为什么现在要做一次审计
围绕加拿大28计划，很多讨论一上来就落到"用哪个"，却很少先问"我们凭什么判断"。自建还是第三方，本质不是产品好坏之争，而是两种资源结构、两种责任边界的对比。审计的意义在于：把模糊的偏好换成可逐项打勾的判定，让选择从感觉回到清单。
审计不是一次性动作。每当参与人数、使用频率或外部依赖发生变化，原有结论就可能失效。所以这份清单的目标不是给出唯一答案，而是让你在自建与第三方之间做一次可复核的对照，并留下下次复核的入口。 加拿大28计划
审计范围与判定口径
先把范围钉死，否则清单会无限膨胀。建议只审计与加拿大28计划直接相关的四个面：输入来源、处理过程、输出记录、退出方式。范围之外的内容一律标注"本次不评"，避免审计变成泛泛而谈。
- 口径一：所有判断必须能被第二个人复现，不能只凭个人印象。
- 口径二：每一项只回答"是/否/部分"，不写模糊形容词。
- 口径三：自建与第三方使用同一套问题，保证对比公平。
- 口径四：结论必须写明适用前提，前提变了结论作废。
清单组一：边界与可控性对比
这一组看的是"出问题时谁说了算"。自建路径的控制权更集中，但责任也一并落在自己身上；第三方路径把部分控制权让渡出去，换来的是别人替你承担一部分维护。两者差异不在强弱，而在风险落在谁肩上。
- 能否说清数据从哪来、经过谁手、最终存在哪里？
- 出现异常时，自建方能否独立定位，第三方能否给出可读的说明？
- 变更是否需要审批，审批人是否明确到岗位而非"大家"？
- 停止使用的条件是否提前写明，而不是临时决定？
清单组二：维护与退出成本对比
对比两种路径时，最容易漏掉的是退出成本。自建的退出往往表现为沉没投入难以割舍，第三方的退出则表现为迁移与依赖解除。把这两类成本摆在同一张清单上，取舍才不容易被短期便利带偏。
- 日常维护需要多少固定人力，是否有人能长期承担？
- 第三方若调整规则或停止服务，替代方案是否已经想好？
- 自建若核心参与者离开，交接材料是否完整？
- 退出时需要清理哪些记录、通知哪些人，是否有清单？
清单组三：记录与复盘能力对比
复盘能力决定这套安排能否自我修正。自建可以按自己的口径记录，但容易缺少外部视角；第三方通常有固定格式，便于横向对照，却可能牺牲细节。两者在记录上的差异，直接影响后续判断的质量。
- 关键动作是否留下时间、执行人、结果三项要素？
- 记录能否被非参与者读懂，而不依赖内部简称？
- 复盘是否定期进行，结论是否有明确的下一步？
- 历史记录能否导出，导出后是否仍可读？
危险信号与整改顺序
审计的价值在于识别危险信号。以下情形出现任意一条，都应先暂停推进，而不是继续比较优劣：无人能完整说明输入来源；退出条件从未讨论；记录只存在于个人记忆；变更没有留下痕迹。
整改顺序建议从低成本、高确定性开始：先补齐记录要素，再明确变更审批，然后写下退出条件，最后才讨论是否切换路径。顺序颠倒会让整改本身变成新的风险源。完成一轮后，把清单存档，作为下一次审计的对照基线。