何睿 | 中国五矿集团有限公司审计部评价整改处处长

2026年，国务院国资委密集出台制度文件，构建了国资监督体系下覆盖违规追责、技术路径、体系框架与年度任务的完整政策链条。《中央企业违规经营投资责任追究实施办法》（国资委令第46号，以下简称46号令）明确了13个方面98种追责情形，确立了重大决策终身问责的刚性边界；《关于推动中央企业加快财务数智化转型升级的指导意见》（国资发财评规[2026]1号）提出以模型驱动推动财务监督智能化升级；《关于加强中央企业穿透式监管的指导意见（试行）》（国资发监督规[2026]2号）系统构建了穿透式监管的组织领导、智能系统、监督追责、监管制度四大体系；《关于做好2026年中央企业内部控制体系建设与监督工作有关事项的通知》（国资厅监督[2026]15号）要求全面推进适应穿透式监管需要的内控体系建设。四项制度一脉相承、共同指向，推动国资监管实现三个根本转变：从人工防控转向技术防控、从模糊判断转向精准识别、从抽样检查转向全量覆盖，这对监管的及时性、客观性和覆盖面提出了更高要求。

从制度要求到实际操作，企业普遍面临三重困境：一是制度执行刚性不足。国有资本从终极所有者到基层经营单位存在多层代理链条，监管要求逐级衰减，部分子企业存在选择性执行的情况，制度约束力层层弱化。二是跨系统数据壁垒突出。企业管理层级多，财务、业务、风控等信息系统建设进度不一、数据标准各异，难以支撑全级次、全流程的穿透分析，即便系统各自运行良好，不同系统间的数据口径不一致也使得跨域验证几乎无法实现。三是内控有效性评价客观性不足。传统方式依赖主观判断和抽样检查，难以全面反映内控真实水平，评价结果也未能与经营决策有效联动，导致内控体系长期处于“重建设、轻评价、弱运用”的状态。

中国五矿集团有限公司（以下简称中国五矿）以上述四项制度为遵循，同步推进内控标准化治理与综合监督平台建设，探索形成了“制度定规则、系统固规则”的双轮驱动模式。其核心思路是：通过将监管要求转化为标准化管控节点，让每项控制要求都“有据可查”，同时将管控节点转化为可计算的规则模型，让每条规则都“有数可验”。

中国五矿的内控体系数智化建设建立在委托代理理论、COSO内部控制框架和智能审计理论的学理基础之上。从委托代理理论视角看，国有资本多层代理链条导致的信息不对称是穿透式监管的根本动因；从内控理论看，COSO五要素为管理提升框架提供了经典的学理锚定；从审计理论看，智能审计从抽样到全量、从经验到数据的范式转换，为监督平台的模型化、自动化提供了方法论依据。为有效解决上述问题，中国五矿按照“双轮驱动—风险靶向—五维提升—三线联动”的逻辑，构建穿透式监管驱动下内控数智化转型的理论架构。

（一）双轮驱动：委托代理理论视角下的数字化治理机制

国有资本从终极所有者到基层经营单位通常存在6至7层代理链条，每层叠加的信息损耗导致监管要求逐级衰减，产生“制度虚化、执行软化、约束弹性化”的代理问题。中国五矿内控标准化治理与综合监督平台建设构成双轮驱动模式，正是应对这一问题的制度安排：内控标准化治理负责“制度定规则”，通过系统性对标46号令98种违规追责情形，将监管要求分解为可执行的管理提升任务；综合监督平台负责“系统固规则”，通过标准化建模流程将管理要求转化为可计算、可预警的数字化规则模型。两者之间建立的动态映射机制实现了制度修订与模型更新的同步推进、模型运行反馈与制度完善的双向赋能，实质上构建了一条压缩代理成本、缩短信息传导距离的数字化治理通道。

（二）风险靶向：基于三维框架的内控要点系统拆解

穿透式监管首先需要明确“穿透什么”，这本质上是对COSO框架中风险评估要素的数字化重构。中国五矿据此建立了“业务流程—监管要求—历史问题”三维分析框架：从业务流程维度识别关键节点和薄弱环节，从监管要求维度将46号令98种追责情形逐项拆解为风险场景，从历史问题维度结合历年审计高频问题进行交叉验证。在此基础上形成“追责情形—管理场景—管理重点”的三级聚焦机制，实现了风险识别从定性经验判断向场景化、系统化、可量化的转变。

（三）五维提升：COSO内控五要素的数字化实现形式

中国五矿提出“巩固机制、宣贯有力、流程高效、数智赋能、穿透监管”五维操作框架，与COSO内控五要素形成结构性对应，是经典理论通过数字化手段的创新实现。

巩固机制对应控制环境，通过系统梳理制度体系，将46号令追责条款内化为制度规则，从源头完善数字化内控的制度基础。宣贯有力对应信息与沟通，建立“制度发布即启动宣贯”机制，通过分层分类培训确保控制要求从制度文本转化为执行共识。流程高效对应控制活动，按照不相容岗位分离原则对业务流程精简再造，将审批节点和控制要求嵌入数字化流程，实现操作可留痕、结果可核查。数智赋能与穿透监管共同对应监督活动，前者在关键控制节点设置刚性阻断，后者依托跨系统数据贯通开展全量穿透检查，实现监督活动从“事后抽样”向“事前阻断、事中预警、事后追溯”全流程转变。五个维度从基础到监督、从静态到动态，构成完整的数字化内控逻辑链条。

（四）三道防线重构：智能审计视角下的监督体系优化

智能审计理论强调从抽样审计向全量审计、从事后审计向持续审计、从经验驱动向数据驱动转型。在这一理论指引下，中国五矿对内控三道防线进行了数字化重构：第一道防线（业务部门）负责将管控节点嵌入业务流程并保证源头数据质量；第二道防线（法律合规、风控等职能部门）负责制定数字化管控标准并设置预警阈值；第三道防线（审计部门）承担穿透式监管的统筹主体角色，不仅调取系统数据进行独立监督，更主导监管模型的需求提出、逻辑设计与效能评估，实现了内部审计职能从“事后检查”向前延伸至“规则设计”和“体系统筹”。三道防线通过数字化平台形成前端防控、中端管控、后端统筹的协同闭环，使智能审计理论在企业穿透式监管中获得了制度化的落地形态。

中国五矿针对多层级委托代理下制度执行衰减的核心问题，以46号令98种违规追责情形为刚性输入，开展了以“追责倒逼合规、标准支撑落地”为核心的内控标准化治理。与传统“制度修订—发文执行”模式不同，其核心创新在于建立了“追责情形—管理场景—管控节点”的三级风险传导机制，将抽象的监管要求转化为可执行、可验证的内控标准体系。这一机制的价值在于实现了将法律追责语言转化为业务管理语言、将笼统的禁止性要求转化为具体的控制动作、将事后问责压力转化为事前预防能力的三个层面的转化。

（一）标准化治理的核心逻辑

治理过程遵循“风险导向、系统融合、闭环迭代”的逻辑，目标是实现“管理制度化、制度标准化、标准流程化、流程信息化”的四级递进。其中“制度标准化”是区别于传统做法的最关键一环。传统内控建设往往停留在“有了制度”的层面，而标准化治理要求每项管控措施都必须有明确的执行主体、操作步骤、控制频率和验收标准，为后续的系统固化奠定基础。所有管理提升举措均明确了可量化的验收标准和可转化的系统控制要求，由此建立了“风险识别—标准制定—执行监督—反馈优化”的动态运行机制，避免制度建设与业务实践脱节。

（二）基于追责清单的风险靶向拆解

治理的核心环节是将国务院国资委的追责压力系统性转化为企业内部的管理动力。中国五矿由审计部门牵头，会同相关职能部门，以46号令98种追责情形为总风险底线，运用“业务流程—监管要求—历史问题”三维分析框架，对全集团所有业务领域进行系统性风险扫描。

首先从业务流程维度识别关键控制节点与薄弱环节，定位每项追责情形在实务中最可能发生的环节；其次从监管要求维度将每项追责情形拆解为具体的风险场景，明确“违反了什么、怎么违反的、后果是什么”；再结合历年审计、巡视发现的高频问题交叉验证，剔除低概率、低影响的非核心风险，确保管控资源投向最需要的地方。通过这种方式，共梳理出覆盖治理管控、经营管理、风险管控等6大管理体系、18条管理链条、130个管理场景的395项管控节点，构成了内控治理的重点领域。

以贸易业务领域的融资性贸易风险治理为例，针对46号令中“违规开展融资性贸易、空转走单及循环虚假贸易”的追责情形，中国五矿从五个维度构建系统化管控：制度层面完善贸易业务风险管理办法，明确禁止类业务清单与审批权限；组织层面实现业务发起、审批、执行、监督岗位的完全分离；流程层面推动贸易全流程线上化运行，实现货物流、票据流、资金流的“三流”追溯；技术层面预先明确交易标的控制权校验、上下游关联关系核查等系统控制需求；人员层面建立常态化合规培训与案例警示机制。中国五矿在制度制定阶段即同步明确了可转化为系统刚性控制的条款，为后续监督平台的规则模型建设提供了清晰的控制需求输入。

制度端解决了穿透式监管“管什么、怎么管”的标准问题，技术端则要解决“怎么管住、怎么管好”的执行问题。两者的关系不是先后的，而是并行的，即制度制定的同时必须考虑技术实现的可行性，系统建设的同时必须反哺制度的完善。中国五矿将综合监督平台定位为穿透式监管的数字化中枢，以“数据自动采集、模型自动分析、风险自动预警、核查自动派单、整改自动跟踪”为核心功能闭环，并将七步建模法贯穿其中。

（一）平台定位与模型承载架构

综合监督平台以“四全”为目标：全级次覆盖，即以产权关系为纽带将监管触角延伸至所有法人主体；全业务在线，即核心业务环节纳入平台运行并数字化留痕；全系统联通，即打通财务、业务、人事、资产等异构系统数据接口；全要素监管，即对资金、资产、人员、合同、项目等关键管控要素实时监控。平台与司库系统、财务共享系统深度融合，以财务数智化产生的实时数据作为规则模型的核心数据来源。这种融合模式的关键价值在于：财务数据天然具有结构化、标准化、可追溯的优势，以财务数据为锚点向业务端延伸，能够有效降低跨系统数据治理的复杂度。

平台与模型是载体与引擎的关系。平台通过统一数据标准和接口规范，打通了财务核算、司库资金、合同管理、OA审批、采购招投标、产权登记等数据源，为规则模型提供跨系统交叉验证的数据基础。在此基础上，平台采用“规则层—模型层—模型组层”三层管理架构：规则层封装单一判断逻辑，如“合同类型是否为借款类”“交易对手是否为关联方”，模型层将多条规则组合，对特定风险场景作出综合判断，而模型组层覆盖某一业务领域的所有风险场景。这种架构实现了低耦合、高内聚，同时通用规则可提取为共享服务，避免重复建设。

（二）七步建模法：从专业经验到数字模型的标准化路径

七步建模法是中国五矿在智能监督平台建设中的核心方法论，其本质是将审计人员的专业经验与监管要求系统性地转化为可计算、可复用、可迭代的数字化规则模型。在传统审计模式下，发现违规行为高度依赖审计人员的个人经验和职业判断——经验丰富的审计人员能在海量数据中发现异常，七步建模法建立了一套标准化转化流程，将复杂的模型构建过程分解为七个标准化步骤，确保每个模型都具有明确的风险指向、清晰的判定逻辑、可追溯的数据来源与可验证的预警效能。七个步骤并非线性的瀑布流程，而是允许在建模过程中根据数据验证结果回溯调整，形成迭代闭环。

第一步，风险场景识别与评估。基于“业务流程—监管要求—历史问题”三维分析框架，系统梳理潜在违规风险场景。评估维度包括：风险敞口（涉及的资金或业务规模）、发生频次（历史案件统计）、数据成熟度（相关系统数据是否可获取、是否结构化）、跨部门复杂度（判断是否需要协调多个系统数据源）。综合评估后将场景分为优先、中期、储备三类，优先建设风险敞口大、数据条件成熟的场景。

第二步，场景拆解与预警点提炼。将优先建设的风险场景逐层拆解为若干可独立监控的预警点，每个预警点对应一种具体的违规行为或异常特征。拆解遵循“行为具体、可独立验证、数据可追溯”三项原则，避免指向笼统的风险类别。以违规出借资金为例，不满足于设置一个笼统的“违规出借资金”预警，而是拆解为“存在借款合同且对方无股权关系”“存在隐性借贷合同”“审批程序缺失”等具体可验证的预警点。

第三步，预警规则设计。为每个预警点设计结构化判定规则，将“什么情况下构成风险”的专业判断转化为“如果A则B”的逻辑表达式。针对同一预警点的多种风险表现形态，设计多条平行规则进行全面捕捉。这一步是建模中最依赖专业判断的环节——同样的数据，不同的审计师可能得出不同的风险认定，七步建模法通过将判定逻辑显性化、标准化，使模型输出具有一致性和可解释性。

第四步，预警指标与阈值设定。从预警规则中提炼可量化的核心变量，分为刚性红线指标与阈值监测指标两类。刚性红线指标采用“是/否”二元判定，满足条件即触发预警；阈值监测指标结合历史数据统计分析与专业经验设定临界值，可细分为单一指标型和组合指标型（如“单笔金额超过X且付款频次超过Y”）。

第五步，预警等级判定。按风险严重程度分为红色（关键风险）、黄色（重要风险）、蓝色（常规风险）三级。判定遵循“从高”原则：刚性红线指标命中直接触发红色预警，阈值监测指标根据偏离程度分别对应不同预警等级。等级划分直接影响后续处置资源的配置优先级。

第六步，处置动作设计与派单。为不同等级预警设计标准化处置流程，系统自动生成包含预警来源、风险描述、核查要点与时限要求的结构化工单，派发至责任单位。红色预警要求1个工作日内启动核查，黄色预警要求15个工作日内完成核查，逾期未处置工单自动升级并抄报上级。处置结果需在系统内留痕，形成可追溯的核查档案。

第七步，运行验证与迭代优化。新建模型需经过不少于3个月的试运行，监测预警命中率（实际发现问题的比例）、准确率（预警中确实存在问题的比例）、误报率等关键指标，根据运行数据优化阈值参数与逻辑规则后正式上线。审计部门每半年组织一次模型效能评估，确保模型随业务发展与风险形态变化持续进化。

（三）应用实证：违规出借资金监管模型

以违规出借资金模型为例，可直观呈现七步建模法从风险识别到系统预警的完整逻辑链条。该模型对应46号令中违规出借资金的追责情形。

建模的起点是明确定义风险场景的全貌。实务中，部分子企业为规避监管，采取了多种隐蔽手法：如将资金以“往来款”“预付款”等名义长期挂账，表面上是正常的应收应付，实质上构成资金占用；直接通过银行转账至交易方，在账务系统不做借款记录，脱离合同管理；开出承兑汇票或信用证让借款方贴现，以信用工具替代资金出借，规避账面审查。即便签订了正式的借款合同，对方也可能与集团并无股权关系，或属于不得提供借款的参股企业、金融子企业，且未履行董事会审批程序。面对形态各异的违规手法，模型采取的策略是从合同、账务、流水、票据四个维度构建穿透监控网，四种维度数据源独立、互不依赖，任何一个维度触发异常都能被捕捉，其中“合同直借型”场景因数据条件最成熟被列为优先建设范畴。

场景拆解上，中国五矿将该场景分解为三个逐级递进的核查环节。第一，从合同管理系统锁定借款类合同——不仅识别合同类型字段明确标注为“借款合同”的记录，还通过AI语义分析筛查名称上不以借款命名、但约定了固定利息和还款期限的隐性借贷合同，解决“名为贸易、实为借贷”的识别难题。第二，对筛查出的每笔借款，通过外部工商信息系统穿透核查对方单位与集团之间的股权关系，判定其属于无股权关系企业、未纳入合并范围的参股企业或金融子企业。第三，在OA审批系统中追溯该笔借款是否经过集团董事会审批。三个预警点形成“合同识别→股权判定→审批核查”的递进逻辑，一查法律形式、二查交易对手、三查决策程序，环环相扣，前一步的输出是后一步的输入。

预警规则层面，三个预警点提炼出三个核心指标：指标一“合同类型判断”：借款合同或AI识别为借款类；指标二“对方单位股权关系”：无股权关系、参股企业或金融子企业；指标三“借款审批层级合规性”：董事会审批记录是否存在。前两个指标为刚性红线，只要合同是借款且对方是禁止出借对象，即构成违规必要条件；第三个指标为验证性指标，对于参股企业和金融子企业等“原则上不得借、确有需要须经董事会批准”的对象，审批记录的有无直接决定违规的定性。

预警等级与处置动作方面，三个指标同时命中，触发红色预警；仅前两个指标命中、审批记录存在但不完整，则触发黄色预警。红色预警触发后，系统自动生成结构化工单，同步推送三个方向：要求原单位限期收回借款、通知集团财务部督促收款、报送审计部启动专项核查，确保每条红色预警都形成处置闭环。

除“合同直借型”外，中国五矿针对资金长期挂账在其他应收款科目下、直接通过银行转账至交易方、开出承兑汇票或信用证让借款方贴现等风险场景，同样采用七步建模法建立了“账务隐匿型”“流水穿透型”“票据融资型”三类模型。四类模型逻辑独立、数据源独立、互不重叠、互为补充，从法律形式、会计实质、资金痕迹和信用形式四个维度实现了对违规出借资金的全覆盖监控。

中国五矿依托综合监督平台的运行数据，构建了以预警频率、准确率、处置及时率、整改闭环率、复发率为核心的五维量化评判体系，将企业内控有效性划分为控制有效、控制较好、控制较弱、控制失效四个等级，辅以企业级次覆盖率和数据自动采集率两项支撑性指标。这五个维度各有侧重：预警频率反映风险暴露程度，准确率反映模型有效性，处置及时率反映管理响应速度，整改闭环率反映问题解决能力，复发率反映内控的持久改善效果。五个维度综合评分，避免了单一指标可能带来的片面判断。支撑性指标则确保评价的覆盖面，如果某个企业的大量业务尚未纳入平台或数据仍靠人工填报，再好的评价结果也缺乏可信度。

与传统静态一次性评价不同，中国五矿内控体系有效性是动态循环评价。系统实时采集预警处置数据，按季度生成动态评分。连续三个季度评分下降的企业收到预警提示，连续两个季度处于控制较弱区间的企业自动触发专项审计。这种“数据驱动、持续跟踪、自动触发”的机制，使内控评价从“运动式检查”转变为“常态化监测”。

在评价结果刚性运用方面，中国五矿将内控有效性评级与经营授权、业绩考核、干部任免实行刚性挂钩：控制有效单位可申请扩大经营授权，控制失效单位全面收回授权并启动专项整改；平台指标在各级企业综合绩效考核中被赋予实质性权重，控制失效单位实行年度评优评先“一票否决”；控制有效单位主要负责人在同等条件下优先提拔，控制失效单位主要负责人暂缓晋升直至整改达标。这一机制的关键不仅在于“挂钩”，更在于它是基于系统运行数据的客观评价，而非人为的主观定性，避免了评价过程中的博弈空间，把内控从“软约束”变成了“硬杠杆”，从根本上激活了内控体系建设的内生动力。

中国五矿的实践表明，穿透式监管的落地需要制度与系统的双轮驱动，两者不是先后关系而是并行关系，制度制定时考虑技术可行性，系统建设时反哺制度完善。内控标准化治理将监管追责要求拆解为标准化的管控节点，综合监督平台通过七步建模法将这些节点转化为可计算、可执行的规则模型，二者形成有机咬合的闭环。七步建模法为企业监管模型标准化建设提供了可复制的操作范式，使不同领域、不同场景的模型建设均能遵循统一规范，其核心价值在于建立了从审计专业经验到数字化规则的转化通道。五维量化评价体系与刚性运用机制则为内控从“有形覆盖”向“有效覆盖”跃升提供了约束激励，通过将基于运行数据的客观评价结果与经营授权、业绩考核、干部任免刚性挂钩，使内控体系从“建不建都一样”变为“建不好不行”，获得了持续的内生动力。