从中概股瑞幸咖啡、好未来事件谈企业如何启动“内部调查”第一步

    近日，美国纽交所上市公司好未来（NYSE:TAL）发布公告称，在公司例行内部审计过程中发现”员工存在不当行为”。受此消息影响，好未来股价盘后最大跌幅超28%。

    据悉，这名雇员已被当地警方拘留，好未来公司怀疑问题员工与外部供应商合谋，伪造合同等文件，错误夸大“轻课（Light Class）”的销售数据。

    2020年上半年，中概股一波未平一波又起，在瑞幸之后，又一中概股自曝员工数据造假。

    根据全球职务舞弊报告统计，新建或修改“电子数据”是最常见的隐藏舞弊手段之一，好未来员工同样是通过伪造合同的手段实施舞弊，企业面对员工的违规行为，如何迈出“内部调查”的第一步：电子数据固定。

    根据两高一部共同发布《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第五条、第六条、第七条提到关于如何将电子数据作为证据使用的相关规定如下：

电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据。

电子数据包括但不限于下列信息、电子文件：

（一）网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息；

（二）手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息；

（三）用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息；

（四）文档、图片、音视频、数字证书、计算机程序等电子文件。

    为了确保收集到的电子数据真实有效，我国在不断地制定和完善电子证据相关法律法规。这种情势下各大单位应该更加重视电子数据规范化保全，避免因电子数据的易丢失性和易篡改性等特点造成取得的电子数据不被认可。

    很多企业在调取员工数据的时候，程序很不规范，数据也不完整：经常遇到监察审计人员在开机状态下拷贝可见数据或者只对可见数据做ghost，却完全忽视已删除空间的数据，这样做既可能污染了原始证据，又忽略了最重要的已删除数据。那么如何规范完整地对电子数据进行保全？

    程序正义被视为“看得见的正义”，这源于一句人所共知的法律格言：“正义不仅应得到实现，而且要以人们看得见的方式加以实现”（Justice must not only be done, but must be seen to be done.）。所谓的“看得见的正义”，实质上就是指裁判过程（相对于裁判结果而言）的公平，法律程序（相对于实体结论而言）的正义。但程序正义比真相更重要，程序正义是执法者自我保护的武器。

    电子数据保全程序合不合法、流程规不规范、取证设备可靠与否，决定了电子数据是否可靠，最终能否被采信。因此在整个电子数据保全过程当中，对人员资质的要求（两名具备资质的人员在场），对电子数据的识别和保全流程，对取证工具的信任和解决问题的方法将影响司法的采纳结果。

在长期的司法鉴定实践中总结出了电子取证的四大原则：

对策：可以使用硬盘复制设备对原始检材进行位对位复制，把原始检材的全部数据到复制到新的存储介质上。后续的取证分析过程都可以直接在副本中进行。

    现场取证流程中最重要一点，根据“原则3记录所做的操作”的原则，通过拍照/录像和记录COC表单（Chain of Custody） 记录整个取证过程的操作。

    彩蛋：在现勘过程中，对开机状态下的设备取证，需要固定易丢失数据（包括内存中的密钥、剪贴板内容、运行的进程、网络账号密码等） ，毕竟易丢失数据一旦关机或者重启，数据就丢失了，而易丢失数据中的密码、密钥等信息对案件来说可能非常重要。

    ①使用物理内存镜像获取工具获取开机状态下物理内存

   ②使用内存镜像解析工具，成功解析出相关密码、密钥。

   百灵·计算机数据审查系统提供工具集—物理内存镜像获取工具、密钥获取工具等实用工具，可将百灵放置在U盘中，采用物理内存镜像获取工具固定开机状态下计算机的易丢失数据。

    近期频发的企业舞弊事件表明,相当数量的企业包括知名度极高的企业,内部控制还存在着巨大的漏洞。企业的内部控制水平提升,仍然任重道远。如何加强企业内部风险管控，做好事前预防、事中审计、事后取证已成为企业内审内控的工作重点。

    文章转自”美亚亿安“微信公众号

    原文链接：https://mp.weixin.qq.com/s/j1OYSB63yBzATbov2RAF3Q