风险模型不是规则清单，而是可核查线索

围绕中央企业财务数智化、DRP 建设和穿透式监管，政策要求正在从“数据能不能采集和贯通”进一步走向“风险能不能被识别、解释和处置”。DRP 和财务数智化解决的是“看得见”，外部证据和风险模型支撑的是“看得准”，组织复核和整改机制最终保障“管得住”。

在“穿透式监管落地观察”专题系列中，前四篇分别讨论了 15 号文之后央企内控评价的变化、从“看得见”到“看得准”的关键问题、DRP 建成之后还需要补齐的风险判断能力，以及外部证据为什么越来越重要。沿着这条主线继续往下看，外部证据只有进入风险模型，才会从信息材料变成可使用的监管线索。

但这里有一个常见误区：把风险模型理解为规则清单。

在很多系统建设或监管试点中，模型容易被简化为若干条“如果……则……”规则：金额超过某个阈值就预警，频次超过某个次数就预警，主体出现某类标签就预警，节假日前后发生某类费用就预警。这些规则有价值，但它们本身并不等同于风险模型。

风险模型的价值，不是把制度条文机械翻译成规则，也不是产生更多预警，而是把内部记录、外部证据和业务场景组织成可解释、可核查、可复盘的线索。对央企而言，真正有用的模型不只回答“哪里异常”，还要回答“为什么异常、证据是什么、谁来核查、下一步看什么”。

如需了解“央企穿透式监管”详情，欢迎阅读至文末下载《央企穿透式监管风险洞察能力建设白皮书》。以下是白皮书提到的，风险模型为什么不是规则清单？面对可核查线索，央企应该怎么做？

一、规则只是起点，模型要回答“为什么值得核查

央企在推进穿透式监管时，最容易先想到的是把制度要求拆成若干规则。例如费用不得超标准、供应商不得处于异常状态、凭证状态不得异常、合同金额不得超预算、采购品类要与经营范围匹配。这些规则很重要，因为它们是风险识别的起点，也是制度要求进入系统的基础。

规则清单风险模型之间仍有距离。规则清单回答的是“哪些条件触发提示”，风险模型还要回答“为什么这个提示值得核查”。前者偏静态，后者必须理解场景；前者容易按字段逐条命中，后者要组织对象、证据、时间、金额、行为和外部风险。对于大型央企而言，风险往往不是单个字段越界，而是多个看似普通的信息组合在一起后出现不一致。

例如，一家新设供应商承接了某项采购业务，单看成立时间可能只是一个提示；如果同时出现短期内多次承接大额业务、经营范围与采购品类不匹配、主体外部风险上升、凭证状态异常或交易频次异常，这条线索的核查优先级就明显提高。反过来，如果只有单一条件命中，且金额较小、业务说明充分、履约证据完整，就不宜简单放大为高风险。

这也解释了为什么单纯增加规则数量，未必能提升穿透式监管质量。规则清单只能提供风险识别的“零件”，不能自动形成监管判断。风险模型要做的是把这些零件组装成场景化线索，让管理部门能够看到触发条件之间的关系、证据之间的支撑强弱，以及这条线索是否值得投入核查资源。否则，预警数量越多，越可能形成新的管理负担。

规则清单 ≠ 风险模型

规则清单

回答“哪些条件触发提示”，偏静态，容易按字段逐条命中。

风险模型

回答“为什么这个提示值得核查”，要组织对象、证据、时间、金额、行为和外部风险。

关键差异

规则提供零件，模型要组装成场景化线索。

二、先拆场景：对象、证据、阈值和核查动作

很多风险识别效果不佳，并不是因为规则不够多，而是因为场景没有拆清楚。央企穿透式监管面对的风险往往是宏观问题，例如虚假贸易、违规挂靠、靠企吃企、费用合规、供应商异常、资金空转、境外经营风险等。这些问题如果只停留在名称层面，很难直接变成模型。

一个场景如果只写成“识别异常供应商”“识别费用异常”“识别凭证异常”，看似方向明确，实际进入执行时会变得很模糊：异常指什么，针对谁识别，依据哪些证据，超过什么程度需要提示，提示之后谁来核查、核查什么材料，都可能没有答案。因此，一个风险场景要进入模型，至少要先拆成四类要素。

第一，识别对象是什么。模型到底是在看单笔凭证、一组费用、一个供应商、一个项目、一份合同，还是一个交易对手在集团范围内的连续行为？对象不同，数据组织方式完全不同。单笔凭证适合看状态和要素，供应商适合看主体画像和历史行为，项目适合看合同、付款、进度和合作方，费用场景则要看时间、品类、商户和报销链条。

第二，关键证据有哪些。内部证据包括合同、订单、付款、入库、报销、审批、项目资料等；外部证据包括主体状态、经营异常、司法税务风险、凭证状态、经营范围、外部交易活跃度、上下游稳定性、风险标签等。一个模型能不能解释，取决于它能否说明这些证据之间的关系。

第三，阈值和分级如何设定。阈值不能脱离场景。金额阈值、频次阈值、时间窗口、风险标签权重、历史对比口径，都应当与行业、单位、业务类型和管理制度相匹配。否则，模型会把正常业务打成异常，也可能把真正风险淹没在大量提示中。

第四，命中后核查什么。模型输出不能止于“预警”。一条线索命中后，应当提示需要补看合同、付款、入库、会议通知、行程材料、供应商资质、项目背景，还是需要进一步核验主体状态和凭证状态。没有核查动作，预警就很难进入管理流程。

以费用合规场景为例，如果只设置“金额超过标准”一条规则，可能只能发现少数显性问题。更完整的场景拆解，应该同时关注报销对象、发生时间、商户特征、消费品类、凭证状态、审批路径、费用说明和历史行为。如果某类费用在节假日前后集中发生，商户特征与业务目的不匹配，凭证状态又存在异常，模型才能形成更有解释力的核查线索。

把这四类要素拆清楚，风险场景才可能从政策要求和管理经验，转化为可运行、可解释、可复核的模型。场景定义越清楚，规则、证据和核查动作越容易对齐；场景定义越含糊，模型越容易变成大量提示的集合，最后增加基层单位和职能部门的处理负担。

风险场景进入模型前的四类要素

对象看凭证、供应商、项目、合同还是连续行为

证据内部记录与外部证据如何互相支撑

阈值金额、频次、时间窗口和风险标签如何分级

动作命中之后需要核查什么材料

三、模型不是单字段预警，而是多证据组合

复杂风险很少由单一字段决定。单一字段适合发现明显异常，但不足以支撑较复杂的管理判断。

以供应商异常为例，如果只看采购金额，可能无法区分正常大额采购和异常集中采购。如果只看主体成立时间，也无法判断新设主体承接业务是否合理。如果只看经营范围，也可能受到登记口径和业务分类差异影响。只有把主体成立时间、经营状态、外部风险、经营范围、历史交易、凭证状态、交易频次、金额波动和业务品类放在一起，才可能形成更有解释力的线索。

以合同和项目场景为例，合同文本、付款记录、项目进度、验收材料、合作方状态、历史纠纷和外部风险变化都可能影响判断。内部合同记录说明双方如何约定，外部证据帮助观察对方是否具备履约基础，资金和项目资料则帮助判断合同是否被真实执行。

从更通用的角度看，模型需要组织三类证据：内部记录、外部证据和行为特征。内部记录说明企业如何发起、审批和处理业务；外部证据帮助校验主体状态、凭证状态、经营风险和业务实质；行为特征揭示一段时间内是否存在集中、重复、异常扩张或跨单位蔓延。三类证据放在一起，模型才可能从“发现一个异常字段”走向“识别一个可核查场景”。

这也是第四篇《央企穿透式监管中的外部证据：为什么越来越重要》所强调的延伸方向：外部证据要进入风险模型，而不是停留在信息查询。查询只能回答“有没有某个信息”，模型要回答“这个信息与当前业务场景放在一起意味着什么”。从查询到模型，中间隔着证据组织能力。

这说明，风险模型的关键不是“规则越多越好”，而是“证据组织是否合理”。好的模型不是把每个字段单独拉响警报，而是把不同证据放到同一个风险场景中，形成一条能够被复核的判断链条。

模型需要组织三类证据

内部记录说明企业如何发起、审批和处理业务

外部证据校验主体状态、凭证状态、经营风险和业务实质

行为特征揭示集中、重复、异常扩张或跨单位蔓延

四、好模型必须解释清楚“为什么命中

模型如果只输出分数或等级，很难被管理部门真正使用。对审计、纪检、财务、采购和内控部门来说，一条线索能否进入核查，首先取决于它能否解释清楚。

解释至少要回答四个问题：触发了哪些条件，涉及哪些对象，支撑证据是什么，建议核查什么。触发条件可以包括金额、频次、时间窗口、主体状态、凭证状态、品类匹配、历史行为等；对象可以是供应商、商户、合同、凭证、项目或单位；支撑证据需要说明来自内部记录还是外部证据；核查建议应指向可执行动作，而不是停留在“请关注”。

例如，一条供应商风险线索如果只写“供应商风险较高”，价值有限。如果能够说明“该主体成立时间较短，近期在多个下属单位集中承接业务，交易金额高于同类主体常见水平，经营范围与部分采购品类存在偏离，同时存在外部风险标签，建议复核供应商准入材料、履约能力证明和相关合同验收资料”，这条线索就更容易被业务和监督部门接收。

可解释性并不是技术附加项，而是穿透式监管能否落地的前提。不能解释的模型，即使看起来复杂，也难以被业务部门接受；不能复核的预警，即使数量很多，也难以转化为治理成果。

好模型必须解释清楚四个问题

触发了哪些条件

涉及哪些对象

支撑证据是什么

建议核查什么

五、预警之后，还要进入核查和反馈

穿透式监管强调风险自动预警，但预警不是终点。真正的管理闭环，至少还包括线索接收、业务核查、结果反馈、规则调整和持续复盘

首先，要明确谁接收线索。费用类线索可能先由财务、审计或纪检关注，供应商类线索可能先由采购、风控或审计关注，合同和项目类线索可能需要业务部门、法务、审计共同判断。不同线索进入不同部门，模型输出才有承接对象。

其次，要明确如何核查。每类线索需要哪些材料、怎样判断证据充分、哪些情形可以关闭、哪些情形需要升级，都应逐步标准化。否则，即使模型识别出问题，一线仍然需要重新摸索核查路径。

再次，要把核查结果反馈给模型。哪些预警被确认有效，哪些属于正常业务，哪些需要调整阈值，哪些需要增加证据，哪些场景存在新型变异，都应反向进入模型迭代。没有反馈机制，模型会长期停留在初始规则，误报和漏报都难以改善。

组织承接上，模型识别出的线索也需要分层处理。一般提示可以先由业务部门补充说明；较高风险可以由采购、财务或内控复核准入、合同、验收、报销和付款材料；重大疑点再进入审计、纪检、法务等监督条线会商。模型负责发现线索、组织证据、解释原因，组织流程负责核查事实、判断性质、推动整改和完善制度。两者之间如果没有清晰衔接，模型再敏感也只是提示工具；衔接清楚之后，模型才可能成为治理机制的一部分。

最后，要保留管理判断空间。模型可以提示异常、组织证据和建议核查，但不能脱离业务背景直接替代定性。复杂业务往往存在特殊项目安排、行业惯例、区域差异和临时性管理要求。穿透式监管的成熟状态，不是系统替代人判断，而是系统帮助组织更早发现问题、更清楚解释问题、更有效推动核查。

预警之后的核查与反馈

接收不同线索进入不同部门

核查材料、证据和升级条件标准化

反馈确认有效、误报原因、漏报线索回流

迭代调整规则、阈值、证据组合和场景定义

六、建模型前，先回答五个问题

对正在推进穿透式监管的央企集团而言，规则模型建设不宜一开始追求数量。更重要的是先回答五个问题。

第一，重点风险场景是否已经拆清楚。风险名称是否已经转化为识别对象、数据字段、证据要素、阈值口径和核查动作。

第二，模型证据是否足够支撑解释。内部流程记录、凭证状态、主体画像、外部风险、历史行为和业务场景之间是否能形成互相校验。

第三，模型输出是否能被一线部门理解。命中原因、证据摘要、风险等级和核查建议是否清楚，是否避免只有分数和颜色。

第四，线索是否有组织承接。不同风险线索是否明确进入财务、采购、审计、纪检、内控、法务或业务部门，是否有分级处置机制。

第五，复核结果是否能反向迭代模型。核查结论、误报原因、漏报线索和新增风险特征，是否能够反馈到规则、阈值、证据组合和场景定义中。

这五个问题可以概括为一条路径：先拆场景，再定证据，再建模型，再解释线索，再反馈迭代。只有走完这条路径，风险模型才不会停留在规则清单，而能真正支撑穿透式监管从“看得见”走向“看得准”。

建模型前先回答五个问题

重点风险场景是否已经拆清楚？

模型证据是否足够支撑解释？

模型输出是否能被一线部门理解？

线索是否有组织承接？

复核结果是否能反向迭代模型？

模型的价值，是把风险变成可以核查的问题

风险模型不是越复杂越好，也不是预警数量越多越好。对于央企穿透式监管而言，模型真正有价值的地方，是把政策要求、业务场景、内部记录和外部证据组织起来，形成可以解释、可以核查、可以复盘的风险线索。

模型的价值

把政策要求、业务场景、内部记录和外部证据组织起来，形成可以解释、可以核查、可以复盘的风险线索。

如果说 DRP 和财务数智化解决的是数据底座，外部证据补足的是内部系统之外的校验能力，那么风险模型要完成的任务，就是把这些数据和证据转化为管理上可以处理的问题。它既要帮助企业更早发现异常，也要帮助企业更清楚地说明异常来自哪里、为什么值得核查、下一步应该看什么。

沿着这条路径继续往下，模型识别之后还会遇到另一个关键问题：风险不只存在于单笔业务或单张凭证中，也会沉淀在交易对手、供应商和外部主体的长期行为里。穿透式监管如果只看业务流程，仍可能忽略外部主体长期经营状态、合作网络和风险传导关系。如何从一张供应商名单进一步看清交易对手画像，会成为穿透式监管从业务识别走向关系识别的下一层命题。