模块复习

发现异常，怎么查清？

新疆尼娅面包厂发现一个员工账号连续访问多个平时不用的文件夹。周厂长想马上问员工本人，张婷却先把调查过程整理成5步。

第一步确认异常现象，第二步保存相关日志和文件状态，第三步确定涉及的账号、设备和数据范围，第四步沿时间线追查原因，第五步形成处理结果并记录后续措施。每一步只解决当前最需要确认的问题。

过去调查没有固定顺序。有人先找员工谈话，有人先翻电脑，还有人先修改账号权限。信息不断被不同人员重复查找，甚至可能因为操作过早而改变原来的证据。

张婷抓住“调查顺序”这个关键链接点，把5步放进现有事件记录表。出现异常时，先按顺序完成当前步骤，再进入下一步；已经确认的事实直接记录，不再让后续人员重新调查。

以后再出现类似异常，调查不必从“先做什么”开始讨论。5步把零散的查找、询问和判断接成一条连续路径，让调查时间真正用在确认事实和处理问题上。