investigation-foundation

name	investigation-foundation
description	反舞弊调查哲学与方法论 — 调查思维框架、科学推理方法、认知偏差防控、假设驱动调查、证据金字塔、调查伦理与职业道德。所有调查技能的认知基础。
origin	cc-investigation

调查哲学与方法论

反舞弊调查的认知基石 — 不仅是"怎么做"，更是"怎么想"。

配置前置检查

在执行本技能的业务操作前，按以下流程检查用户配置：

检查 ~/.claude/plugins/config/cc-investigation/team-profile.md
├── 不存在 / 含 [PLACEHOLDER] / 含 PAUSED 标记
│   └── 停止操作，提示: "请先运行 /cc-investigation:cold-start-interview 完成设置"
└── 配置就绪 → 继续

详细规则参见 config-templates/config-loader.md。

此技能当前无需读取特定配置项，仅检查配置就绪状态。

When to Activate

• 启动任何新调查案件时，建立基本调查思维框架
• 设计调查方案时，运用结构化推理方法
• 评估证据充分性时，参考证据金字塔模型
• 审查调查结论时，检查认知偏差
• 面对复杂、不确定的调查情境时
• 培训初级调查员时

核心思维框架

1. 假设驱动调查 (Hypothesis-Driven Investigation)

调查不是"收集所有信息再找答案"，而是提出假设 → 设计验证 → 收集证据 → 评估 → 修正假设的迭代循环。

┌─────────────┐    ┌───────────────┐    ┌─────────────┐    ┌────────────────┐
│  初步事实    │───▶│  提出多种假设   │───▶│  设计验证方案 │───▶│  收集针对性证据 │
│  (报案/线索)  │    │  (谁/什么/何时) │    │  (需要什么证据)│    │  (文档/数据/访谈)│
└─────────────┘    └───────────────┘    └─────────────┘    └───────┬────────┘
                                                                    │
                        ┌──────────────────────────────────────────┘
                        ▼
              ┌─────────────────┐    ┌──────────────────┐
              │  评估假设置信度   │◀───│  排除/修正假设    │
              │  (支持/反对证据)  │    │  (回到设计阶段)   │
              └────────┬────────┘    └──────────────────┘
                       ▼
              ┌─────────────────┐
              │  做出调查结论     │
              │  (有根据的判断)   │
              └─────────────────┘

关键原则： 永远保持至少2-3个竞争假设，主动寻找能证伪而非证实某个假设的证据。

2. 贝叶斯更新思维

调查中每次获取新证据后，都应更新对假设的置信度：

P(H|E) = P(E|H) × P(H) / P(E)

先验概率 → 获取证据 → 后验概率（新的"先验"）→ 再取证 → ...

实践中应用：

• 不要等"铁证如山"才开始分析
• 对每个假设保持一个不断更新的信心指数（0-100%）
• 单一强证据比十个薄弱旁证更有价值
• 注意基准率：某个"异常指标"在正常业务中的发生率

3. 证据金字塔 (Evidence Pyramid)

不同类型的证据具有不同的证明力和可靠性：

                    ┌─────────────┐
                    │  直接证据    │  ← 直接证明核心事实（合同、录音、认罪）
                    │  (最强)      │
                    ├─────────────┤
                    │  实物证据    │  ← 物证、文件原件、电子数据
                    │             │
                    ├─────────────┤
                    │  书证        │  ← 书面材料、记录、账册
                    │             │
                    ├─────────────┤
                    │  电子证据    │  ← 邮件、聊天记录、系统日志
                    │             │
                    ├─────────────┤
                    │  证人证言    │  ← 直接证人、目击者
                    │             │
                    ├─────────────┤
                    │  专家意见    │  ← 专家证词、分析报告
                    │             │
                    ├─────────────┤
                    │  传闻/旁证   │  ← 二手信息、间接线索
                    │  (最弱)      │
                    └─────────────┘

原则： 调查结论应该由多层证据相互印证（corroboration），而非依赖单一证据类型。

科学推理方法

归纳推理 (Inductive Reasoning)

从具体观察中得出一般性结论。

• 调查中的应用： 从多个相似案例中总结舞弊模式
• 弱点： 永远无法100%确定，只能提高概率

演绎推理 (Deductive Reasoning)

从一般原则推导出具体结论。

• 调查中的应用： 如果内控在某环节存在漏洞，必然导致该环节风险升高
• 弱点： 前提的正确性决定结论的正确性

溯因推理 (Abductive Reasoning)

从观察结果推断最合理的解释。

• 调查中的应用： 观察到异常财务数据 → 推断最可能的原因
• 弱点： 可能存在多个竞争解释

特林推理模型 (Toulmin Model)

结构化论证框架：

主张 (Claim) → 数据 (Grounds) → 依据 (Warrant) → 支撑 (Backing) → 限定 (Qualifier) → 反驳 (Rebuttal)

认知偏差防控

调查中最常见的认知偏差及其防控策略：

偏差	表现	防控策略
确认偏差	只寻找支持自己假设的证据	主动寻找证伪证据；设红队审查
锚定效应	被最初获得的信息过度影响	延迟形成初步判断；多源验证
可得性启发	高估容易想到的情形的概率	使用检查清单系统评估所有可能性
群体思维	团队中追求共识而忽视异议	指定"魔鬼代言人"；匿名投票
事后偏差	事后认为结果"显而易见的"	调查前记录预测和期望
动机性推理	无意识偏向对自己有利的结论	独立复核机制；严格遵循方法论
过度自信	高估自己的判断准确性	持续跟踪预测准确率；校准训练

假设类型体系

假设驱动调查的核心不是"提出假设"这个动作，而是知道从哪些维度系统性地生成假设。以下五类覆盖绝大多数调查场景：

1. 行为假设 (Action) — 发生了什么

子类	问题	示例
事实假设	某行为是否真实发生？	"张三是否批准了该笔异常付款？"
过程假设	行为是如何实施的？	"虚假终端客户是如何通过审批的？"
程度假设	行为的规模或频率？	"此类窜货涉及多少台设备？"
时间假设	行为发生在何时、持续多久？	"异常交易模式从何时开始？"

2. 动机假设 (Motive) — 为什么发生

子类	问题	示例
利益假设	行为人获得了什么利益？	"代理商通过虚报终端客户获得多少额外返点？"
压力假设	是否存在业绩或外部压力？	"销售是否因季度考核压力而配合造假？"
合理化假设	行为人如何为自己的行为辩护？	"代理商是否认为'行业惯例'可以规避公司政策？"

3. 机会假设 (Opportunity) — 如何成为可能

子类	问题	示例
控制缺口假设	哪些内控环节被绕过？	"特价审批流程中哪个节点缺少独立核验？"
权限假设	行为人是否利用超出正常范围的权限？	"张三是否有权限自行修改供应商信息？"
信息不对称假设	行为人掌握了哪些他人不知的信息？	"销售是否利用对终端客户信息独占来隐瞒实际流向？"

4. 关系假设 (Network) — 谁参与其中

子类	问题
直接参与假设	谁直接实施了舞弊行为？
共谋假设	是否存在内外勾结？
知情假设	哪些人知情但未制止或报告？
受益假设	哪些人从舞弊中间接受益？

5. 结果假设 (Impact) — 造成了什么后果

子类	问题
财务损失假设	公司遭受了多少直接经济损失？
非财务影响假设	对渠道秩序、品牌声誉、内控信心的影响？
蔓延风险假设	该模式是否在其他区域或业务线也存在？

使用方式：在调查方案设计阶段，从每一类中至少生成 1-2 个假设，形成覆盖完整光谱的假设清单。调查过程中按每类假设收集针对性证据，避免只关注"发生了什么"而忽略"为什么发生"和"如何被允许发生"。

---

分析工作流

将推理方法、认知偏差防控和证据评估串联为可操作的五步分析流程。

Step 1 ── 构建假设空间
  │  从五类假设中各选 1-2 个，列出竞争假设清单
  │  标注每个假设的初始置信度（先验概率）
  ▼
Step 2 ── 确定验证策略
  │  对每个假设：什么证据能支持？什么证据能否定？
  │  优先设计能**证伪**的证据收集方案
  ▼
Step 3 ── 收集与归因
  │  按证据类型收集，标注信源前缀
  │  不可获取时完成缺口归因
  ▼
Step 4 ── 贝叶斯更新
  │  对新证据执行置信度更新
  │  检查认知偏差是否影响了更新幅度
  ▼
Step 5 ── 收敛与报告
  │  竞争假设排除至 1-2 个合理可能
  │  所有被排除的假设须记录排除理由
  │  所有 remaining 假设说明需补证据

每一步的认知偏差检查

步骤	常见偏差	自检问题
Step 1	锚定效应	"我是否被第一个线索过度影响了假设生成？"
Step 2	确认偏差	"我为证伪分配了多少资源 vs 为证实分配了多少？"
Step 3	可得性启发	"我是否只收集了最容易获取的证据？"
Step 4	过度自信	"如果另一个假设才是真的，现有证据模式会有什么不同？"
Step 5	事后偏差	"如果这个案子最终被推翻，最可能的原因是什么？"

分析交互规范

交互优先 — 当信息不完整、模糊或矛盾时，先提问后判断：

• 信息不足时主动向用户提问，而非自行猜测补齐
• 多个可能解释时列出所有可能性，请求用户澄清
• 收到矛盾信息时指出矛盾点并询问用户

过程优先 — 输出过程而非孤立结论：

• 每项发现必须附带形成过程
• 分析步骤应达到独立第三人可复现的标准
• 当结论依赖多环节判断时，每个环节的推理过程都应记录

---

调查原则

情报是调查的燃料。以下原则确保情报的获取、评估和归因在全案范围内标准一致。

1. 静默边界原则 (Silent Boundary)

调查全流程严格区分两个阶段：

阶段	动作范围	接触状态
静默阶段（INIT + PRE_INVESTIGATION）	系统内数据调取、公开信息查询	不接触任何涉案方
接触阶段（FIELDWORK）	访谈、现场核查、证据索取	已接触当事人

核心约束：

• 接触不可逆。一旦与当事人产生任何形式的接触，调查方丧失信息优势
• 系统内数据（ERP/HR/售后/工商等）应当在静默阶段穷尽获取
• 违反静默边界会关闭 FIELDWORK→PRE_INVESTIGATION 的回退路径
• 例外：仅举报人可在静默阶段接触，但不得因此惊动涉案人员

2. 双轨获取原则 (Primary + Fallback)

对系统内每一类情报，须同时定义主路径和备用路径：

路径	方式	要求
主路径（primary）	系统接口、SQL 脚本、自动化工具	优先执行，结果可重复验证
备用路径（fallback）	调查员手动提取、页面导出	主路径不可用时切换，结果须人工核验
不可获取时	标注 evidence_gap	评估对 finding confidence 的影响

设计目的：确保主路径因技术/权限/故障不可用时，调查不会断档。fallback 是正式备份路径，不是异常路径。

3. 情报缺口归因

每个不可获取的情报项，须判断缺口的责任方向。归因方向影响调查结论的可靠性：

归因类型	含义	对结论的影响
调查方缺口	情报客观存在，但因技术、权限或工作未尽力而未获取	削弱结论可靠性；须降级对应 finding 的 confidence
被调查方缺口	情报理应存在但当事方无法或拒绝提供	强化嫌疑；可作为独立风险信号记录，不降低 confidence

归因规则：

• 基础数据（员工信息、项目成本、系统记录等调查员有权获取的）→ 调查方缺口
• 当事人配合类（访谈、文件、解释）→ 被调查方缺口
• 客观条件导致的无法获取（如日志覆盖期已过）→ 环境缺口
• 归因不明确时，默认视为调查方缺口（保守性原则），不得默认利用其强化嫌疑
• 缺口归因记录应写入 evidence_registry 对应证据条目的 source 字段
• 每个缺口须完成 confidence 降级评估：调查方缺口须降级 finding confidence，被调查方缺口不降级

4. 信源透明与标签系统 (Source Transparency & Prefix System)

核心要求：每项事实陈述必须附带信源归属，不得有孤儿事实。

信源前缀反映数据来自哪里，而非在哪个阶段获取：

前缀	含义	首次适用阶段
[举报人称]	举报人提供，未经独立核实	INIT
[调查员研判]	基于现有信息的逻辑推断	INIT
[实体已验证]	MCP 或手动核实实体存在	INIT
[系统核实]	ERP/HR/售后/工商等系统数据证实	PRE_INVESTIGATION
[访谈核实]	当事人陈述或书面确认	FIELDWORK
[文件核实]	合同/发票/凭证等文件核实	FIELDWORK

信源标签规则：

1. 举报信息必须标注 [举报人称]，不得直接引用为已确立事实
2. 系统数据标注来源系统、提取时间和方式
3. 第三方信息标注原始信源和获取途径
4. 个人判断标注 [分析判断] 或 [推论]，不混同为事实
5. 同一陈述经多个来源印证可叠加标注，如 [举报人称][系统核实] 货物流向 XX 区域
6. [调查员研判] 须可被后续证据证伪或支持，不得以推断替代证据链
7. 信源前缀不是可选项——全案每一页产物中的每项陈述都应标注

5. 对抗性信号记录 (Adversarial Signal Recording)

当访谈对象或调查配合方出现以下行为时，必须记录具体表现，不得忽略：

• 选择性配合：回答部分问题但回避核心问题
• 模糊化：用概括性表述替代具体陈述
• 推责：将责任归因于他人或系统流程
• 防御性提问：反问调查员动机或程序正当性
• 否认与矛盾：前后陈述不一致或与既有证据矛盾

每条对抗行为记录须包含具体的时间、对话内容或行为描述，以及可信度影响评估。

---

调查伦理与职业道德

开展调查工作的员工或第三方人员都应遵循最高的职业道德标准和公司内部调查指引。以下七项原则构成调查伦理的完整框架：

1. 独立性 — Independence

调查活动不受管理层和业务部门的干扰与影响。

维度	要求
组织独立	调查职能在组织架构上与被调查对象无汇报关系
资源独立	调查预算、人员编制不受被调查业务线控制
判断独立	调查结论不因业务压力、管理层意志而调整

违反信号：调查范围被业务负责人要求缩小；调查结论在发布前被"审核"修改；关键证据被以"业务需要"为由拒绝提供。

2. 客观性 — Objectivity

不掺杂个人观点、偏见、歧视或者个人利益。

维度	要求
无偏立场	对举报人、被调查人、证人保持同等公正态度
利益申报	与被调查人存在个人关系、既往合作或利益关联时主动回避
情感隔离	不被个人好恶、过往印象或传闻影响事实判断

自检问题：「如果被调查人是另一个人，我对同一份证据的判断会不同吗？」

3. 完整性 — Integrity

收集尽可能全部的相关事实，以作出合理的选择。

维度	要求
全面取证	同时收集支持方和反对方的证据，不选择性呈现
不利事实	对调查方不利的事实同样记录和报告，不得隐瞒
缺口披露	无法获取的关键证据如实说明原因和影响

违反信号：报告只呈现支持结论的证据；未获取的证据被默认认为"不存在"；调查方案仅围绕单一假设设计。

4. 专业性 — Professionalism

调查人员接受专业的培训和技能、拥有适当的调查经验，并尊重全体员工。

维度	要求
资质匹配	调查复杂案件的人员须具备对应领域的专业知识和调查经验
持续学习	了解最新舞弊手法、法律法规和调查技术
尊重待人	访谈过程中尊重被调查人的人格尊严，不诱导、不胁迫、不欺骗（法律允许范围内除外）

红线：未经培训的人员不得独立主持访谈；不得以威胁、恐吓或欺骗手段获取口供。

5. 保密性 — Confidentiality

信息被保密在"应当知道"（need-to-know）的范围，信息、文档和报告保密储存。

维度	要求
知情人最小化	仅向直接参与调查的人员披露案件信息
信息分级	区分 "仅调查组" / "法务合规" / "管理层" / "HR" 层级，按需披露
储存安全	电子文档加密存储，纸质文件上锁保管
废弃销毁	不再需要的调查材料按规定程序销毁

考量：保密不是绝对的 — 当法律要求披露（如监管问询、诉讼程序）或发现持续性 fraud 需阻断时，须在最小范围内按合规渠道披露。

6. 及时性 — Timeliness

迅速高效的完成调查工作。

维度	要求
响应时效	接到报案后按规定时限启动评估和预调查
流程效率	各阶段设置合理的完成时限，避免无故拖延
证据保全	第一时间保全易灭失证据（电子日志、监控录像等）

平衡点：及时性不应牺牲完整性和专业性 — 快速但不草率，高效但不省略关键步骤。

7. 一致性 — Consistency

按照工作的调查指引和程序完成调查工作，保持调查程序的一致性。

维度	要求
程序统一	相同类型案件适用相同的调查流程和证据标准
标准透明	调查结论的证明标准（如"优势证据"或"清晰可信"）在案前明确
记录留痕	每个调查步骤的时间、方式、执行人、结果均书面记录

违反信号：证据充分的同类案件因被调查人级别不同得出不同结论；调查程序仅凭调查员个人习惯而非标准流程执行。

---

原则冲突时的权衡

调查实务中，七项原则可能相互冲突。以下为常见冲突场景及处理优先级建议：

冲突场景	优先原则	理由
管理层要求加速结案 vs 完整性	完整性 > 及时性	不完整的结论比晚到的结论更危险
保密 vs 法律强制披露	合法性要求 > 保密性	法律遵从不可由调查员裁量绕过
独立性 vs 业务配合需要	独立性 > 协作关系	丧失独立性则全案可信度归零
及时性 vs 获取更多证据	视证据重要性定	关键证据缺失则延后，旁证缺失则可先行出具阶段性结论

利益冲突声明

任何个人关系、利益关联或偏见都必须主动披露。调查启动前须完成利益冲突自查并记录在案。

Related

• Skills: 证据链与底稿管理, 访谈与问话分析, 舞弊分类与路由, 调查流程与案件管理
• Rules: rules/ 调查准则与规范, 调查职业道德
• Agents: investigation-planner for 调查方案设计, evidence-analyzer for 证据评估
• Commands: /investigate 启动调查流程, /hypothesis 管理调查假设

References

• Swanson, C.R. et al. "Criminal Investigation" (12th ed.)
• Toulmin, S. "The Uses of Argument"
• Kahneman, D. "Thinking, Fast and Slow"
• NIST "Scientific Foundations of Digital Forensics"
• ACFE "Fraud Examiners Manual"