先确定评估范围
不是什么都一起查。
师傅
“这次先评估哪些业务？”
项目负责人
“会员、客服、配送和配方管理。”
小白
“系统范围就包括会员系统、客服系统、配送系统、配方系统和相关数据库。”
师傅
“还要写数据和第三方范围。”
【 第 2 步 】
评估计划室
师傅：“正式评估以前，我们先不急着进系统查数据，而是把这次工作范围划清楚。今天要编制一份评估计划，写明评估目标、依据、参与人员、方法、时间和交付成果，同时确定五类评估范围：业务范围、系统范围、数据范围、时间范围和第三方范围。
随后建立证据清单。证据也有强弱：配置、日志和测试记录属于直接技术证据，制度和合同属于正式文件证据，工单和备份记录可以证明实际执行情况，而问卷、访谈和邮件说明属于陈述性证据，只能先作为线索。
每份重要证据还要检查真实性、完整性、有效性、一致性和充分性。”
01 · 现场对话
评估计划室的知识任务
给时间也画边界
评估证据需要明确时期。
小白
“日志全部都查吗？”
师傅
“先确定时间范围。”
小白
“比如检查当前制度，再抽查最近90天的操作日志？”
师傅
“对。时间边界要写进计划。”
建立证据清单
先知道结论需要什么材料。
小白
“客服说批量导出都经过审批。”
师傅
“先把这句话记成线索。”
小白
“然后要找审批单、权限配置和导出日志。”
师傅
“对。几个证据相互支持，结论才更可靠。”
用五个问题核验证据
不是拿到文件就算完成。
师傅
“这份权限表是去年的，可以直接用吗？”
小白
“先确认现在还有效。”
师傅
“还要检查什么？”
小白
“来源是否真实、内容是否完整、和实际配置是否一致，最后看证据够不够支持结论。”
师傅
“很好。”
02 · 小白做现场笔记
重要概念及注释
评估计划
- 正式含义
- 在正式评估前，对目标、范围、依据、人员、方法、时间和交付成果进行统一安排。
- 基本内容
- 评估目标 评估范围 评估依据 参与人员 评估方法 时间安排 交付成果 保密要求教材的评估计划也是按照这些项目组织。
开始评估以前，先把为什么评、评什么、谁来评、怎样评说清楚。
评估范围
- 正式含义
- 明确这一次评估真正包含哪些对象和时间边界。
- 五类范围
- 业务范围 → 评估哪些业务功能 系统范围 → 涉及哪些系统、数据库和云服务 数据范围 → 检查哪些数据和字段 时间范围 → 检查哪个时期 第三方范围 → 哪些外部机构参与处理教材明确使用这五类边界确定评估范围。
评估范围就是先画清楚：这次究竟查到哪里。
范围变更
- 正式含义
- 评估过程中发现原计划没有包含的新系统、接口、第三方或数据活动时，对评估范围进行正式调整。
- 面包厂场景
- 原来只计划检查会员系统。
现场却发现：会员系统 ↓ 还连接一个未登记的境外邮件服务这时不能直接忽略。
应该：登记范围变化 → 分析影响 → 批准后纳入
现场发现新的数据路线，评估范围也要跟着更新。
证据四个层次
- 教材中的四类证据
- 直接技术证据 → 配置、日志、数据库查询、测试结果 正式文件证据 → 制度、合同、审批单 业务运行证据 → 工单、培训、删除、备份记录 陈述性证据 → 问卷、访谈、邮件说明其中陈述性证据主要作为线索，需要继续交叉验证。
“他说做了”是线索，“系统和记录证明做了”才更有力量。
证据核验五问
- 拿到一份证据以后依次检查：
- 真实性 → 是不是来自可信来源？ 完整性 → 有没有缺页、缺时间、缺字段？ 有效性 → 现在还有效吗？ 一致性 → 和配置、日志、访谈能不能相互支持？ 充分性 → 这些证据够不够支持结论？这是教材明确规定的五项证据核验问题。
有证据还不够，还要确认这份证据是真的、完整的、有效的，而且足够。
证据清单
- 正式含义
- 用于统一记录评估材料、来源、版本、日期、核验结果和备注的清单。
- 基本字段
- 编号 证据名称 提供部门 版本 / 日期 核验内容 核验结论 备注
证据清单就是给评估材料建立一张“材料台账”。
工作底稿
- 正式含义
- 记录评估人员检查了什么、依据什么、发现什么以及如何作出判断的工作材料。
- 基础结构
- 检查项 ↓ 评估依据 ↓ 证据编号 ↓ 核验过程 ↓ 发现 ↓ 初步结论 ↓ 建议教材要求每个问题都能够追溯到证据编号和评估人员。
工作底稿记录的是“这个结论到底是怎样得出来的”。
03 · 经验和难点
小结
这一站，小白完成了评估目标、业务、系统、数据、时间和第三方范围的确定，并建立了第一份证据清单。最值得记住的经验是：先确定评估边界，再围绕准备形成的结论收集证据。初学者最容易遇到的难点，是把访谈或邮件说明当成充分证据，而没有继续用配置、日志、合同和测试结果交叉验证。