整合與治理
流程資料留存、稽核軌跡與部署選擇
慧智科技知識中心 ·
保存年限不該由系統預設值決定，而該由適用法規與內部規範決定。導入前先確認「誰規定的、保存什麼、存多久、由誰查核」，再回頭確認系統能否滿足。
最後更新：
保存要求要向誰確認？
不同產業、不同單據的保存要求差異很大，同一家企業內也常有多套規範並存。與其在選型時問廠商「可以存多久」，不如先在內部把下列來源盤清楚：
- 適用法規與主管機關規定：依產業別與單據性質而不同，應由法務或法遵單位確認。
- 公司內部規範：文件管理辦法、資安政策與各單位的作業規定。
- 稽核與認證要求：內稽、外稽或 ISO 等驗證所需的紀錄範圍與可追溯期間。
- 合約義務：與客戶或供應商約定的資料保存與刪除條件。
這篇不提供具體年限。保存年限依產業、單據性質與適用法規而異，且會隨法規修訂變動，應以貴公司法務或法遵單位的認定為準；系統設定只是落實那個認定的工具。
稽核軌跡該涵蓋哪些範圍？
「有紀錄」和「查得出來」是兩回事。爭議案件要能還原的，通常不只是最後的核准結果，而是整個決策過程。建議在驗收時逐項確認下列欄位是否可查、可匯出：
- 案件的建立、送出、核准、退回與結案時間，以及各關卡的停留時間。
- 每一次簽核的操作者、當時的職務與代理關係（是否由代理人執行）。
- 退回與補件的理由文字，以及補件前後的欄位差異。
- 表單欄位的修改歷程：誰改的、改前改後的值。
- 附件的新增、替換與刪除紀錄。
- 流程定義本身的版本：該案件當時走的是哪一版規則。
最後一項最常被忽略。組織或核決金額調整後，若無法得知舊案件當時適用的是哪一版規則，事後查核就難以判斷當時的核准是否合規。
地端與雲端該怎麼選？
| 評估面向 | 地端部署 | 雲端部署 | 要確認的事 |
|---|---|---|---|
| 資料位置 | 由企業自行決定機房位置。 | 依服務商提供的區域選擇。 | 確認資料實際存放與備份的地理位置，以及是否符合內部規範。 |
| 存取控制 | 由企業 IT 管理帳號與權限。 | 需同時管理平台帳號與服務商側的存取。 | 確認服務商人員在什麼情況下可存取資料，以及是否留下紀錄。 |
| 備份與還原 | 備份策略與保存期間自行規劃。 | 多由服務方案定義，可能有保留上限。 | 以實際情境演練還原，確認可還原到哪個時間點。 |
| 長期保存 | 儲存成本與維運責任由企業承擔。 | 長期保存可能另計費用或需搬移。 | 試算保存年限內的總成本，並確認期滿後的處理方式。 |
| 資料取回與刪除 | 可自行匯出與清理。 | 需確認終止服務時的匯出格式與刪除證明。 | 把匯出格式與刪除程序寫進合約，不要留到終止時才談。 |
怎麼把留存要求變成可驗收的條件？
最後一步是把上面的確認結果寫成驗收項目。例如：「三年前的請購案件，可在五分鐘內查出當時的核准人、代理關係與適用的流程版本，並匯出為可閱讀的格式。」這樣的敘述可以直接演示、直接驗收，比「支援稽核軌跡」這類功能描述更能反映實際需求。
常見問題
流程與簽核紀錄要保存多久？
依適用法規、產業別、單據性質與內部規範而定，並會隨法規修訂調整，應由法務或法遵單位認定。系統設定的用途是落實該認定，不應反過來以系統預設值決定保存年限。
稽核軌跡只要記錄誰核准就夠了嗎？
通常不夠。爭議案件多半需要還原整個過程，包括退回理由、欄位修改歷程、代理關係，以及該案件當時適用的流程定義版本。
選地端還是雲端，該看哪些條件？
先看資料位置與存取控制是否符合內部規範，再比較備份還原、長期保存成本，以及終止服務時的資料取回與刪除程序。建議把這些寫入合約而非口頭確認。
怎麼確認系統真的做得到？
把需求寫成可演示的句子，例如「查出三年前某案件的核准人、代理關係與當時的流程版本並匯出」，請對方以實際資料演示，而非以功能清單確認。
下一步
先向法務或法遵單位取得保存要求，再據以列出稽核軌跡的驗收項目。導入階段的安排可參考 BPM 導入時程、POC 與驗收；若同時在評估與 ERP 的分工，可閱讀 BPM 與 ERP 有什麼不同。