优秀审计项目 | 异常数据揭开虚假培训面纱

根据S市职业培训补贴相关管理办法，符合“四有两可”（即培训过程有签到注册、有学习记录、有答疑辅导、有评价测试，学习过程可查询、可追溯）的在线培训平台，经申请审核后均可纳入本市在线职业培训平台名单。但各培训平台的数据并不统一归集，无法开展集中数据分析。因此，数据资源分散、数据结构异构、审计资源有限是摆在审计组面前最现实的问题。

知己知彼，集中精力寻找切入点

锁定资金密集、资源富集领域。审计组利用就业部门的培训补贴发放数据，将培训平台按培训补贴金额大小进行了排名。综合考虑审计资源有限以及各培训平台的数据库、数据结构、业务流程各异的现实情况，初步锁定审计重点为培训补贴金额最大的两家培训平台，约占全市培训量的1/3。

收集外围数据，还原企业图谱。审计组通过互联网搜索公开信息发现，培训平台“W培网”是一家专门为某行业及上下游企业提供线上线下培训服务的平台，运营主体是Z公司。通过某平台股权穿透信息发现，Z公司的股东是本市某行业协会、X民营企业和个别自然人，其股东与本市部分该行业企业有投资或被投资的关系。

厘清关联关系，展开合理怀疑。错综复杂的股权关系背后，反映出Z公司实质上是一家由本市某行业协会和部分该行业企业控制的企业。Z公司、某行业协会、相关该行业企业三方都是一家人，他们会不会联合起来搞虚假培训，骗取培训补贴？他们骗取的资金如何进行分配，资金流向是什么？另一培训平台“T培网”面向20多个行业，虽没有行业集中的特征，但培训补贴金额更大，也不能掉以轻心。

见微知著，让沉默的数据开口说话

筛选异常行为数据。审计组从“W培网”“T培网”采集底层数据，并对已获得培训补贴学员的学习、考试记录进行集中分析，发现几类疑点：一是部分学员的课程学习时长严重不足，但申请补贴所附的培训报表数据为100%完成；二是部分学员通过考试，但考试时长极短；三是“T培网”大量登录记录ID数据不符合自增长规律，部分登入时间小于上一条记录的登入时间；四是关注到一个有意思的细节，“W培网”部分学员的课程学习记录的开始时间、结束时间比较奇怪（时、分、秒看起来都符合自然特征，但毫秒的值为000），且这些学员集中在部分委托培训企业。审计组初步研判，前三类疑点相对清晰、容易突破，第四类疑点较为新奇，可先隐而不发，以免打草惊蛇。

现场初核困难重重。为防止Z公司和相关行业企业串通一气，“W培网”审计组决定分头行动，同时延伸Z公司和A、B两家行业企业。在Z公司，通过审查财务资料发现：一方面，相关行业企业向Z公司支付培训款项，Z公司以业务补贴名义向相关行业企业返还款项，资金往来密切；另一方面，针对学习时长、考试时长不足的疑点，既是股东又是软件服务商的X民营企业回复，“W培网”曾于2021年年中被病毒攻击，造成部分数据丢失，且系统运维人员常驻外地，最近生病了正请假休息。在A、B两家行业企业核查时，负责人和抽查的部分学员都否认存在虚假培训情况，推脱是“W培网”的系统记录出了问题。审计核查一度陷入僵局。另一边的“T培网”审计组进展相对顺利，面对大量的登录记录ID异常数据，某技术人员顶不住压力，口头承认对后台培训数据进行过修改。

一波三折寻找突破。面对病毒攻击的说辞，“W培网”审计组意识到，目前的首要任务是确保数据的真实性。审计组决定从软件服务商X民营企业进行突破。既然系统运维人员不在S市，那就召开网络视频会议；遭到过病毒攻击，那就进行远程屏幕共享，查看相关证明材料；部分数据丢失，那就现场演示测试结果。审计组兵来将挡、水来土掩，全程录音录像、刨根究底，进一步了解到，X民营企业是通过购买外地某家小公司的培训平台来搭建运营“W培网”，仅1名运维人员负责程序修改、数据库备份、应急响应等。病毒攻击是真实存在的，但系统恢复后并未进行程序修改，也没有数据丢失报错的相关运维工单，现场测试表明后台数据记录正常。至此，审计核查拨云见日，2021年7月以前的数据，因“W培网”未按规定保存线上培训资料以及遭受病毒攻击等原因，已无法追溯；2021年7月之后的数据是真实可信的，审计疑点数据是可靠的。

几家欢喜几家愁。另一边的“T培网”审计组却高兴不起来。在审计组拿出登录记录ID不符合自增长规律的异常数据两天后，“T培网”进行了正式答复，“在用户访问量过大时，我们采用了缓存技术，先把部分班级的数据存在缓存里，等过段时间再插入登录表里”，直接推翻之前的说法，否认篡改数据的事实。审计组认真分析了两个多星期得出的一张“王牌”，就这样被“T培网”以看似合理的说辞轻松化解了。铩羽而归的审计组复盘后得出结论，必须找到最直接的审计证据，否则所有的异常数据本质上对方都可以通过数据修复、程序BUG来解释。虽然不可能在上千个代码文件、数个更新版本的海量代码中找到篡改数据的功能，但可以现场操作每一个功能按钮，同时监控记录“T培网”系统的数据库产生的数据，从数据变化中找出症结所在。

利剑出鞘，让隐蔽的真相浮出水面

证据确凿，初战告捷。“W培网”审计组确认了2021年7月以后数据的真实性，系统实时生成的学习报表如实反映了相关学员的部分课程未学完，但申请补贴的纸质报表却显示100%完成，纸质报表是假的！Z公司在如山铁证面前不得不承认纸质报表造假的事实。审计组合理推测，毫秒为000的疑点也可能是通过程序修改后台形成的造假数据!但如何突破？如何取证？审计组与Z公司再次正面交锋，约谈了Z公司、行业协会的负责人。

乘胜追击，无从抵赖。审计组以已核实的造假事实为震慑，动之以情、晓之以理，经过一番激烈交锋，Z公司负责人最终低下了头，如实交代了情况。原来，为了帮助该行业企业拿到培训补贴，Z公司请软件公司开发了一个秘密按钮——“批量设为完成”！只要Z公司后台工作人员选择好相应学员后，点击这个秘密按钮，系统会随机地为这名学员“自动”学完课程。对完全没学的课程，会随机生成学习开始时间和学习结束时间；对只学习一部分的课程，会以学习开始时间加上课程时长作为学习结束时间记录到后台数据库。一切都是自动化，一键完成！补贴到手！看起来天衣无缝，然而他们遗漏了一个细节，随机生成的时间没有考虑到“毫秒”，这个细小的纰漏没有逃过审计人员的火眼金睛！

穿行测试，捷报频传。另一边的“T培网”审计组也收获了可喜的审计成果。从注册用户开始，审计组一步一步监控用户在完成培训过程中产生了哪些数据，以及这些数据是怎么变化的。通过系统穿行测试发现，“T培网”以学员登录平台时长，而非课件学习时长作为课时完成情况，且其在登录时长的记录上也存在问题，只能记录用户的登入时间，无法记录用户的登出时间，平台采用登入时间加3小时或者6小时作为登出时间，默认用户只要登录一次便记录3小时或6小时学时，导致生成的培训报表缺乏真实依据。

举一反三，多点开花。线下培训审计组也筛选出部分学员存在同一时间段在不同培训班重复打卡签到的疑点。但培训学校坚称，两个培训班都真实存在，分别安排了上课和考试，获得两种补贴没有问题。久经沙场的审计人员明白又得迂回突破了。审计组通过审查培训方案，明确了两个培训班的培训内容是包含关系；通过查询考场安排资料和微信公众号新闻稿等信息，证实了两个培训班的理论课授课地点和时间完全重合，实操考试为同一天、同一地点。面对上述证据，培训学校最终承认了在未通知用工企业的情况下，私自在受托实施的新型学徒制培训中，包装出了一个专项职业能力补贴培训，重复申请并获得补贴的造假事实。

本次审计揭示了线上培训平台人为篡改数据、线下培训企业重复申报等涉及数千余人次的虚假培训问题，并移送公安机关进一步侦查，及时追回或终止发放培训补贴，及时清退涉事培训企业、取消相关培训资质。

就业主管部门出台和修订3项制度，进一步完善培训企业资质认定条件，建立动态管理的培训企业白名单制度，同时建立联网平台，加强对职业培训异常数据的预警提示和审核监管。

该项目审计报告获得市领导批示，审计项目获得S市审计机关优秀项目一等奖，审计成果显著。