判断研发过程审计整改是否真正完成，不能只看整改报告是否提交、责任人是否签字。更可靠的判定要同时满足三点：原问题对应的过程证据已按新要求连续产生并覆盖约定观察窗口；根因层面的措施已经落地且能被独立复核；同类问题在后续抽样中不再复现。下面给出一套可核验、可复算的判定方法，帮助决定关闭整改项还是继续跟踪。
要点总览（TL;DR）
- 判定整改真正完成需三类条件同时成立：证据充分性、措施有效性、持续性，个案关闭只能算中间状态。
- 用问题复现率、整改按期关闭率、证据覆盖率三个指标支撑判定，并写明时间窗、统计单位与分母为零时的处理。
- 评估按五步执行：还原问题与承诺、核对措施落地证据、按统一口径计算指标、观察窗口内复现抽样、独立复核给出结论。
- 指标改善不等于根因消除，样本少或观察期短时应标注有条件通过并约定复查；阈值从历史基线出发设定，不套用通用达标线。
整改闭环卡在哪些环节
整改长期未关闭或反复出现，通常源于几个固定断点。对照下表逐项检查，可以快速定位自身整改流程中最薄弱的环节。
| 断点环节 | 典型表现 | 后果 |
|---|---|---|
| 整改停留在文档层面 | 修订了制度文件、提交了整改说明，但流程执行方式和工具中的实际操作没有变化 | 审计时看文件合格，实际运行仍按旧做法 |
| 只处理个案 | 针对被抽查到的那一次问题做了补救，未分析同类问题为何产生 | 换一个项目、换一个团队，同类问题再次出现 |
| 验证责任不清 | 整改人自己确认整改完成，没有独立复核角色 | 证据未经第三方核对，结论可信度低 |
| 关闭条件模糊 | 没有书面通过条件，凭会议讨论或主观判断结案 | 同类整改项关闭尺度不一，难以追溯 |
| 观察期不足 | 整改动作完成后立即关闭，未留出足够时间观察是否复发 | 问题在关闭后数周或下个迭代再次暴露 |
这五类断点往往叠加出现：文档层面整改加上自查自验，再叠加过短的观察期，就会形成“报告漂亮、问题照旧”的局面。定位断点后，下一步是把“完成”转化为可判定的条件。
判定整改完成的目标与通过条件
评估整改是否完成，目标是确认原问题已经消除且不再复发，而不仅仅是确认整改动作已经执行。动作完成与问题消除是两件事，判定时要以后者为准。
通过条件可以归为三类，每类都需要明确判定方式和责任人：
| 条件类别 | 具体条件 | 判定方式 | 责任人 |
|---|---|---|---|
| 证据充分性 | 原问题对应的过程证据已按新要求连续产生，覆盖约定观察窗口 | 核对流程记录、评审记录、工具状态与时间戳是否完整、连续、可追溯 | 整改责任人提供，独立复核人核验 |
| 措施有效性 | 根因层面的措施已落地，而非仅处理个案 | 检查措施是否针对根因，是否在多个项目或团队中执行 | 整改责任人说明，复核人评估 |
| 持续性 | 观察窗口内同类问题不再复现 | 按统一口径抽样，计算问题复现率 | 复核人组织抽样并判定 |
这里需要区分两个层次的关闭：个案关闭指被审计发现的那一次问题已处理；根因关闭指产生该问题的机制性原因已消除，同类问题不再产生。判定“真正完成”应以根因关闭为准，个案关闭只能作为中间状态。
判定权限也要事先明确。通常由独立于整改执行方的复核角色给出结论，结论分为通过、有条件通过、不通过三档。整改执行人自评可以作为输入，不宜作为最终判定依据。
指标与范围：用哪些量衡量整改效果
判定需要可计算的指标支撑，避免只凭印象。以下三个指标覆盖复现、时效和证据三个维度，使用时需同时明确时间窗、统计单位和适用范围。
| 指标 | 公式 | 分子 | 分母 | 时间窗 | 统计单位 |
|---|---|---|---|---|---|
| 问题复现率 | 观察期内同类问题数 ÷ 抽样总数 | 观察窗口内抽样发现的同类问题数量 | 观察窗口内抽取的检查样本总数 | 约定的观察窗口，如整改措施落地后连续两个迭代或三个月 | 按检查样本计，如评审记录条数、工作项个数 |
| 整改按期关闭率 | 按期关闭数 ÷ 应关闭数 | 在承诺期限内完成关闭的整改项数 | 统计周期内应关闭的整改项总数 | 按统计周期，如季度 | 按整改项计 |
| 证据覆盖率 | 具备有效证据的整改项 ÷ 整改项总数 | 证据完整、可追溯、覆盖观察窗口的整改项数 | 纳入本次判定的整改项总数 | 判定时点 | 按整改项计 |
适用范围需要写清楚：问题复现率适用于可重复抽样的过程类问题，如评审缺失、变更未记录；对于一次性事件类问题，复现率的意义有限，应更多依赖根因措施核查。整改按期关闭率反映整改进度管理，不直接说明问题是否消除。证据覆盖率反映判定基础是否扎实，是前两个指标可信的前提。
分母为零时要单独处理。例如观察窗口内没有可抽样样本，复现率不计算比率，应标注“样本不足，无法计算”，并说明原因，不能默认记为合格。整改项总数为零时同理，证据覆盖率不适用，需在判定记录中注明。
数据口径与证据要求
指标能否支撑判定，取决于数据来源是否可追溯、口径是否统一。判定所依据的证据应满足以下要求：
- 证据类型：流程记录（如评审签到与结论）、评审记录、工具中的状态变更与时间戳、抽样检查结果。口头说明和会议纪要可以作为辅助材料，单独使用时不足以作为通过依据。
- 可追溯性：每条证据应能对应到具体工作项、文档或流程实例，包含时间、责任人和状态，便于复核人按同一路径复查。
- 口径统一：同一指标在整改前后使用相同的统计规则，包括抽样方法、样本定义和计数方式。整改前用全量统计、整改后用抽样统计，得出的复现率不可直接比较。
- 缺失数据标注：证据缺失或记录不完整时，应明确标注为缺失并说明影响，不能默认视为合格，也不能直接剔除出分母而不说明。
- 采集与复核分离：证据由整改责任人采集整理，由独立复核人核对原始记录。复核人应能访问原始工作项和文档，而不是只看汇总表。
在研发过程中，评审记录、变更单、测试结论和缺陷状态往往分散在工具和文档中。要让证据可追溯，需要把整改项与对应的工作项、文档建立关联，保留状态流转和时间戳。ONES 支持在工作项和文档中记录状态变更与操作留痕，整改项可以作为工作项跟踪，证据材料关联到对应条目，复核人按同一路径查看原始记录。这一衔接的作用是让“证据覆盖率”和“独立复核”有可操作的载体，具体配置方式需结合团队现有流程确定。
评估步骤：从抽样到判定
评估按以下五步执行，每步都有明确输入和输出，便于复核和复算。
| 步骤 | 输入 | 动作 | 输出 |
|---|---|---|---|
| 第一步：还原原问题与整改承诺 | 审计发现记录、整改计划 | 明确原问题的具体表现、涉及流程环节、整改承诺的措施和完成时限 | 问题与承诺对照说明 |
| 第二步：核对措施落地证据 | 整改承诺、流程记录、工具状态 | 逐条核对承诺措施是否执行，证据是否可追溯到具体工作项或文档 | 措施落地核对表，标注已落地、部分落地、未落地 |
| 第三步：按统一口径计算指标 | 整改前后统计数据、抽样结果 | 按既定公式计算问题复现率、按期关闭率、证据覆盖率，注明时间窗和分母 | 指标计算表，含公式代入过程 |
| 第四步：观察窗口内复现抽样 | 抽样方案、观察窗口定义 | 在约定窗口内按统一方法抽取样本，检查同类问题是否出现 | 抽样记录与复现问题清单 |
| 第五步：独立复核并给出结论 | 前四步输出 | 复核人核对证据与计算，给出通过、有条件通过或不通过结论，并写明理由 | 判定结论与遗留事项 |
第三步和第四步的顺序可以调整：先抽样再计算，或先按已有数据计算再补充抽样，取决于数据可得性。关键是抽样方法和统计口径在开始前确定，避免看到结果后再调整口径。
示例：一次整改的判定过程
以下为演示情景，数值仅用于说明计算与判定逻辑，不代表任何真实项目数据。
示例问题与整改措施：审计发现某研发团队的设计评审记录缺失，多个需求未经评审直接进入开发。整改承诺为：修订评审流程，要求所有中等以上规模需求必须完成设计评审并留存记录；在工具中设置评审状态字段；对团队进行流程培训。
抽样范围与观察窗口：观察窗口设为整改措施落地后的连续两个月。抽样单位为需求条目，每月抽取30条中等以上规模需求，共60条。整改前基线为同期抽查40条，其中12条缺少评审记录。
指标计算：
- 问题复现率：观察期内抽样60条，发现同类问题（缺少评审记录）3条，复现率 = 3 ÷ 60 = 5%。整改前基线复现率为 12 ÷ 40 = 30%。
- 证据覆盖率：本次判定涉及整改项1项，其评审记录、工具状态字段和培训记录均可追溯到具体需求条目和时间，证据覆盖率 = 1 ÷ 1 = 100%。
- 整改按期关闭率：该整改项在承诺期限内完成措施落地，按期关闭率在本项上为 1 ÷ 1 = 100%；若按季度统计全部整改项，则需用季度内按期关闭数除以应关闭数。
结论得出：复现率从30%降至5%，证据覆盖完整，措施针对评审流程缺失这一根因，观察窗口内未出现集中复发。复核人可给出“通过”结论，同时记录剩余3条问题的具体原因，确认属于个别执行偏差而非流程性缺陷。若观察窗口内复现率仍高于基线或出现集中复发，则应给出“不通过”，继续跟踪。
边界情况处理：若第二个月抽样样本因需求数量不足只有15条，应在计算中注明样本不足，复现率的分母相应调整并说明可靠性下降，不能直接与基线比较后下结论。
解读与限制：避免误判
指标是判定的依据之一，不能替代对根因的判断。解读结果时需要注意以下限制：
- 指标改善不等于根因消除：复现率下降可能来自抽样偏差、执行力度短期加强或样本构成变化。需要结合措施落地证据判断根因是否真正处理。
- 样本量小或观察期短时可靠性下降：样本少时单条问题对复现率影响很大，观察期短则可能尚未覆盖完整业务周期。这种情况下结论应标注为“有条件通过”，并约定后续复查。
- 跨团队数据可比性有限：不同团队的需求规模、评审方式和工具使用习惯不同，复现率不宜直接横向比较，更适合与自身历史基线对比。
- 不设通用达标线：复现率降到多少算合格，应结合问题严重度、历史基线和业务风险确定。高风险问题即使复现率很低也可能需要更严格的措施；低风险问题可以接受相对宽松的阈值。
- 审计判定有边界：整改完成判定针对研发过程符合性，不替代认证结论或法律意见。涉及外部合规要求时，应以相应机构的正式结论为准。
阈值设定建议从历史基线出发：先统计整改前同类问题的复现水平，再结合问题严重度确定目标区间，并在判定记录中写明依据。这样即使后续调整阈值，也有可追溯的理由，避免整改关闭尺度随人而异。
常见问题
整改报告已经提交、责任人已签字，为什么还不能直接关闭整改项？
报告和签字只能证明整改动作被记录，无法证明问题已消除。判定闭环至少要看到三件事：原问题对应的过程证据按新要求连续产生并覆盖观察窗口；根因层面的措施已落地且能被独立复核；同类问题在后续抽样中不再复现。缺少任何一项，关闭后问题复发的风险都会明显上升。
观察窗口内没有抽到同类问题，是否可以直接判定整改完成？
需要先确认样本是否足够。若观察窗口内可抽样样本很少，复现率的分母过小，单条问题就会大幅影响结果，此时结论可靠性下降，宜标注为“有条件通过”并约定后续复查。若确实没有可抽样样本，应注明“样本不足，无法计算”，不能默认记为合格。
整改前后统计口径不一致，指标还能用来判定吗？
不能直接比较。整改前用全量统计、整改后用抽样统计，得出的复现率不可比。应统一抽样方法、样本定义和计数方式后再计算；若历史数据无法按新口径重算，需在判定记录中说明差异及对结论的影响，必要时补充抽样以建立可比基线。
高风险问题的复现率已经很低，是否就可以关闭？
复现率高低要结合问题严重度判断。高风险问题即使复现率很低，也可能需要更严格的措施和更长的观察窗口；低风险问题可以接受相对宽松的阈值。阈值建议从整改前的历史基线出发，结合问题严重度和业务风险确定，并在判定记录中写明依据，避免关闭尺度随人而异。
独立复核人需要看到什么材料，才能给出可信结论？
复核人应能访问原始记录，而不是只看汇总表。包括流程记录、评审记录、工具中的状态变更与时间戳、抽样结果，每条证据需对应到具体工作项或文档，含时间、责任人和状态。证据由整改责任人采集整理，复核人按同一路径核对原始条目，采集与复核分离，结论才具备可追溯性。
