工单=INC-202X-0919-1736；调用凭据=svc_rpa。
周砚盯着“CallerAccount”那行字，胸口像被一块冷铁压住，却又异常清醒。
不是svc_rpa“自己跑起来”的。是有人用具体域账号去调用凭据库，把svc_rpa凭据拿出来，跑了WOL。这个人就是阿远助理王XX的域账号。
他没有立刻发群，不发朋友圈式的“抓到了”。他做了三步标准动作：
1）下载摘要、生成哈希、归档共享盘“合规记录/302追溯/交叉证据/svc_rpa调用记录”；
2）把关键字段截取成一页“证据卡”，写明“CallerAccount/CallerIP/工单号/调用凭据”；
3）把证据卡发给梁总，只有一句话：“svc_rpa触发源已落到具体账号：AR_ASSIST_WANG调用凭据库，关联工单INC-1736。”
梁总回得更短：“14点会你先稳住。15点我开事故问询。”
周砚把手机扣在桌面上，深吸一口气。
他知道，接下来会发生两件事：阿远会在绩效会上继续试图用“目标锁链”锁住他；而梁总会在事故问询里把“触发源”甩到台面上。两件事的共同点是：对方会反扑，而且会反扑得更狠、更脏。
13:47，周砚整理文件袋，像战前检查装备一样逐项确认：
——绩效目标确认书建议版（含口径/资源/责任归属）；
——近三日闭环日报与证据索引表；
——个人信息处理承诺修订版（含工具清单更新机制）；
——302追溯交叉证据卡（打印日志/门禁/工单/调用记录摘要）；
——会议纪要模板（空白，带字段：参会人、议题、结论、动作项、责任人、截止时间、异议记录）。
他不是去“争取理解”，他是去“固定规则”。只要规则能落纸，任何人想把他踢出去，都得先在纸面上承担代价。
14:00，HR会议室。
门合上的瞬间，空气像被抽走一部分。椭圆桌旁坐着五个人：HR主管、法务专员、财务BP、阿远，以及周砚。梁总依旧没来——梁总不来，往往意味着他不想在场“做裁判”，而是等他们把绳索套好，再从外面
本章未完，请点击下一页继续阅读！