2026年8月28日
合规团队可以从三个层面获取 DocuSign 审计证据：信封审计轨迹（发送、查看、签署等事件）、账户级活动日志（用户与权限变更），以及签署完成的完成证书 PDF。这三类数据都能通过 DocuSign eSignature REST API 获取，因此你可以按周期自动拉取、存入自有档案库，无需每次都手工登录网页控制台就能应对审计。
本文说明各类审计数据的存放位置、检索所需的具体 API 调用，以及如何搭建一套在审计中站得住脚的留存流程。
为什么审计日志对电子签合规至关重要
电子签名在法律上能否成立，取决于你能否证明谁签了、何时签的、以及签署后文件未被篡改。在美国 ESIGN 法案、欧盟 eIDAS 条例等框架下，签名的证据效力很大程度上取决于其背后的审计轨迹。
如果你所在的组织受到监管——金融、医疗、政府合同——审计师很少会接受"记录就在 DocuSign 里"这种说法。他们需要的是按你自己留存政策导出的、带时间戳的记录。这正是为什么程序化检索流程比偶尔手工下载重要得多，也是为什么很多团队会在出事之前就追问数字签名在法庭上是否站得住脚。
DocuSign 审计数据的三个层面
动手写代码之前，先分清 DocuSign 暴露的三类审计证据：
对多数合规体系而言，前两层已覆盖签名级证据；当你还需要证明谁有访问权限、改了什么时（SOX、券商记账等常见要求），第三层就很关键。
用 REST API 检索信封审计事件
核心调用是审计事件端点。用 OAuth 访问令牌（JWT 用户授权或授权码模式）完成认证后，请求：
```
GET https://demo.docusign.net/restapi/v2.1/accounts/{accountId}/envelopes/{envelopeId}/audit_events
```
响应会逐条列出每个事件的时间戳、操作人及事件细节（如签署 IP 地址）。几个实务要点：
- 离开演示环境后，使用你的生产 base URI（如
na3.docusign.net或相应区域地址）。base URI 由 OAuth userinfo 调用返回，切勿硬编码。 - 审计事件随信封在账户中的存续期可查。如果账户配置了信封清除或留存规则，过了该窗口事件可能就无法再取。
- 先用
GET /envelopes?from_date=...&status=completed过滤信封，只拉取真正相关的审计数据。
下载完成证书
完成证书（Certificate of Completion, CoC）是审计师最常索要的文件。以 PDF 形式获取：
```
GET https://{base}/restapi/v2.1/accounts/{accountId}/envelopes/{envelopeId}/documents/certificate
```
也可以在合并文档端点传 certificate=true，一次性下载包含已签署文件与证书的合并 PDF。把 CoC 与已签署文件一并存入档案库，对两者计算哈希并记录到你的台账系统中，由此形成从 DocuSign 到自有存储的防篡改证据链。注意高频 API 检索有成本含义，设计每日批量任务前建议先了解 DocuSign API 定价模式。
搭建合规的留存流程
一套经得起检验的检索留存流程通常是这样：
- 通过轮询或接收 Webhook（DocuSign Connect），捕获进入
completed状态的信封。 - 对每个已完成信封，拉取审计事件 JSON、已签署文件和完成证书。
- 将全部材料写入不可变或支持 WORM 的存储，命名规则以信封 ID 为主键。
- 在台账中记录哈希与检索时间戳，以便日后证明档案未被改动。
- 执行你自己的留存期限，独立于 DocuSign 账户内的任何清除设置。
核心合规原则：DocuSign 是执行系统，而你自己的档案库才是记录系统。如果你的留存义务是七年，就不要只依赖厂商控制台。
依赖日志之前要确认什么
搭建流程时用这份简短清单自查：
- 确认账户的套餐与功能范围；部分遥测能力（如高级监控）是单独售卖的。
- 核对留存与清除设置，确保信封不会在你的任务拉取之前被删除。
- 测试 OAuth 集成是否拥有读取范围内每个发件人信封数据所需的 scope。
- 把检索流程本身写成文档；审计师常常要看的不仅是记录，还有流程说明。
面向亚太与跨境团队的更优选择：Nota Sign
如果你的合规范围延伸到亚太——涉及区域数据驻留、iAM Smart、Singpass 等本地身份体系，或 eIDAS 下的 SES/AES/QES 签名等级——值得评估一个为此而生的平台。Nota Sign 是法大大旗下的全球电子签平台，连续多年获 IDC 中国电子签名软件市场排名第一，法律覆盖 100 多个国家和地区，具备亚太合规深度（含区域数据中心）。集成方也可以参考我们的电子签名 REST API 开发者指南。
Nota Sign 同样通过 API 提供完整审计轨迹与完成证书，且定价不按席位收费——对小团队友好，中大型及企业客户可获定制方案。如果你正在重新评估电子签技术栈，欢迎联系 Nota Sign 团队。
