По журналам можно установить, с какой учётной записью, в каком сеансе и в какое время связано событие, но не то, кто лично сидел за компьютером. Учётной записью мог воспользоваться другой человек, пароль мог быть общим, а изменение могла выполнить регламентная обработка или обмен с другой системой. Кто действовал на самом деле, суд устанавливает по совокупности доказательств.
Многое зависит и от платформы. В одних системах состав журнала задаёт администратор, и старые записи удаляются; в других часть изменений регистрируется всегда, но хранится ограниченное время. На собственном сервере администратор с широкими правами обычно может изменить данные в обход журнала. Поэтому эксперт сопоставляет прикладной журнал со служебными полями записей, журналами СУБД и резервными копиями. Если спор только назревает, первым делом остановите автоматическую очистку журналов.