制度写「单据保留三年」、实际附件在个人邮箱、日志只留三十天。验厂或外汇检查要调某票货、找不到当时谁改过数量。留存不是口号、是存储设计：哪些日志・哪些附件・存在哪一层・如何防篡改・如何按合同号找回。外贸的报关・产地・信用证往来、尤其不能靠聊天记录顶替。
三年后还能打开的才叫留存。现在能打开的只叫在线。
分层和不可篡改
在线库保留热数据、归档库按出货编号打包：发票・箱单・提单・邮件・操作日志摘要。日志只追加、修改留前后镜像。附件哈希入库、替换视为新版本而非覆盖。检索必须支持合同号・报关单号・发票号、不能只支持「记得大概哪个月」。
- 热数据与归档的保留期限分开写进运维手册。
- 删除权限与业务权限分离、防止「先删再改」。
- 定期抽检：随机抽一票三年内的货、限时找回。
日志要能讲清谁改了什么
数量・价格・目的港变更必须有人・有时・有原因。XYN 数智化システム把出货附件与关键操作日志按票归档、验厂和审计对着同一包。口号改成抽检项、留存才会有预算；只有口号、磁盘会在某次清理中「顺便」空掉。
先写清要留什么・留多久・谁能删。三句话写不清、就还没有留存设计。
