周五下午，林卓发来消息：「剩下二十家文件包今天全发过来了，加上上次八家，现在是全部二十八家了。」
陆衍把消息转给卫越：「全批跑，跑完我来看。」
「好，」卫越说，「这批量大一点，估计要到晚上。」
「不急，」陆衍说，「跑完再说。」
晚上九点，卫越发来结果。
高置信度十四条，中置信度三十一条，格式提示二十二条，有效期提醒八条，覆盖范围一致性九条——这最后一类，是第一批八家里发现的那个新类别。
九条。
陆衍把覆盖范围一致性那九条单独提出来看了一遍，五家供应商出现了这个问题，分布在不同行业，有三家是制造类，一家是检测类，一家是仓储物流类。
他给卫越发：「覆盖范围一致性九条里，涉及几家供应商？」
「五家，」卫越说，「有些供应商不止一条，有的有两条或者三条不同的证书覆盖范围问题，汇总是五家企业有问题。」
「五家，」陆衍说，「二十八家里。」
他打电话给林卓，「全批结果出来了，」陆衍说，「覆盖范围一致性那个类别，二十八家里有五家有这类问题。」
「五家，」林卓在电话里重复了一遍，「快五分之一了。」
「嗯，」陆衍说，「分布在几个不同行业，不是集中在某一类供应商——不是偶然的，应该是管理层面的一个系统性漏洞。」
电话里安静了一下，「我知道，」林卓说，「以前用手工的方式很难发现这个，因为要同时看证书和合同，人工做太慢。现在一跑，五家出来了。」
「你们内部有没有供应商评审流程，」陆衍问，「定期重新确认供应商的认证覆盖范围？」
「有，」林卓说，「但那个流程没有包含证书范围和采购合同的交叉核对——只看证书有没有过期。」
「嗯，」陆衍说，「那这个差距就是流程设计层面的。工具能发现的就是这类差距，至于怎么修流程，那是你们的事。」
「我知道，」林卓说，「你们发报告过来吧，我拿给我们管理层看。」
管理层。
陆衍挂完电话，在本子里写了这两个字。
以前出报告，收报告的是律所律师、律所合伙人、PE的尽调经理——这些人都是在某一具体场景下使用报告，他们读报告的方式是「找到我需要的那几条」。
林卓的管理层不一样，他们不在具体场景里，他们看的是结论。
他给卫越发：「这次报告我要做一个调整，加一份执行摘要——半页，放在报告最前面，只说三件事：总体发现、重点条目数量、需要优先跟进的事项。不用技术语言。」
「怎么写，」卫越问，「你来写吗？」
「我来，」陆衍说。
他把执行摘要写了四遍，前三遍都太长，第四遍才收到半页：
「本次核查涵盖28家供应商，共发现需关注事项54条（高置信度14条，其余为中置信度或提醒类）。
重点发现：5家供应商存在认证证书覆盖范围与采购合同业务类别不一致的情况，建议优先核实相关认证的适用范围是否涵盖当前合同业务。
其余发现详见正文报告，各条均附技术说明与建议核实事项。」
他把这三段发给冯树，「看一下，」他说，「这是面向管理层的摘要，不是面向合规部的报告。」
「第二段，」冯树看完说，「「建议优先核实」这个措辞，放在管理层摘要里，意思还不够清楚——管理层要的是「这件事意味着什么」，不只是「要做什么」。」
「那怎么写，」陆衍问。
「加一句，」冯树说，「「该问题意味着部分供应商现有认证可能不覆盖其为贵司实际履行的业务，存在资质合规风险。」——这一句说的是影响，前面那句说的是动作，两个放在一起才完整。」
陆衍改了，把那句加进去，「好，」他说，「这一版可以。」
执行摘要加上完整报告，一起发给林卓，附在同一封邮件里。
林卓当天回来：「我发给管理层了，他们今天下午开了一个内部会，决定把供应商认证覆盖范围核对加入明年的供应商评审流程。」
陆衍把这条消息看了两遍。
「决定加进流程，」他给冯树转发，「我们发了一份报告，他们开了一个会，然后改流程。」
「嗯，」冯树说，「这次不是个案发现，是系统性发现，所以才改流程——个案发现只处理那一条，系统性发现才改体系。」
「对，」陆衍说，「五分之一，数字本身说了。」
晚上，本子里写：
林卓全批28家供应商，覆盖范围一致性类别发现5家。近五分之一。
林卓说「以前手工查很难发现，要同时看证书和合同」——这是新类别被新客户激发的，不是设计出来的。企业内审场景和律所/PE场景不一样，因为企业内审场景里，认证文件和采购合同是放在一起的，工具才能同时看到两者。
这次第一次写了执行摘要——面向管理层的半页，不是技术报告，是影响+动作两段。冯树改了一句让「影响」说清楚了。
管理层开了会，改了流程。这件事发生了，是工具结果触发的。但工具不知道，我也只是被林卓发了一条消息告知。
本子最后一行：五分之一，数字本身说了，工具不用说。