日志不是审计：审计要的是谁在何时对哪条业务做了什么

审计要一张出货单的修改史，IT丢来几GB日志。日志不是审计：审计要的是谁、何时、对哪条业务、做了什么、旧值新值。应用必须写业务审计表，按单据可查。运维日志给故障，不给合规。把两者混为一谈，迎检时会同时得罪审计和运维。

能grep不等于能作证。作证需要结构化、不可随意删、与账号绑定。

业务审计最小集

登录与权限变更、单据创建修改删除、导出、审批、价格和数量字段。记录操作者（禁止共用账号）、时间、单据号、字段新旧值。保留期限按法规，查询按单号秒级返回。

• 管理员改数同样进审计，超级权限不是豁免。
• 智能体操作记到发起人+工具名。
• 审计表只追加，清理走归档策略，不走\"磁盘满了先删\"。

按单可回放才叫审计

XYN 数智化系统把关键操作写成业务审计，验厂和内审对着单号打开。日志继续给SRE。两者分开，合规成本下降，因为不再用运维夜班充当审计查询引擎。

用一张近三个月改过数量的订单做演练。十秒内拿不出新旧值，就还没有审计，只有日志。