业开展背景调查，能够帮助合规调查人员尽快理清各种关系，打开调查局面。

(一)  自然人身份查询 

反舞弊合规调查案件中，往往涉及形形色色的自然人，既包括被举报的内部员工，也包括与内部员工串通的外部供应商、客户人员，还包括其他相关的参与者和知情者。通过合法且公开的渠道核验相关自然人的身份并了解其基本背景，对于调查工作的推进至关重要。 

一种常见的情形是，在相关证据或线索中出现了某一手机号或微信号，需要据此核实对应人员的身份信息。此时，可借助即时通信及移动支付软件的实名认证功能进行初步核查，例如在相关APP中搜索相关账号，并查看其实名认证、昵称、头像等信息。但需注意，账号的昵称与头像通常属于可变信息，而实名认证信息往往无法完整显示。因此，亦可进一步检索该手机号对应的短视频平台、生活分享平台等社交媒体上的信息，此类平台往往可以提供更丰富的线索。具体查询方法需要根据平台隐私规则确定，例如部分平台要求将目标手机号添加至通讯录并开启APP的通讯录权限，方可查询其对应的账号信息；同时，某些平台可能通过“好友推荐”等机制向被查询人暴露查询行为。除上述情况外，实践中还存在通过充话费获取缴费单、联系通讯公司（前提是具备正当理由）、或假借银行、快递、猎头等名义直接联系目标手机号等方式进行身份核实，但这些方式可能引起对方警觉，存在“打草惊蛇”的风险。 

另一种常见情形是，已知相关自然人的姓名及职业信息，需进一步核实其身份真实性、法定资质及任职情况。此时，通常需要借助专门平台进行查询。例如，对于医生、护士等具有执业资格的自然人，可以在有关政府部门的官方网站上查询其执业单位、执业资格等信息；而通过国家企业信用信息公示系统，则可以查询自然人在企业担任股东或董监高的情况。 

需特别注意的是，按照姓名检索自然人时易出现重名的问题，因此需要结合多个渠道的信息来综合比对。例如，经常居所地、生日等其他关键信息可以辅助排重（公开的工商登记信息仅包含姓名，而裁判文书信息可能包含生日、住址等）。 

(二)  企业信息查询 

对于案件中涉及的供应商、客户或其他企业，可以通过企业信用信息公示系统、信用中国、第三方商业查询平台以及企业官网、官方社交媒体账号等多种渠道查询相关信息。查询内容通常包括企业的注册日期、经营范围、地址、股东、董监高、财务负责人、对外投资、主营业务、联系方式等。此外，还可通过相关政府部门的官方网站查询企业的行政许可、产品注册、知识产权、招投标等信息。根据法律法规要求，企业亦应当在官网或电子商务平台中的店铺中展示其资质证照信息，这对于仅掌握商号而未知公司全称的类似情形尤其具备参考价值。需要注意的是，公开的信息可能存在延迟或不准确，此时可视情况通过律师依法调取工商档案资料以获取更加准确和详细的信息。如果调查对象为上市公司，则可通过其披露的上市公司公告来挖掘更多详实的信息，包括财务数据、人员履历、主要供应商客户、重要合同等信息。此外，企业发布的招聘信息往往也包含重要信息，如业务模式、用人需求及关键联系人等。最后，还可通过搜索引擎和社交媒体平台了解企业的舆情动态，从而辅助判断其声誉风险。 

(三)  违法犯罪及涉诉记录查询 

反舞弊合规调查案件中，通常都需要通过公开渠道查询涉案自然人及企业的违法犯罪和涉案记录。除少数引起社会广泛关注的案件外，通常只有已经终结的案件信息才会被公开。尽管这些信息未必与内部合规调查直接相关，但其反映出的相关自然人、企业的合规意识和合规表现，仍可为全面了解涉案对象提供参考。我国的不同行政机关和司法机关会通过各自的互联网平台公开行政、刑事及民事司法案件信息，常见平台包括中国裁判文书网、中国执行信息公开网、人民法院公告网、人民法院诉讼资产网、中国检察网案件信息公开等。此外，市面上也存在各类第三方数据库，提供企业信用、案件检索等收费服务，通过对官方渠道的信息进行分类汇总，供用户更加便利地检索使用。由于自然人违法犯罪记录属于个人敏感信息，使用第三方平台时需要注意确保数据来源合法。另外，需要注意上述信息检索平台的信息可能存在数据不完整、更新不及时等问题，具有一定的局限性。因此，建议在实际操作中结合多平台、多渠道进行交叉验证，以提高信息的准确性与完整性。 

(四)  巧用社交媒体 

近年来，除了传统的信息获取渠道，社交媒体与开放性网络平台在合规调查中的作用愈发凸显。此类非结构化的数据来源在特定情形下能提供意想不到的调查线索，补足“证据拼图”中关键的一块。 

首先，社交媒体是识别人物身份、隐性关联关系及潜在利益输送渠道的有力工具。通过微信公众号、微博、知乎专栏等平台，可以核实涉案员工的职业背景、兼职记录和外部活动等。例如，某被调查员工在公司内部申报并无外部兼职情况，但曾以专家顾问身份参与演讲活动，涉嫌存在未报备的外部营利行为。进一步地，员工及其家属与供应商之间可能存在点赞、评论、转发等互动痕迹，甚至出现注册手机号相同等关联信息，这类信息在企业信息平台（如企查查、天眼查）中往往难以察觉。此外，在旅行类社交平台（如携程、去哪儿、飞猪）或打卡平台（如大众点评）等平台中，还可能发现多个独立的供应商共用地址、商铺照片等，存在“影子公司”或“一人多户”的嫌疑。 

其次，深度挖掘社交媒体中包含的评论、图像等信息，可以实现进一步分析环境及消费、验证活动地点等功能。在关于员工报销费用的核查案件中，通过大众点评、携程、美团等平台，常可获取关于餐厅、酒店的内部照片、价格信息、发票格式等细节，这些信息可用于对比费用报销凭证的真实性。例如，某消费凭证显示存在高档餐饮消费，而平台评论却显示该餐厅仅提供低价餐饮，价格不符。此外，借助搜索引擎的图像搜索功能，还可以验证照片是否真实拍摄于声称的地点，以识别是否利用公开图库进行套图的行为。 

二、  文件审查 

文件审查同样属于合规调查的基础性、前置性手段之一。通过对搜集到的各种案件信息、证据和材料进行整理、分析、归纳、总结，其成果往往能够直指案件关键突破口，或为后续的员工访谈、现场调查等其他调查手段奠定基础并提供明确方向。

(一)  文件审查的数据来源 

在合规调查中，但凡与案件事实存在关联的信息、材料与记录，均可视作文件审查的有效数据来源。文件来源主要可以分为如下三类： 

l  公司层面的制度性与管理类文件，包括公司基本资料（如组织架构图、组织规模、经营范围、产品介绍等）、人力资源管理相关文件（如劳动合同、员工简历、职责描述、员工手册、薪酬管理及销售激励等）以及公司制度与流程相关文件（如内部授权政策、财务政策、合规政策等）。 

l  涉案业务相关文件，包括管理类文件（如业务计划、业务回顾、项目手册、审计报告、会议纪要等）、交易类文件（如招投标记录、尽调报告、涉案合同、项目审批单、验收记录等）及财务类文件（如会计账簿、报销单据、付款审批记录、付款凭证、结算单、银行流水等）。 

l  举报材料及随附提供的证据材料，包括举报人提供的举报信及聊天记录截图、活动照片、账目表格等补充材料。 

(五)  准备文件需求清单 

由于相关文件通常由不同的利益相关方保管，需要向举报人、业务部门、供应商、经销商等索要材料。因此，需要事先准备一个文件需求清单，描述所需要的文件类型，并要求对方予以提供或就无法提供的部分作出解释说明。 

在提出文件需求时，需要注意提醒对方严格保密，并且视情况判断是否披露调查信息。特别是对于可能存在利益冲突的业务部门或者外部的第三方，应当尤为谨慎。此类情形下，可以以日常审计、定期风险评估等理由提出文件需求，而不直接披露正在开展的合规调查事项。此外，为避免对方根据文件需求的清单反推出调查的方向和进展，对于文件的需求可以适当大于实际需要的文件。 

(六)  数据对照分析（Data Cross-reference Analysis） 

以员工涉嫌商业贿赂的文件审查方法为例。商业贿赂的本质是以利益换取不正当竞争优势，其直接目的往往是短期内显著提升特定主体的业绩表现。因此，业绩数据的异常波动是首要关注点。首先，可以调取涉案员工的销售数据，再对销售数据进行横向、纵向、区域、市场、渠道等多维度的对比分析，定位出销售数据中难以用正常商业逻辑解释的潜在异常点（例如某段时间销售数据的突然增长）。其次，孤立看待销售数据异常可能导致误判（例如市场需求爆发），因此需将异常点放置于更广泛的背景中进行交叉验证。例如，结合员工的基本人事信息（负责产品线是否具有贿赂高发特性、入职年限及过往合规记录是否提示风险倾向）、费用数据（异常销售数据同期报销费用类型及明细是否存在非正常情况）以及外部环境风险（当地最近是否有违法事件、是否存在其他政府调查）等信息进行相互参照及核查。最后，可以建立客观的风险评估机制，针对上述风险点和风险因素进行赋值和加权计算，筛选出疑点较高的调查对象，利用热力图等可视化工具呈现筛选结果及对应的风险级别，科学分配后续的调查资源。 

(七)  文件真实性合理性分析（Verification and Analysis） 

以员工涉嫌虚假报销的文件审查方法为例。在医药健康行业中，常见的虚假报销情形是以虚构的学术会议为名，套取餐费、场地费或讲课费用于贿赂或个人消费。此类行为往往依赖伪造或变造的支持性文件，文件审查的目标则是识别出其中的蛛丝马迹。需要审查的文件包括：会议邀请函、签到表、活动照片、视频、餐饮水单、发票、POS单等文件。审阅的方法就是单笔报销材料内部比对、多笔报销材料横向比对以及报销材料与外部信息（背景调查信息）比对，典型的疑点包括： 

l  活动照片：检查参会人数、会场环境、时间戳是否符合会议申请中的信息。 

l  餐饮水单：结合背景调查手段核实餐厅是否存在、菜品价格是否真实、消费金额是否符合公司政策、是否出现高价海鲜/酒类等不合理消费。 

l  发票：通过税务局发票系统核验发票真伪，关注开票日期是否符合消费日期，开票金额是否符合水单金额、发票章是否真实等问题。 

l  签到表：关注签到表中字迹是否属于参会者本人。若存在字迹雷同、笔迹一致等问题，则存在“代签”甚至虚假参会的风险。 

三、  电子数据审查 

在信息时代，电子数据已成为企业日常沟通与运营的核心载体，故而电子数据审阅对于合规调查的重要性与日俱增。然而，电子数据易篡改、易灭失的特性与其海量性并存，一个案件中甚至可能涉及数以百万计的文件，因此严谨、科学、高效的审阅方法和专业的工具必不可少。本部分将全流程展现电子数据审查的过程。

(一)  数据映射与证据留存（Data Mapping and Legal Hold） 

数据映射是指识别与调查事项相关的数据可能存储在哪些信息保管人（Custodians）的哪些设备或系统中。确定信息保管人，通常需要结合已知的涉案人员、相关部门和业务流程加以判断；而调查涉及的数据载体，一般包括员工的工作电脑、工作手机等终端设备，以及公司邮箱、网盘、办公即时通信软件（如Microsoft Teams、企业微信等）等系统。由于上述数据通常系员工为履行工作职责所产生，且存储于公司所有的设备或系统中，原则上公司具有查阅上述信息的权限（关于合规调查中的合法性边界问题，将在本系列的后续文章中详细介绍）。需要注意的是，涉案人员在沟通敏感或私密事项时，可能会刻意绕开公司可控系统，转而使用私人设备或应用程序（如个人微信、私人邮箱等）。因此，仅依赖电子数据审阅可能存在一定局限。对此，可在开展合规访谈时，经被访谈人同意，请其配合出示相关私人设备或通信记录，以弥补潜在信息缺口。 

证据留存旨在确保包括电子数据在内的证据不被篡改、删除，通常可以采取内部备份留存、关闭员工删除信息的权限、关闭文件定期清理功能等措施。此外，在可能涉及诉讼和外部调查时，必要时可以发出“证据留存通知”（Legal Hold Notice）要求相关业务部门、IT部门和人员不得篡改、删除与调查事项有关的电子邮件、文件、电子记录等电子数据。证据留存通知的发布方式和范围需要结合具体案件情况综合判断。调查人员在履行证据保全义务的同时，也需权衡信息披露可能带来的风险，避免因过早暴露调查动向而“打草惊蛇”，导致证据被转移或销毁。 

(八)  数据保全与镜像（Preservation and Imaging） 

考虑到审阅结果可能作为证据用于潜在的行政、刑事、民事流程，需要确保电子数据来源可靠，且数据处理、审阅的过程本身没有对电子数据造成篡改。因此，审阅过程应当针对数据的镜像而非数据的原始载体，因为审阅的过程本身可能就造成相关电子数据的变化。举例而言，调查人员发现员工电脑里保存了其接受供应商贿赂的账本表格，而员工可能抗辩自己根本没有这样的文件，甚至质疑调查人员栽赃陷害将账本存到了自己的电脑。此时，调查人员就需要有充分的证据证明证据的可靠性，而这就需要依靠数据保全与镜像，这一步骤通常需要与IT部门、数据供应商、鉴定机构、公证处等通力合作。 

在最理想的情况下，在获取必要的授权后，调查人员需要采取下列步骤：获取原始载体、制作原始载体的镜像、证明获取原始载体到制作镜像的过程可靠、保护原始载体的原貌。具体而言，可以采取下列措施： 

l  获取原始载体：获取原始载体的常见策略包括两类，一类是在启动正式调查访谈时，明确告知被访谈员工其配合调查的义务后，当场要求其交还公司配发的电子设备（包括工作电脑、工作手机等）。一类是以“系统维护/更新”的名义，协同IT部门在预设时间点集中收集目标设备，以实现同步控制多台设备的目的。但无论采用何种策略，均需确保行为具备明确的合法基础，保证公司规章制度、员工劳动合同等文件中明确赋予了公司在特定情况下管理和控制公司资产的权力，且操作过程中需严格遵守内部规定及外部法律法规，不可侵犯员工的合法权益。

 l  制作原始载体的镜像：通常由IT部门、司法鉴定机构或数据供应商等具有专门知识的人进行操作，获取原始的、未被更改的副本，该过程应注意不得改变原始载体中数据的状态。可以通过哈希值校验的方式确认复制的镜像与原始载体中的数据一致，此外可以制作两份完全相同的镜像，一份用于后续的处理和审阅，另一份由公证机构封存以备日后校验。 

l  记录获取原始载体到制作镜像的过程：一是通过链条记录（Chain of Custody）详细记录原始载体及镜像文件的初始保管人、证据接收人、接收时间、储存介质、处理过程等信息，每一次证据交接都要由相关人员签字确认；二是通过公证机构或者可信时间戳等方式对于从获取原始载体到完成镜像的全过程予以固定。 

l  镜像数据的解密与处理：镜像完成后，还需对数据进行预处理，以便后续的分析、审阅工作。首先，需要整合元数据，元数据包括邮件时间、文件作者、修改时间、文件路径等，便于筛选、排序及对比；其次，如果涉案电脑启用了BitLocker（Windows）或FileVault（Mac）保护，则需要从移动设备管理（MDM）系统或其他渠道获得数据的解密密钥以对数据进行解密；最后，需要准备审阅格式，即将处理后的数据导入Relativity，EnCase等审阅平台，进行正式审阅前的索引、去重、OCR识别等技术步骤。 

l  原始载体的后续处理：理想状态下应对原始载体进行封存并通过公证机构或可信时间戳予以记录，但实践中工作电脑、工作邮箱等可能仍要继续投入使用，则只能依赖前述步骤来尽力确保证据的可靠性。 

(九)  数据审阅和分析（Review and Analysis） 

如果说前述步骤是电子数据审阅的准备工作，那么数据审阅和分析就是事实发现的核心步骤。在这一阶段，调查人员通过Relativity，EnCase等审阅软件在线审阅经处理并上传至云端的电子数据，通过关键词并结合表达式搜索初步筛选出待审阅的数据，并进行人工审阅和标记（Coding），识别出与调查事项相关的文件，并根据涉及的事项、重要性、敏感度进行分类。本步骤的核心要点主要包括： 

1.  关键词（Search Terms）设置 

关键词包括通用关键词（General Terms）和特定关键词（Specific Terms）两类。通用关键词是某一合规领域（如商业贿赂、职务侵占等）通用的关键词，一般专业的调查人员都有自己的通用关键词库，根据项目所涉合规领域调取并稍加调整即可使用；而特定关键词是为了某个特定的调查项目量身打造的词库，一般需要根据项目背景、举报信、前期调查发现等情况进行具体设置。 

关键词通常由关键字与逻辑连接符组成，常用的逻辑连接符包括AND、OR、NOT、W/n等，具体含义如下： 

逻辑连接符	示例	含义
AND	A AND B	“与”，即文件中同时包含A和B。
OR	A OR B	“或”，即文件中至少包含A或B任意一项。
NOT	A NOT B	“否”，即文件中包含A但不包含B。
W/n	A W/5 B	A与B同时出现且A与B距离5个字符内。

 关键词设置虽规则简明，实则高度依赖调查人员的专业素养，需融合丰富的调查经验、生活常识与策略性思维。具体可遵循以下原则： 

l  注意宽严有度。关键词的限定条件越多、长度越长，则搜索结果越精确，但也越容易遗漏文件。通常需要经过多轮“试运行”并逐步调整，才能达到合理的命中比例。 

l  把握核心特征。可以通过初步检索找到一些样本文件，从中提炼核心特征并纳入关键词。这些核心特征通常是仅在特定场合下使用的用词或表达，有助于精准定位到目标文件。 

l  适配语言习惯。需要熟悉相关领域常用的“黑话”、俗称及特殊表达，例如中纪委公布的案件中以“小海鲜”指代行贿的现金。此外，鉴于文件中出现错别字的情况较为普遍，设置关键词时需予以考虑，并预先构建常见同义表达及错误形式变体。 

l  善用属性限定。通过对文件拓展名、邮件收发件人、时间范围等要素进行过滤，可大幅提升审阅的针对性。 

2.  标签面板（Coding Panel）和审查手册（Review Manual） 

面对案情庞大、问题复杂、多维度交叉的合规调查案件，Coding Panel和Review Manual的设计尤为关键。 

Coding Panel是指在数据审查平台中用于为每份文件进行分类、打标签（Tagging）和记录判断的界面模块。它直接决定了审查决策的统一性、审查结果的可检索性，以及后续风险分析、可视化报告的准确性。在合规调查中，Coding Panel常包含如下关键字段，具体可根据案件量身定制： 

l  相关性（Relevancy）：根据是否与待调查事实相关及相关程度，可进一步分为Highly Relevant、Relevant、Not relevant等多个等级。 

l  问题分类（Issue）：根据待调查事实所对应的犯罪或违规的具体风险点，对于案情简单的案件，可以直接用“商业贿赂”“职务侵占”等相关的违规类型作为Issue；对于案情复杂的案件，则可能需要对于违规事项进一步拆分，区分构成要件和具体行为模式（如现金、礼品、宴请等）、员工在案件中的角色（如指示、暗示、实施、执行）等。此外，部门、产品线、时间区间等信息也可以作为选项。 

通过科学合理地设置Coding Panel，可以帮助调查人员快速对审阅结果进行分析，掌握审阅发现的全局面貌，通过筛选标记的结果快速找到某一具体事实相关的发现，甚至可以通过时间线等方式快速可视化地展现案件发展的来龙去脉。 

Review Manual是配套Coding Panel使用的操作指南。其作用主要包括明确每个字段背后的含义及判断方法，统一调查团队的审查标准；提供典型案例与批注模板，降低调查成员的学习成本；便于后期对整体审阅质量的统一校准与审查。 

3.  审阅 

完成前述准备工作后，即可启动电子数据的正式审阅流程。在标准的电子数据审阅规范中，该流程至少应包括两轮审阅环节。 

第一轮审阅（First Pass Review）通常由初级的合规调查人员进行，旨在对于经关键词命中的大量文件进行初步筛查，按照Coding Panel的要求对文件的相关性和问题分类进行勾选，并简要归纳文件与调查相关的主要内容。为了确保第一轮审阅的质量，在这一阶段需要由资深的合规调查人员同步进行质量控制（Quality Control），即抽取一定比例的已审阅文件，判断第一轮审阅者对于审阅要求是否理解正确。 

第二轮审阅（Second Pass Review）通常由资深的合规调查人员进行，旨在对经过第一轮审阅筛选出来的文件进行进一步的分析，判断其重要性，确认相关文件是否用于后续的访谈、报告起草以及作为证据。 

在审阅过程中，调查人员可以利用技术辅助审阅（Technology Assisted Review，TAR）来提高审阅效率。对于涉案人员故意删除证据的情况，也可以借助文件删除分析与恢复技术恢复相关证据，即使无法恢复，也可以确认其存在删除证据的违规行为。 

在完成文件审阅工作后，调查流程通常进入数据导出（Production）阶段，即将审阅后的相关数据进行汇总处理，用于报告撰写、证据准备等调查步骤。本阶段应确保导出的数据具备完整性、可验证性和合规性，以满足内部审查或外部执法的要求。 

四、  结语 

文件与数据在现代商业脉络中所留下的痕迹，构成了照亮舞弊阴影的关键光源。背景调查、文件审查和电子数据审查手段如同精密的探针，帮助调查团队在庞杂信息中提取核心线索。但调查远未结束——这些线索指向的事实，仍需通过专业的实地核查与访谈技巧来验证、夯实，才能最终形成完整的证据闭环。本系列的下一篇章《反舞弊合规调查的攻防战：现场调查与攻心访谈组合拳》，将深入探讨这一关键环节，展示如何步步为营，直抵案件核心。