周一上午十点，邮件来了。
发件人不是林卓，是一个叫周宁的邮箱，签名写着「采购合规部助理」。邮件主体只有一行：「林总让我发给您，共八家供应商的文件包，请查收。」
附件是一个压缩包，解压之后是八个文件夹，每个文件夹以供应商名称命名。
陆衍把压缩包转给卫越，「来了，」他说，「你看一下结构，和以前的不一样。」
卫越回消息很快：「是不一样，以前的批次是按文件类型分的，证书一类、协议一类、报告一类，这批是按供应商分的，每个文件夹里什么类型都有，混在一起。」
「能处理吗，」陆衍问。
「能处理，」卫越说，「就是预处理那步要改一下，现在是先识别文件类型再扫，这批要先按文件夹分组，每个文件夹单独跑，最后输出的结果也按供应商归。」
「输出也按供应商来，」陆衍说，「对，报告里要能看出来「这八家里哪几家有问题，哪几家没问题」，不是看「这批文件里有多少条ISO矛盾」。」
「那就是报告结构也要改，」卫越说。
「改，」陆衍说，「这次是企业内审，他们关心的是每一家供应商的状态，不是整批文件的问题汇总。」
卫越花了一个上午把输入和输出结构都改了。
下午，他发来消息：「跑完了，你来看。」
陆衍打开结果文件。
这次的报告和以前的所有报告都不一样——最上面不是「共发现X条高置信度矛盾」，而是一个供应商列表，八行，每行对应一家，后面跟着状态标注。
其中四行标着绿色：「无发现」。
另外四行有内容：
供应商A（鸿晟机械配件）： ISO 9001认证证书，覆盖范围字段—— 现有文件：「汽车座椅金属支架及连接件的设计与制造」 林卓Excel记录中的上一版本备注：「金属支架冲压加工」
范围变了，变得更窄了，增加了「设计」两字，删掉了「连接件」单独列的那部分描述。
工具在这条旁边标注：「认证覆盖范围变更，高置信度。当前版本与委托方历史记录不一致，建议核实是否通知过采购方。」
供应商B（利新精密）： 环境管理体系认证，有效期至本年度第三季度末。
距截止日期还有九十二天。
这条标的是「有效期提醒」，不是矛盾，只是时间上的预警。
供应商C（汇达表面处理）： 同一家认证机构颁发的两份质量管理认证，编号不同，有效期相差十八个月，覆盖范围描述基本一致。
工具标：「疑似重复归档或续证记录不完整，中置信度，建议确认两份证书关系。」
供应商D（明远热处理）： 质量管理证书上的日期字段格式不统一，同一份文件里出现「2022.03.15」和「2022年3月15日」两种写法。
「格式一致性提示，低优先级，不影响证书本身有效性。」
陆衍把这四条看了一遍，然后往回看供应商A那条。
ISO 9001覆盖范围变更，认证机构没变，但覆盖的业务描述缩窄了，采购方的历史记录里没有对应更新。
这就是去年那家。不是同一家供应商，是同一种情况——悄悄换了认证内容，采购方那边没有同步。
他给冯树发了一条消息：「第一条，范围变更，和林卓上次说的召回那件事完全是同一个模式。」
冯树隔了一会儿才回：「那他自己看到应该知道。」
「嗯，」陆衍说，「等他看。」
在等回复的时候，陆衍把报告打开，盯着供应商列表看了一会儿。
他意识到这次有一件事和以前不一样：这是第一次跑，八家，这批结果不只是「发现了什么」，更重要的是「建立了什么」——每一家的当前状态，覆盖范围是什么、认证机构是谁、有效期到哪年、上一次更新是什么时候，这些信息现在第一次被系统地记录下来了。
下季度再跑，才有「跨期」可言。
如果这次不记录「现在是什么」，下次就没有「变没变」可比。
他给卫越发消息：「我想在报告里加一个字段，叫「基准状态」，对应每一家供应商，标三种：「已建立基准」「基准需核实」「无发现，基准已建立」。第一次跑的时候，这个字段的意义是标注这家供应商的档案完整度，不是说有没有问题。」
卫越：「是什么意思，」他问，「「基准需核实」和「已建立基准」有什么区别？」
「「已建立基准」是文件完整，扫出来的信息足够作为下次比对的锚点，」陆衍说，「「基准需核实」是文件里有东西说不清楚——比如供应商C那两份证书，不确定哪份是有效的，这种情况下基准还没稳，下次跑的时候要先把这个搞清楚，否则比对的结果没有意义。」
「明白，」卫越说，「我加进去，下午发你。」
下午四点，卫越发来更新版报告。
八家供应商，基准状态一栏：
- 鸿晟机械配件：基准需核实（认证范围变更，建议确认当前版本是否有效） - 利新精密：已建立基准（有效期提醒，基准完整） - 汇达表面处理：基准需核实（证书双份，建议确认有效件） - 明远热处理：已建立基准（格式提示，不影响基准） - 其余四家：无发现，基准已建立
陆衍把这份报告发给周宁，附了一段说明：「此为首次扫描基准报告，各供应商基准状态标注含义见报告说明页。建议在下季度扫描前，对标注「基准需核实」的两家供应商确认文件状态，以确保跨期比对结果准确。」
周宁把报告转给了林卓。
两个小时后，林卓发来一条消息：
「第一家那个，和去年说的那家很像。」
陆衍看着这句话，没有立刻回。
很像，是因为模式一样——不是文件造假，不是认证失效，只是认证范围缩窄了，供应链那头没有通知采购方。这种变化，手工看是看不出来的，因为证书本身是有效的，只是内容变了。工具能发现，是因为有林卓Excel里的历史备注当对比。
他回了两个字：「看到了。」
晚上，陆衍在本子里写了几行：
林卓，第一批，8家，65份。
4家有发现，第一家认证范围变更，和去年的召回案例模式完全一致。
新东西：这次是「建立基准」，不只是「发现问题」。「基准」是下一次比对的锚——第一次跑，记录的是「现在是什么」；第二次跑，才有「变没变」可比。
林卓那一句「和去年说的那家很像」——他知道这是什么。工具找出来的，是他去年漏掉了的那种东西。
本子最后一行：基准不是发现，是起点。下季度才是比对真正开始的地方。