Menu
反舞弊调查哲学与方法论 — 调查思维框架、科学推理方法、认知偏差防控、假设驱动调查、证据金字塔、调查伦理与职业道德。所有调查技能的认知基础。
Installer avec Codex ou Claude Copiez ce prompt, collez-le dans Codex, Claude ou un autre assistant, puis laissez-le vérifier la page du skill et l'installer pour vous.
Basé sur la classification professionnelle SOC
证据链与调查底稿管理 — 证据识别与收集、链式保管(Custody Chain)、证据可采性评估、底稿编制规范、底稿复核与归档、电子证据保全
伪造印章调查 — 私刻、变造、盗用、冒用公司公章或授权章的调查方法。覆盖印章真伪识别、印文比对方法、使用痕迹追溯、伪造目的判断。
调查流程与案件管理 — 案件生命周期管理、调查计划编制、质量管控(质量控制)、团队协作、时间线管理、风险管理、成本管理、结案评估
舞弊分类与路由 — 基于 ACFE 分类框架分析线索信号、匹配案件所属舞弊类型、路由到对应 fraud-<domain> 场景技能
渠道舞弊调查 — 渠道销售特价订单场景：窜货、虚报终端客户、成本造假、拼单绑单、隐瞒渠道链路、隐瞒渠道利润。覆盖信号识别、证据路径、数据分析和调查方案设计。
案件回顾与复盘技术 — 完结案件的多维度复盘框架，聚焦调查员的能力、经验、逻辑、工作方法和工作流组织。独立于案件调查流程，仅在用户显式要求时执行，目标为提升调查员觉知而非产出案件结论
| name | investigation-foundation |
| description | 反舞弊调查哲学与方法论 — 调查思维框架、科学推理方法、认知偏差防控、假设驱动调查、证据金字塔、调查伦理与职业道德。所有调查技能的认知基础。 |
| origin | cc-investigation |
反舞弊调查的认知基石 — 不仅是"怎么做"，更是"怎么想"。
在执行本技能的业务操作前，按以下流程检查用户配置：
检查 ~/.claude/plugins/config/cc-investigation/team-profile.md
├── 不存在 / 含 [PLACEHOLDER] / 含 PAUSED 标记
│ └── 停止操作，提示: "请先运行 /cc-investigation:cold-start-interview 完成设置"
└── 配置就绪 → 继续
详细规则参见 config-templates/config-loader.md。
此技能当前无需读取特定配置项，仅检查配置就绪状态。
调查不是"收集所有信息再找答案"，而是提出假设 → 设计验证 → 收集证据 → 评估 → 修正假设的迭代循环。
┌─────────────┐ ┌───────────────┐ ┌─────────────┐ ┌────────────────┐
│ 初步事实 │───▶│ 提出多种假设 │───▶│ 设计验证方案 │───▶│ 收集针对性证据 │
│ (报案/线索) │ │ (谁/什么/何时) │ │ (需要什么证据)│ │ (文档/数据/访谈)│
└─────────────┘ └───────────────┘ └─────────────┘ └───────┬────────┘
│
┌──────────────────────────────────────────┘
▼
┌─────────────────┐ ┌──────────────────┐
│ 评估假设置信度 │◀───│ 排除/修正假设 │
│ (支持/反对证据) │ │ (回到设计阶段) │
└────────┬────────┘ └──────────────────┘
▼
┌─────────────────┐
│ 做出调查结论 │
│ (有根据的判断) │
└─────────────────┘
关键原则： 永远保持至少2-3个竞争假设，主动寻找能证伪而非证实某个假设的证据。
调查中每次获取新证据后，都应更新对假设的置信度：
P(H|E) = P(E|H) × P(H) / P(E)
先验概率 → 获取证据 → 后验概率（新的"先验"）→ 再取证 → ...
实践中应用：
不同类型的证据具有不同的证明力和可靠性：
┌─────────────┐
│ 直接证据 │ ← 直接证明核心事实（合同、录音、认罪）
│ (最强) │
├─────────────┤
│ 实物证据 │ ← 物证、文件原件、电子数据
│ │
├─────────────┤
│ 书证 │ ← 书面材料、记录、账册
│ │
├─────────────┤
│ 电子证据 │ ← 邮件、聊天记录、系统日志
│ │
├─────────────┤
│ 证人证言 │ ← 直接证人、目击者
│ │
├─────────────┤
│ 专家意见 │ ← 专家证词、分析报告
│ │
├─────────────┤
│ 传闻/旁证 │ ← 二手信息、间接线索
│ (最弱) │
└─────────────┘
原则： 调查结论应该由多层证据相互印证（corroboration），而非依赖单一证据类型。
从具体观察中得出一般性结论。
从一般原则推导出具体结论。
从观察结果推断最合理的解释。
结构化论证框架：
主张 (Claim) → 数据 (Grounds) → 依据 (Warrant) → 支撑 (Backing) → 限定 (Qualifier) → 反驳 (Rebuttal)
调查中最常见的认知偏差及其防控策略：
| 偏差 | 表现 | 防控策略 |
|---|---|---|
| 确认偏差 | 只寻找支持自己假设的证据 | 主动寻找证伪证据；设红队审查 |
| 锚定效应 | 被最初获得的信息过度影响 | 延迟形成初步判断；多源验证 |
| 可得性启发 | 高估容易想到的情形的概率 | 使用检查清单系统评估所有可能性 |
| 群体思维 | 团队中追求共识而忽视异议 | 指定"魔鬼代言人"；匿名投票 |
| 事后偏差 | 事后认为结果"显而易见的" | 调查前记录预测和期望 |
| 动机性推理 | 无意识偏向对自己有利的结论 | 独立复核机制；严格遵循方法论 |
| 过度自信 | 高估自己的判断准确性 | 持续跟踪预测准确率；校准训练 |
假设驱动调查的核心不是"提出假设"这个动作，而是知道从哪些维度系统性地生成假设。以下五类覆盖绝大多数调查场景：
| 子类 | 问题 | 示例 |
|---|---|---|
| 事实假设 | 某行为是否真实发生？ | "张三是否批准了该笔异常付款？" |
| 过程假设 | 行为是如何实施的？ | "虚假终端客户是如何通过审批的？" |
| 程度假设 | 行为的规模或频率？ | "此类窜货涉及多少台设备？" |
| 时间假设 | 行为发生在何时、持续多久？ | "异常交易模式从何时开始？" |
| 子类 | 问题 | 示例 |
|---|---|---|
| 利益假设 | 行为人获得了什么利益？ | "代理商通过虚报终端客户获得多少额外返点？" |
| 压力假设 | 是否存在业绩或外部压力？ | "销售是否因季度考核压力而配合造假？" |
| 合理化假设 | 行为人如何为自己的行为辩护？ | "代理商是否认为'行业惯例'可以规避公司政策？" |
| 子类 | 问题 | 示例 |
|---|---|---|
| 控制缺口假设 | 哪些内控环节被绕过？ | "特价审批流程中哪个节点缺少独立核验？" |
| 权限假设 | 行为人是否利用超出正常范围的权限？ | "张三是否有权限自行修改供应商信息？" |
| 信息不对称假设 | 行为人掌握了哪些他人不知的信息？ | "销售是否利用对终端客户信息独占来隐瞒实际流向？" |
| 子类 | 问题 |
|---|---|
| 直接参与假设 | 谁直接实施了舞弊行为？ |
| 共谋假设 | 是否存在内外勾结？ |
| 知情假设 | 哪些人知情但未制止或报告？ |
| 受益假设 | 哪些人从舞弊中间接受益？ |
| 子类 | 问题 |
|---|---|
| 财务损失假设 | 公司遭受了多少直接经济损失？ |
| 非财务影响假设 | 对渠道秩序、品牌声誉、内控信心的影响？ |
| 蔓延风险假设 | 该模式是否在其他区域或业务线也存在？ |
使用方式：在调查方案设计阶段，从每一类中至少生成 1-2 个假设，形成覆盖完整光谱的假设清单。调查过程中按每类假设收集针对性证据，避免只关注"发生了什么"而忽略"为什么发生"和"如何被允许发生"。
将推理方法、认知偏差防控和证据评估串联为可操作的五步分析流程。
Step 1 ── 构建假设空间
│ 从五类假设中各选 1-2 个，列出竞争假设清单
│ 标注每个假设的初始置信度（先验概率）
▼
Step 2 ── 确定验证策略
│ 对每个假设：什么证据能支持？什么证据能否定？
│ 优先设计能**证伪**的证据收集方案
▼
Step 3 ── 收集与归因
│ 按证据类型收集，标注信源前缀
│ 不可获取时完成缺口归因
▼
Step 4 ── 贝叶斯更新
│ 对新证据执行置信度更新
│ 检查认知偏差是否影响了更新幅度
▼
Step 5 ── 收敛与报告
│ 竞争假设排除至 1-2 个合理可能
│ 所有被排除的假设须记录排除理由
│ 所有 remaining 假设说明需补证据
| 步骤 | 常见偏差 | 自检问题 |
|---|---|---|
| Step 1 | 锚定效应 | "我是否被第一个线索过度影响了假设生成？" |
| Step 2 | 确认偏差 | "我为证伪分配了多少资源 vs 为证实分配了多少？" |
| Step 3 | 可得性启发 | "我是否只收集了最容易获取的证据？" |
| Step 4 | 过度自信 | "如果另一个假设才是真的，现有证据模式会有什么不同？" |
| Step 5 | 事后偏差 | "如果这个案子最终被推翻，最可能的原因是什么？" |
交互优先 — 当信息不完整、模糊或矛盾时，先提问后判断：
过程优先 — 输出过程而非孤立结论：
情报是调查的燃料。以下原则确保情报的获取、评估和归因在全案范围内标准一致。
调查全流程严格区分两个阶段：
| 阶段 | 动作范围 | 接触状态 |
|---|---|---|
| 静默阶段（INIT + PRE_INVESTIGATION） | 系统内数据调取、公开信息查询 | 不接触任何涉案方 |
| 接触阶段（FIELDWORK） | 访谈、现场核查、证据索取 | 已接触当事人 |
核心约束：
对系统内每一类情报，须同时定义主路径和备用路径：
| 路径 | 方式 | 要求 |
|---|---|---|
| 主路径（primary） | 系统接口、SQL 脚本、自动化工具 | 优先执行，结果可重复验证 |
| 备用路径（fallback） | 调查员手动提取、页面导出 | 主路径不可用时切换，结果须人工核验 |
| 不可获取时 | 标注 evidence_gap | 评估对 finding confidence 的影响 |
设计目的：确保主路径因技术/权限/故障不可用时，调查不会断档。fallback 是正式备份路径，不是异常路径。
每个不可获取的情报项，须判断缺口的责任方向。归因方向影响调查结论的可靠性：
| 归因类型 | 含义 | 对结论的影响 |
|---|---|---|
| 调查方缺口 | 情报客观存在，但因技术、权限或工作未尽力而未获取 | 削弱结论可靠性；须降级对应 finding 的 confidence |
| 被调查方缺口 | 情报理应存在但当事方无法或拒绝提供 | 强化嫌疑；可作为独立风险信号记录，不降低 confidence |
归因规则：
核心要求：每项事实陈述必须附带信源归属，不得有孤儿事实。
信源前缀反映数据来自哪里，而非在哪个阶段获取：
| 前缀 | 含义 | 首次适用阶段 |
|---|---|---|
[举报人称] | 举报人提供，未经独立核实 | INIT |
[调查员研判] | 基于现有信息的逻辑推断 | INIT |
[实体已验证] | MCP 或手动核实实体存在 | INIT |
[系统核实] | ERP/HR/售后/工商等系统数据证实 | PRE_INVESTIGATION |
[访谈核实] | 当事人陈述或书面确认 | FIELDWORK |
[文件核实] | 合同/发票/凭证等文件核实 | FIELDWORK |
信源标签规则：
[举报人称]，不得直接引用为已确立事实[分析判断] 或 [推论]，不混同为事实[举报人称][系统核实] 货物流向 XX 区域[调查员研判] 须可被后续证据证伪或支持，不得以推断替代证据链当访谈对象或调查配合方出现以下行为时，必须记录具体表现，不得忽略：
每条对抗行为记录须包含具体的时间、对话内容或行为描述，以及可信度影响评估。
开展调查工作的员工或第三方人员都应遵循最高的职业道德标准和公司内部调查指引。以下七项原则构成调查伦理的完整框架：
调查活动不受管理层和业务部门的干扰与影响。
| 维度 | 要求 |
|---|---|
| 组织独立 | 调查职能在组织架构上与被调查对象无汇报关系 |
| 资源独立 | 调查预算、人员编制不受被调查业务线控制 |
| 判断独立 | 调查结论不因业务压力、管理层意志而调整 |
违反信号：调查范围被业务负责人要求缩小；调查结论在发布前被"审核"修改；关键证据被以"业务需要"为由拒绝提供。
不掺杂个人观点、偏见、歧视或者个人利益。
| 维度 | 要求 |
|---|---|
| 无偏立场 | 对举报人、被调查人、证人保持同等公正态度 |
| 利益申报 | 与被调查人存在个人关系、既往合作或利益关联时主动回避 |
| 情感隔离 | 不被个人好恶、过往印象或传闻影响事实判断 |
自检问题：「如果被调查人是另一个人，我对同一份证据的判断会不同吗？」
收集尽可能全部的相关事实，以作出合理的选择。
| 维度 | 要求 |
|---|---|
| 全面取证 | 同时收集支持方和反对方的证据，不选择性呈现 |
| 不利事实 | 对调查方不利的事实同样记录和报告，不得隐瞒 |
| 缺口披露 | 无法获取的关键证据如实说明原因和影响 |
违反信号：报告只呈现支持结论的证据；未获取的证据被默认认为"不存在"；调查方案仅围绕单一假设设计。
调查人员接受专业的培训和技能、拥有适当的调查经验，并尊重全体员工。
| 维度 | 要求 |
|---|---|
| 资质匹配 | 调查复杂案件的人员须具备对应领域的专业知识和调查经验 |
| 持续学习 | 了解最新舞弊手法、法律法规和调查技术 |
| 尊重待人 | 访谈过程中尊重被调查人的人格尊严，不诱导、不胁迫、不欺骗（法律允许范围内除外） |
红线：未经培训的人员不得独立主持访谈；不得以威胁、恐吓或欺骗手段获取口供。
信息被保密在"应当知道"（need-to-know）的范围，信息、文档和报告保密储存。
| 维度 | 要求 |
|---|---|
| 知情人最小化 | 仅向直接参与调查的人员披露案件信息 |
| 信息分级 | 区分 "仅调查组" / "法务合规" / "管理层" / "HR" 层级，按需披露 |
| 储存安全 | 电子文档加密存储，纸质文件上锁保管 |
| 废弃销毁 | 不再需要的调查材料按规定程序销毁 |
考量：保密不是绝对的 — 当法律要求披露（如监管问询、诉讼程序）或发现持续性 fraud 需阻断时，须在最小范围内按合规渠道披露。
迅速高效的完成调查工作。
| 维度 | 要求 |
|---|---|
| 响应时效 | 接到报案后按规定时限启动评估和预调查 |
| 流程效率 | 各阶段设置合理的完成时限，避免无故拖延 |
| 证据保全 | 第一时间保全易灭失证据（电子日志、监控录像等） |
平衡点：及时性不应牺牲完整性和专业性 — 快速但不草率，高效但不省略关键步骤。
按照工作的调查指引和程序完成调查工作，保持调查程序的一致性。
| 维度 | 要求 |
|---|---|
| 程序统一 | 相同类型案件适用相同的调查流程和证据标准 |
| 标准透明 | 调查结论的证明标准（如"优势证据"或"清晰可信"）在案前明确 |
| 记录留痕 | 每个调查步骤的时间、方式、执行人、结果均书面记录 |
违反信号：证据充分的同类案件因被调查人级别不同得出不同结论；调查程序仅凭调查员个人习惯而非标准流程执行。
调查实务中，七项原则可能相互冲突。以下为常见冲突场景及处理优先级建议：
| 冲突场景 | 优先原则 | 理由 |
|---|---|---|
| 管理层要求加速结案 vs 完整性 | 完整性 > 及时性 | 不完整的结论比晚到的结论更危险 |
| 保密 vs 法律强制披露 | 合法性要求 > 保密性 | 法律遵从不可由调查员裁量绕过 |
| 独立性 vs 业务配合需要 | 独立性 > 协作关系 | 丧失独立性则全案可信度归零 |
| 及时性 vs 获取更多证据 | 视证据重要性定 | 关键证据缺失则延后，旁证缺失则可先行出具阶段性结论 |
任何个人关系、利益关联或偏见都必须主动披露。调查启动前须完成利益冲突自查并记录在案。
investigation-planner for 调查方案设计, evidence-analyzer for 证据评估/investigate 启动调查流程, /hypothesis 管理调查假设