佛山企业发现员工涉嫌犯罪，报案前应怎样保护原始证据？

企业发现员工可能侵占货款、收受回扣、泄露数据或伪造交易后，报案前应及时停止损失、保护原始载体并记录每一次处置，无需急于拼出一份“完整口供”。手机、电脑、服务器日志、财务账套和业务系统一旦被继续使用、远程擦除或反复翻查，数据的原始性和完整性可能受到影响。

企业内部可以先做风险控制和事实梳理，刑事取证仍应由有权机关依法开展。材料准备越克制、过程越可回溯，越有利于办案机关判断线索和后续取证。

一先区分紧急止损和证据固定

发现异常转账、客户数据外传或仓库货物持续流失时，企业应及时停止相关账号、付款、发货或下载权限。止损动作需要留下系统日志、审批和执行时间。

停权不等于删除账号。关闭登录、冻结权限和保留后台数据可以同时进行。直接注销账号、重装电脑或清空邮箱，可能把访问日志、聊天、文件版本和操作记录一并消除。

企业可指定少量人员组成处置小组，明确谁负责设备、谁负责系统、谁负责财务、谁与办案机关联系。无关人员不要围观或自行复制材料。

二保护员工使用的电脑和手机原始状态

涉案电脑、手机、硬盘、U盘和存储卡属于电子数据载体。发现线索时，可以记录设备外观、所在位置、开关机状态、连接网络、登录界面、品牌型号、序列号和使用人。

不要为了“看看里面有什么”反复输入密码、安装软件、登录聊天账号或恢复删除文件。此类操作可能改变系统时间、访问记录、缓存和文件元数据。

设备需要移交保管时，可制作清单，记录移交人、接收人、时间、地点和封存状态。具备条件的企业可拍摄设备现状和封存过程，保留原始照片或视频。

三不要只截取聊天中的几句话

微信、企业微信、邮件和即时通信内容，需要保留账号身份、群组成员、上下文、时间和附件。单张截图容易遗漏前后语境，也难以说明账号由谁控制。

企业管理账号能够导出数据时，应记录导出权限、操作人、日期、系统入口、筛选条件和文件格式。导出后不要覆盖原文件，可以制作工作副本供内部阅读。

涉及员工私人账号或私人设备，应注意权限边界和个人信息保护。企业没有合法权限时，不宜擅自破解密码或绕过验证，可向办案机关说明设备和账号线索，由其依法采取措施。

四服务器和业务系统日志要及时保全

登录日志、下载日志、审批、订单、客户变更、库存调整和权限操作，可能按照系统设置自动覆盖。企业应查明保存周期，及时采取只读备份或合规导出措施。

保全记录应写明系统名称、服务器或云服务主体、账号、时间范围、导出字段、文件数量和操作人员。能够计算完整性校验值的，可保留算法、校验值和计算时间。

日志由第三方云平台掌握时，应及时联系平台确认留存政策，提出保全申请。企业自行整理的表格只能作为分析材料，底层日志和原始导出文件仍需保存。

五财务证据要从账目回到原始凭证

怀疑职务侵占、挪用资金、非国家工作人员受贿或虚假报销时，企业不能只提交一张损失汇总表。应将每笔金额对应到合同、订单、发票、送货、验收、付款、银行流水和会计凭证。

个人账户收款需要核对客户付款说明、销售记录、退款和公司入账。异常供应商需要核对准入、实际控制人、收款账户、货物或服务交付。

内部审计可以标注疑点和计算方法，原始账册不能为配合结论而改写。发现会计处理错误，可另做调整说明并保留调整前记录。

六实物、库存和现场应同步固定

案件涉及货物、原材料、印章、合同原件或仓库库存时，可进行清点并制作清单。清单注明名称、型号、数量、存放位置、保管人和发现情况。

仓库短少需要结合进出库、监控、门禁、车辆和盘点记录。只拍空货架，难以证明何时、由谁取走了什么物品。

企业生产不能停止时，可以划定涉案物品范围，避免继续领用或混入新货。需要移动的，记录移动原因、前后位置和经手人员。

七监控录像要防止自动覆盖

厂区、办公室、仓库和停车场监控的保存周期可能只有数日或数周。发现线索后，应先确定摄像头编号、覆盖位置和系统时间是否准确。

导出录像时保留原始格式、播放器和导出说明，记录起止时间、文件名称、大小和操作人。不要只用手机拍摄显示器中的几分钟片段。

若监控系统时间与北京时间存在偏差，应记录偏差值和核对方式。相关门禁、车辆识别和考勤记录也可用来验证人员和时间。

八内部访谈应避免诱导和统一口径

企业可以向知情员工了解业务流程，访谈时应区分亲身经历、转述和推测。记录问题、回答、在场人员、时间和地点，由受访人核对。

不要先告诉员工“公司已经认定某人犯罪”，再要求其围绕结论提供说法。多人照抄同一份说明，容易损害可信度。

对可能涉案人员强行扣留、搜身、限制离开或威胁承认，可能引发新的法律风险。需要采取人身或强制性措施时，应及时联系公安机关。

九离职、停职和设备交接要完整记录

员工准备离职或已被停职时，企业可按制度办理工作和资产交接，列明电脑、手机、U盾、印章、文件、账号及权限。交接不能代替刑事取证。

账号停用前，应由有权限人员确认数据保留和后台访问方式。共享账号要核对登录设备、IP、操作时间和实际使用人，避免把多人行为归给一个登记人。

员工拒绝交还公司设备或资料，可记录通知、回复和资产权属材料，并在报案时说明，避免以抢夺、强行开锁等方式自行取回。

十形成证据保管和交接链

材料在法务、信息、财务、外部律师和办案机关之间流转时，应记录每次接收、复制、封存和返还。纸质材料编号，电子材料注明载体和目录。

工作副本与原始材料分开保存。分析人员在副本上标注疑点，不直接改动原文件。需要格式转换的，保留转换前文件和操作说明。

向公安机关提交时，可准备材料清单，写明来源、形成方式、保管人和与案件的关系。设备、原件和复制件分别标注，避免混放。

十一报案材料应呈现事实和线索

报案书可以说明企业主体、涉嫌行为、发现过程、损失或违法所得的初步范围、相关人员和证据位置。对尚未查清的内容，应如实标为待核实。

不要为了达到立案标准夸大金额、删去退款、把合同争议直接改写成诈骗。办案机关会审查非法占有目的、职务便利、资金归属、主观明知等罪名要件。

可以附业务流程图、资金表和时间轴，帮助说明材料之间的联系。分析表需能回到每一份原始凭证，不能成为脱离底层证据的第二套事实。

十二哪些行为会破坏证据可信度

常见问题包括删除聊天、补写合同、倒签审批、修改账套、让员工统一说明、用私人手机反复拍屏，以及在原设备上安装恢复软件。

企业还应避免以“内部调查”为由扩大收集无关个人信息。收集范围应与涉案时间、岗位、账户和业务相关，减少无关数据暴露。

发现已经发生误操作时，不要继续掩盖。记录操作人员、时间、内容和影响范围，向办案机关说明，由专业人员判断能否恢复或校验。

十三一个货款异常场景

某企业发现销售人员要求客户把货款转入个人账户。财务先导出应收账款和银行流水，信息人员冻结其企业账号并保留登录日志，客户部门逐笔联系付款人核实交易，仓库同步调取出库和签收。

处置小组没有登录销售人员私人微信，也没有修改客户系统。报案时提交合同、出库、客户付款凭证、个人收款线索、账号日志和材料交接清单，并说明尚未核实的款项。

这套材料既呈现资金和货物流，也保留了后续依法提取手机、聊天和银行数据的空间。

佛山孟翔律师实务提醒

佛山制造业、商贸和物流企业的证据分散在订单系统、仓储、财务、企业微信、监控和员工设备中。发现员工涉嫌犯罪后，可以先制作“载体—账号—保管人—保存期限”表，优先保护容易自动覆盖的数据。

报案前不要无限延长内部调查。损失持续扩大、人员可能离境、设备可能被远程删除或资金正在转移时，应及时与公安机关沟通，由有权机关依法固定和调取证据。

常见问题

1 企业能否直接查看员工的私人手机？

应审查设备权属、公司制度、授权和个人信息边界。没有合法权限时，不宜擅自破解或绕过验证，可向公安机关提供线索。

2 微信截图可以作为报案材料吗？

截图可用于说明线索，但应尽量保留账号、上下文、时间、附件和原始载体，记录截图或导出的过程。

3 发现异常后能否马上注销员工账号？

可先冻结登录和业务权限，同时保留后台数据、日志和管理员操作记录。直接注销可能造成数据丢失。

4 企业自己恢复被删除文件是否合适？

在原设备上自行安装软件或反复操作可能改变数据。涉及关键电子证据时，可保持设备状态并交由有权机关或专业人员依法处理。

5 报案前一定要把损失金额全部算清吗？

不必等到所有金额核实完毕。可以提交已查明部分、计算口径和待核实清单，并保留对应原始凭证。

参考依据

1. 《中华人民共和国刑事诉讼法》及最高人民法院相关司法解释；

2. 最高人民法院、最高人民检察院、公安部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》；

3. 《公安机关办理刑事案件电子数据取证规则》及相关规范；

4. 最高人民检察院指导性案例和公开研究材料关于原始存储介质、设备同一性、完整性校验及电子数据审查的要旨。

孟翔律师，广东佛山执业律师，广东尚尧律师事务所执行主任，兰州大学法律硕士，长期关注刑事辩护、涉企刑事风险、内部调查和电子数据证据。