法务预警系统正式运行第七天，供应链“洗产地”事件的完整追朔报告摆上了陈醒的办公桌。报告厚达八十七页，附录包括那家霓虹贸易公司的全部供货记录、原产地标签光谱分析数据、出口报关单据的逐票比对结果，以及恒芯产线控制网络设备固件审计的完整日志。陈醒翻到报告最后一页，在结论栏看到周明用红笔圈出的三行字——“涉事供应商一家，关联采购合同十七份，涉及设备六类共计两百三十四台套。其中已部署至产线控制网络的三台网络交换设备已完成物理隔离和固件全量审计，未发现恶意代码。剩馀设备分布于爪哇商城天罡应用兼容性测试云平台和合城产学研融合中心两个非产线场景，已全部暂停使用。”
陈醒在报告扉页上批了一行字：“从发现到隔离到审计到报告，全链条闭环用时六天。这是法务预警系统正式运行后打的第一场仗。打赢了，但仗还没完。”
仗确实还没完。周明在当天上午的供应链合规紧急会议上把涉事供应商的完整画象投在屏幕上。这家注册在霓虹大坂的贸易公司，表面上是一家经营半导体设备备件和网络交换设备的中型商社，实际控制人通过三层离岸架构将股权链条最终指向火龙联盟中北洲一家内核成员企业的退休高管。公司在过去三年内向未来科技及其生态合作方累计供货十七批量，其中十一批量的设备原产地与报关文档存在不同程度的不符——有的将北洲原产标注为霓虹原产，有的将合资组装产品标注为霓虹全流程制造，还有一批设备的原产地标签被物理清除后重新贴标，与法务预警系统在恒芯备件库中发现的模式完全一致。
“这不是偶发的单票违规。”周明在屏幕上把十七批量的问题类型逐条分类，“这是一家有组织地进行原产地伪装的供应商。它的操作手法包括三层标签复盖、在霓虹保税区更换外包装、利用霓虹与北洲之间特定产品类别的原产地认证互认条款中的审查盲区。这些手法不是小贸易公司能操作的——背后有专业合规顾问的手笔。”
蔡总从爪哇商城的视频接入亮了。他的脸色比平时沉得多，身后的办公桌上摊着一叠刚从档案柜里调出来的采购决策留痕记录。他在接到法务预警系统的红色预警通报后，主动将爪哇商城测试云平台项目全部涉及该供应商的采购文档打包提交给了周明的审计小组。
“我查了每一张采购审批单。”蔡总的声音压得很低，但没有回避任何人的目光，“决策流程没有跳步——三家比价、来源审查、原产地证明核验，全部按采购制度执行。但我没有做一件事：我没有把原产地证明上的出口许可印章拿去霓虹经济产业省的公开数据库里逐票核验。我以为盖了章的文档就是真的。我不知道章也可以造假。”
周明没有接这句话。他把蔡总提交的采购文档与那家贸易公司在霓虹海关的出口申报记录做了并排比对。比对结果显示，十七份原产地证明中有十一份的出口许可编号在霓虹经济产业省公开数据库中不存在映射记录。印章是真章的扫描复制件——不是完全伪造，而是将真实的印章图象复制后嵌入了伪造的文档。这种操作手法在电子文档时代几乎无法通过肉眼分辨。
“表面真实性审查的局限性就在这里。”周明在白板上画了一条制度设计的逻辑链，“采购制度要求供应商提供原产地证明——供应商提交了表面真实的文档——采购部门完成了制度规定的核验流程——但文档本身的实质真实性无法在常规采购流程中被验证。这个链条的断点不在任何一个人的失职上，而在制度设计的边界上：常规采购流程只能审查文档表面，不能审查文档背后的事实。要补上这个断点，需要在制度上加一个环节——对高合规风险品类供应商的原产地证明进行独立第三方实质核查。”
苏黛在会议进行到四十分钟时站起来，在白板上画了一张处理方案的树状图。树干是“供应链洗产