審計署10月20日發表審查報告，拆解政府採購冒牌飲用水風波。報告指出，物流署由市場調查、投標把關，以至中標後處理更改合約，一路出現連串嚴重失誤；更關鍵係，詐騙跡象四月已經浮面，但部門仍然未有深究，八月初甚至喺未獲第三方檢測機構確認前，先行批出改約。直至八月十八日與真正的樂百氏人員面談，先實證文件屬偽造，翌日火速終止合約。事件反映政府內控、文件驗真、風險管理同防詐騙意識多重斷層，已經影響公共採購的信任基礎。

時間撥回到四月二十五日。物流署審核投標時，發現鑫鼎鑫提交嘅兩份文件上，製造商印章名稱唔啱——原本應該係樂百氏（廣東）飲用水有限公司廣州分公司，文件上卻變成百氏（廣東）飲用水有限公司。呢種關鍵識別資訊出現明顯錯配，按常理應該即時全面復核同追查來源。不過，物流署最終只要求對方釐清並重新提交，收回經修訂文件後就冇再發問，錯失第一個止蝕位。

六月二十六日，鑫鼎鑫獲批出政府樽裝飲用水合約。到八月初，對方通知物流署，稱原訂製造商樂百氏（廣東）飲用水有限公司廣州分公司因大雨影響運作，要求更改合約，改用東莞市東娃飲用水有限公司，同步將品牌由鑫樂改為Happy／喜士。呢個品牌正好與政府另一承辦商時貿國際供應嘅產品相同，風險點瞬間疊加：一係供應鏈同源重疊，一係品牌與供應商更換涉及跨公司協調，理應加強核實同冷靜評估供貨連續性。

物流署要求提交新製造商意向書同水質檢測報告作審核。八月八日，鑫鼎鑫遞交一份檢測報告，申請人名稱顯示為時貿國際有限公司，即政府於新界及部分大嶼山區域的樽裝飲用水承辦商。同日，鑫鼎鑫再交由時貿國際製造商發出嘅確認信，指供應畀鑫鼎鑫同時貿國際的樽裝水屬於相同來源，因此時貿國際先前的檢測報告可以共用，並一併提交東莞市東娃飲用水的意向書。物流署其後以電話及電郵向時貿國際核實文件真確性，程序表面上走過，但風險控制未到位。

八月十一日，鑫鼎鑫再交一份檢測報告，今次申請人名稱係鑫鼎鑫本身，報告抬頭為香港標準及檢定中心。物流署同日聯絡標檢中心查核有效性。但審計署翻查紀錄發現，物流署喺仍未收到標檢中心確認之前，就已經喺同日批出更改合約，將製造商由樂百氏改為東莞市東娃飲用水。更離譜嘅係，翌日標檢中心回覆，指從未發出相關檢測報告，等同直指該份報告無效、涉及懷疑虛假文件。按理應該即時叫停一切相關供應安排並啟動調查，但物流署同日只係要求鑫鼎鑫喺八月二十五日或之前重新提交有效檢測報告，同時還批准品牌名稱由鑫樂改為Happy／喜士。程序失守，清晰可見。

八月十一日，物流署亦收到樂百氏的來函，澄清並無參與供應政府樽裝飲用水。署方八月十二日電郵要求鑫鼎鑫解釋，八月十四日與對方會面，八月十八日再與樂百氏代表面談，至此確認鑫鼎鑫四月二十五日提交嘅兩份文件屬偽造。物流署到八月十九日先正式終止合約，整場事故先告一段落，但制度代價已經形成。

對於點解會信納更改製造商，物流署解釋，基於最初收到的文件組合——包括東莞市東娃飲用水的意向書、確認信，以及由時貿國際名義提交的水質檢測報告——足以推斷新供應可達到安全標準要求。問題在於，文件可以為審批提供依據，但文件真偽必須先核實，尤其涉及第三方技術報告，一日未獲原機構正式確認，任何批核都屬程序性風險放大。

審計署向物流署署長提出多項改善建議：其一，重塑供應商更改合約的審批流程，嚴格做到文件齊備、真確無誤先至批；其二，補強對投標者背景及文件的核實程序，尤其針對印章、抬頭、公司名稱等基礎識別要素；其三，對部門人員進行反詐騙與文件鑑別培訓，將風險意識制度化，減少個案判斷造成的走漏位。

八月十八日社會上曾流傳標檢中心為鑫鼎鑫發出水質證明的說法；當日標檢中心董事、立法會議員林健鋒即時澄清，中心未曾替鑫鼎鑫做檢測，亦無發出任何相關證明，而今次審計結果印證了這一點。