阮秋的四个班补回去以后，那张旧排序没有消失。
它不再从中央系统生成，也不能在经理页面打开。可二〇一〇年十二月二十九日至二〇一一年一月十八日之间，四家公司一共导出过十六份排班建议。七份是电子表，九份打印过。中央日志能告诉我们谁按过“导出”，不能告诉一张纸后来塞进哪只抽屉，也不能让一封邮件从收件人的电脑里自己回来。
三月四日，车站酒店招聘两名客房领班。
它原有一名领班回乡，另一名转餐饮，六名内部员工报名。阮秋没有报名。她在青川酒店，只支援过车站酒店三次。候选人里却有一名叫周莲的清洁员，二十八岁，做了四年，培训成绩最高，主管评价也好。
最后入选的两人没有她。
人事面谈记录写：“近期家庭安排较多，稳定性待观察。”周莲过去三个月只请过三天病假，原因是自己发烧；另有两次与同事提前换班，换班都获批准，没有缺岗。她问主管什么叫家庭安排，主管说人事综合判断，不方便公开其他资料。
周莲找到红姨，不是因为知道阮秋的事，而是她在一只待碎纸箱里看见自己的名字。
那是一张二〇一〇年十二月导出的颜色表。车站酒店人事当时打印两份，一份交运营会议，一份夹在节后排班草稿。中央宣布封存后，人事把草稿放进待销毁箱，没有逐页登记。周莲下班经过办公室，帮文员搬箱，最上面一页正好朝上。她的名字后面是黄色，备注“病假、换班、外住”。
三天病假没有让她失去当月工资。三个月后，它从一张本应销毁的纸里又站起来，替一场没有记录的“综合判断”说了话。
红姨先把纸交给黎真，没有带周莲去找主管对质。若主管当场说从未看过，我们又会陷入记忆。黎真按文件编号找原导出，确认这张属于十六份之一；车站酒店的销毁记录写“旧排班草稿一箱”，没有逐份见证，也没有保留证据样本。
“为什么既说封存，又让他们销毁？”我问。
严凤把一月整改令翻出来。中央服务器的模型、日志与一份证据副本封存；各项目持有的工作副本，在确认不再使用后销毁。这样做本来是为了减少个人数据继续散落。问题是销毁只按箱，不核每份；在真正销毁以前，纸仍能被看。
“现在不能把所有箱都烧了。”黎真说，“先列副本。”
四家公司当日暂停人员晋升、长期固定班和续约决定，不停工资、不停日常排班。每家公司由人事、员工代表和一名无关项目文员共同清点纸本、邮箱附件、电脑本地文件与U盘。不是搜员工私人住处，只有公司设备和档案柜；个人邮箱若曾按公司指示收件，由本人选择在见证下查对应邮件，不交其他内容。
第一天找到九份。
第二天找到十三份。
比日志里的十六份少三，又多出四份未登记的二次复制。有人为了开会把电子表另存成“最终”“最终2”和“最终确认”；有人只截取自己部门二十人的页；一名经理把排序粘进个人工作表，删除了颜色，却留下分值。文件名不同，来源相同。
严凤看着清单，说：“我以为撤权限就能停。”
“权限停的是下一次。”黎真回答，“已经出去的纸，要一张张回来。”
第三天下午，周萍在平台办公室一台旧电脑里找到一只加密压缩包。密码写在显示器背面的便笺上。压缩包是软件公司做系统维护时备份，含完整人员数据和模型字段，比任何经理导出都多。维护合同要求服务商在项目结束后删除本地副本，却没有规定平台这只临时备份何时销毁。
软件公司技术员说，备份留在客户电脑，不在他们手里；这是安全惯例，防升级失败。平台信息员说自己不知道内容，只按技术员要求保存。
里面有紧急联系人可达性、住宿区域和病假天数。
红姨问：“谁能开？”
密码太简单，办公室任何看到便笺的人都能开。日志又只记文件建立，不记离线压缩包被谁读过。
我让人把电脑断网，原盘由外部取证做镜像，一份证据封存，其余经确认后删除。阿木站在门口，只管没人搬走设备，不问哪个人是不是内鬼。
严陆反对把维护备份也算员工资料滥用。他认为没有证据证明有人打开，不能因为密码写错地方便推定已经泄露。
“不推定泄露。”黎真说，“记作未受控访问风险。通知员工时写我们不能确认是否被看过。”
“这样写会让所有人以为被看过。”
“不写会让他们以为我们能确认没人看过。”
两种不安中，没有一句能让事实更舒服。
周莲的领班评选单独核。
主管姓郑，在车站酒店做了六年。他承认看过那张颜色表，也承认面谈时记得周莲是黄色，但坚持没有只因颜色排除。入选的两名员工，一名资历比周莲长，一名能同时做套房盘点和培训；周莲管理经验不足。
“那为什么记录不写经验？”红姨问。
“我写了稳定性。”郑主管回答，“因为领班不能总换班。”
“她换过两次，提前找好人，没有缺岗。”
“领班临时有事，影响更大。”
周莲在旁边一直没说话。红姨让她自己问。
“如果我没看见那张纸，你会告诉我吗？”周莲问。
郑主管说会在个人反馈中谈出勤。
“你问过我为什么换班吗？”
“记录里写个人原因。”
“一次是替另一个同事上夜班，她下一周还我；一次是公司安排培训，我和她换。都不是我家里有事。”
郑主管翻换班单。两份只写双方同意，没有原因。系统把任何换班都当变动，颜色表又把外住区域叠上，主管看到结果以后，自己替空白补成“家庭安排”。
“病假呢？”周莲问。
“你发烧三天。”
“领班不能发烧？”
郑主管没有回答。
周莲不是自动应该当领班。其他两名候选也有真实优势。若我们为了补偿便撤掉她们其中一人，同样会让别人替系统错误付钱。董事会决定重做评选，但不取消已入选者资格：增加一名三个月代理领班名额，六名候选可自愿重面；由不同项目主管、员工代表和人事共同评分，只看岗位能力、实际可用班次与现场模拟。代理期后按事先标准决定是否新增正式岗位，若没有岗位，代理补贴仍保留。
周莲问：“为什么是代理？如果我考第一呢？”
“因为原来只有两个编制，不能把别人赶走给你。”我回答，“我们能重开机会，不能假装第一次从没让你失去。”
“那公司犯错，我得到的是多考一次。”
她说得也对。
红姨提出另给程序损害补偿，不与是否当选挂钩。律师担心一旦叫“损害”，会被理解为承认非法歧视；黎真说名称可以依法核，不能因为怕一个词便让周莲只得到重考。最后公司支付相当于半个月平均工资的纠错补偿，承担的是未经告知使用旧排序影响机会，不以她放弃申诉为条件。
周莲收下，仍参加重评。
现场模拟不是让候选背管理口号。车站酒店故意设置三件同一小时发生的事：一间客房丢失贵重物品、一名清洁员手部割伤、两间团队房要求提前入住。候选只能先处理两件，第三件要交谁、怎样留记录。
周莲先让受伤员工停工、陪同医疗并封存工具，再让前台与客人共同核失物范围，团队房交另一名资深员工按清洁状态排序。她没有先去最会投诉的客人那里。
郑主管问：“团队领队在大堂发火怎么办？”
“告诉他可交付时间、可先用的两间和行李安排。”周莲说，“我不能让割伤的人拿毛巾缠一下继续做。”
“如果只是小口？”
“先由医疗判断，不由我看一眼叫小。”
她的模拟分最高，盘点和排班题第二。三个月代理期间，她没有一次临时缺岗，却仍换过一回班——母亲来城里复诊，她提前两周与同事换。新系统只记可用时间和交换结果，不把原因变成分数。
代理期末，车站酒店决定保留第三名领班。不是因为她的故事值得同情，而是入住和团队客增加确实需要。若没有新增岗位，她也不能因此永远戴着“被补偿者”的牌。
副本清点持续六周。
十六份原导出最终全部找到来源，另确认二次复制七份、截页四份、维护备份一份。该销毁的在员工代表和信息人员见证下销毁，保留一套证据副本，由外部审计控制访问；与个别争议有关的页进入各自申诉档，不能拿去做其他管理。私人邮箱里两份公司附件由员工本人删除并回执，公司不检查邮箱其他内容。
有一只U盘始终没找到。
清点期间，员工最担心的不是U盘，而是公司会不会趁机看他们所有文件。
平台发的第一版通知写“请相关人员配合检查个人持有的公司资料”。有人理解成要交私人手机和邮箱。两名员工已经把手机带到人事门口，红姨看见后让检查暂停。公司有权要求归还公司资料，不等于可以翻个人相册、聊天和其他工作。
第二版通知把方式拆开。公司电脑和公司邮箱由信息人员按范围查；私人设备由员工先自查文件名、日期和发送人，可选择在屏幕共享下只展示对应结果；若拒绝，不推定有副本，只记录无法验证并评估风险。确有公司要求使用私人设备的，整改责任在公司，不能全让员工承担。
一名离职文员说旧经理曾让她用私人邮箱收表，因为公司邮箱附件太大。她早已删除，却没有证据。平台查发送端日志，确认邮件发过；风险页写“接收存在、当前持有无法独立验证”，不写她拒不交。公司为仍在职员工提供足够邮箱和受控U盘，禁止经理再以方便要求私人收。
受控U盘不是每人一只随便带。编号、借出、用途、归还和加密，跨项目会议结束当日清理。有人嫌麻烦，把文件打印带走。纸本也须编号与销毁，不会因不是电子便天然安全。
清点还发现三张颜色表被用作培训反例。人力部在整改会上投影过原表，虽然姓名遮了一部分，住宿区域与岗位组合仍可能认出。讲师认为用真案例更有力，员工却没有同意成为案例。
平台重新制作模拟数据。旧投影文件删除，参加培训的人收到说明，不要求他们签保密便假装从没看过；只能要求不继续传播，并给被可能识别者通知。公司承认培训本身又扩大了一次访问。
“是不是以后什么都不能拿来教？”严凤问。
“可以教结构，不必教谁。”红姨回答，“真姓名对理解公式没有帮助。”
信息审计为二次复制建立来源图，不画人际关系，只画文件从中央导出到会议、邮箱、打印和U盘的路径。一个节点越多人拿，便优先回收；不是谁职位低先查谁。图上最大的节点恰好是平台运营委员会，而不是某名清洁主管。
严陆看见后承认，问题并非项目经理偷偷滥用，而是中央会议为了方便一次性发全表。中心越规范，复制能力越强。过去黑桌的资料少，风险藏得深；新平台能一分钟把近五百人发给四家公司，伤害反而更快。
清点结束时，外部审计不出“全部销毁”证明，只出范围结论：已识别副本处置完成；一只私人U盘与若干历史缓存无法独立确认；中央证据副本受控；发现新副本的报告路径持续。没有盖一枚让世界上所有复制消失的章。
岚桥前人事助理离职时登记带走个人U盘，曾用于会议投影。她回函说已格式化，愿提供书面声明，不愿把私人U盘寄来。公司没有权因一种可能搜她住处，只能记未能独立验证，并通知受影响员工。资料风险因此没有一个漂亮的“百分之百收回”。
梁仲平要求把未找到U盘列为长期潜在责任。
红姨反对“长期”两个字：“不能让员工以后每次升职，都说也许那只盘还在。”
外部审计给出折中：风险记录保留，禁止用于任何个人决定；若未来出现具体泄露再启动事件，不以风险本身影响员工。公司按资料保存期复核，不无限期用同一件事拦人。
我同意。
三月三十日，周莲回车站酒店做第一天代理领班。她在班前会上没有提颜色，也没有说自己战胜公司。她把当天二十六间退房按加权量分，先问谁有已知培训、谁的手腕还在恢复、谁愿意接套房。名单上只有班次和资格。
午后，一名清洁员临时说孩子学校打电话，需要提前走。旁边有人看周莲，像等她证明自己不会记仇。
周莲没有立刻答应，也没有问孩子什么病。她看剩余房量，问能否再做完手上已开的一间；对方说可以。周莲把其余两间分给自愿加班的人，加权奖金另记，自己接一间查房。
“明天会不会少我的班？”那名员工问。
“明天按明天可用时间。”周莲回答，“今天提前走记真实时间，不写稳定不稳定。”
这句话后来被印进新的领班手册。
病假三天的人曾被排到最后。纠正以后，她没有被保证永远排在前面。公司能承诺的不是一个好位置，而是不让同一张未经同意的旧表，隔三个月、隔一家公司、换一个文件名，再替她决定一次。
四月初，我们准备恢复四家公司联合人力会议。
开会前，阮秋提出一个问题：她在青川酒店请的病假，为什么车站酒店与平台都曾有记录；她只支援岚桥两次，为什么岚桥那份导出里也有她母亲所在区域。
三家项目人事各自查完，给出三个不同答案。
平台说数据来自统一排班；青川酒店说按支援协议共享；岚桥说为宿舍与接送安全接收；车站酒店说它不应有阮秋记录，可能是全表导出时一并带入。
四家公司都能解释自己为什么看见一部分，没有一家能解释阮秋为什么必须同时出现在全部表里。
联合会议因此没能开始。