青岛一家轮胎出口公司，新配方的胎面花纹被同行抢先推上了市场。
老板心里有数是谁——一名三个月前离职的技术员。
可法务整理材料时才发现，手头只有一句“他以前天天在电脑上看这些图”，哪天看的、有没有拷走、拷到了哪里，一条都说不清。
事情最后停在“大家都知道是他”这一步。
一、认定卡在哪儿：这条链上总有一断裂开
认定链要走完四步，缺一步，材料就散。
（1）碰过，不等于带走。打开过一份图纸、看过一次成本表，证明不了想带走，更证明不了带走，认定要落的是中间那次动作。
（2）有动作，看不出是什么。日志记着某点复制了一个文件，可复制的是哪一份、里面是不是客户名单和工厂报价，纸面上看不出来。一台机器上躺着样单、报价和几百个表格，动作记录脱离内容就等于没说。
（3）记录落在机器上，人却在换。共用机器、忙时互相帮忙、居家连回公司电脑，在外贸公司都是常态，要把某次操作精确落到某个人头上，往往就卡在这儿。
（4）出了公司，后面全断。文件拷进私人U盘、发到境外邮箱就脱离了视野，对方怎么用、用在哪一单，这边拿不到任何东西。能认定的通常只到“东西出去了”这一步。
二、把这条链补起来，靠的是四类记录
四类记录各管一环，不能互相替代。
1. 文件动作：哪个文件，从哪到哪
新建、修改、复制、移动、删除、上传、外发这些动作，都会留下时间、账号和源路径、目标路径。
客户清单被带走的路径通常只有两三步——从共享盘到本机，再到U盘，路径一对，链条就出来。
2. 文件内容：动的是不是那几份
一台机器上几百个表格，光看“复制了三个文件”说明不了什么。
范围得事先划：把客户名单、报价单、成本核算这类词收进词库，命中就报警留记录。
同一句记录就从“拷了三个文件”变成“拷的是那份给欧洲客户的报价底单”。
3. 外发通道：从哪条路出去的
文件离开公司的路不止一条：邮件、即时通讯、网盘、浏览器上传、打印、外设，每一路都要能对上人和时间。
邮件记得最细——发件人、收件人、主题、附件名都在，附件还能备份，外贸最常出事的“发错客户”就在这一路。
打印记的是谁、什么时间、送了哪份文档。跨网交换另算一路，跟其他记录放在同一条时间轴上，常能把模糊的一段坐实。
4. 屏幕画面：没有文件动作时看这个
手机拍屏、口头交代，日志上什么都不留。定时或按动作触发的屏幕快照和录像补的正是这一段：某台机器某段时间里屏幕上是什么。验厂和展会最典型——客户或同行坐在对面，屏幕一览无余，这时靠的是画面。
三、记录要能摆上桌，还得过三道手
（1）先存得住。日志集中留存是前提。记录散在各台机器上，重装系统、换块硬盘就没了，离职交接时顺手清一下更是片纸不剩。留存位置和期限得写进制度。
（2）再拉得出来。认定时最花时间的往往不是找记录，而是把散在各处的记录按同一维度归拢——同一批操作，按人、按部门、按时间段各能切出一种视图，出报表这一步就从几天缩到几分钟。
（3）最后缩到两个窗口。一个是离职前后：外贸业务员和跟单流动不慢，客户资料和报价底单被集中带走多在这段时间，把客户名录的访问、成批文件的复制和外发单独拉一遍，最容易找到东西。另一个是正规外发申请，谁申请、什么时间、批没批都有记录，能对照出哪些是走流程的。
四、技术记录能到哪一步，到不了哪一步
（1）技术记录证明的是动作，不是动机。某人某个时间复制了一份文件是事实，可他为什么这么做、有没有交给别人，技术层面给不出答案，要靠制度和保密协议去补。
（2）能追到的范围止于公司覆盖得到的设备和通道。文件进了私人手机、私人邮箱，记录就断在出口那一处。
（3）它真正的用处是缩短争论时间。客户质疑报价泄露、工厂否认外传时，一份带时间和路径的记录，能让讨论从“有没有这回事”跳到“怎么处理”。
五、见过不少公司是在哪一步走错的
以为装了管控就有了证据。功能开了一堆，日志没集中存，真要用时翻不出来。
认定是事后把经过摆清楚，防范是让东西出不去，两者的手段并不相同——文件层面该收的口子收住，出口层面该留的记录留全，对内加密，对外防泄密，配着做才算完整。
责编：小赵