风险预警，不是装个“智能稽核”就完事了

——804落地笔记 03

老张参加了一次央企财务共享的交流会。茶歇时，他跟旁边一家能源企业的财务部长聊天。

对方问：“你们共享中心上智能稽核了吗？”

老张说：“上了，用友的。”

对方点点头：“那风险预警这块应该没问题了。”

老张没接话。他心里清楚，自己那个“智能稽核”，跟804要求的“风险预警”，可能不是一回事。

稽核和预警，差的是“事前”和“事后”

回到公司，老张把804号指引翻到数智化建设那一章，指着一段话让团队看：

“建立覆盖全流程的智能化运营监控与风险预警体系，对合规执行、数据安全、流程效率、系统性能、资金风险进行动态监测，自动预警潜在风险并提供处置建议。”

团队看完说：“我们有智能稽核模块啊，能查重复报销、超标报销、虚假发票。”

老张问：“那数据安全的风险，谁预警？流程效率的风险，谁预警？系统性能的风险，谁预警？”

团队不说话了。

这是804落地时第二个普遍的误读——把“智能稽核”等同于“风险预警”。

稽核是什么？是业务发生之后，系统去检查这笔业务有没有问题。重复报销了，查出来；超标了，查出来；发票是假的，查出来。它是事后检查。

预警是什么？是风险发生之前，系统就告诉你有异常趋势。比如：某个部门的差旅费这个月突然比上月涨了80%；某个供应商的付款周期最近明显变长；某台服务器的响应时间在持续下降。

稽核是“你已经错了，我告诉你”。预警是“你还没错，但我提醒你可能会错”。

804要求的是后者。大多数企业的共享中心，只有前者。

804要求的五类风险，你的系统覆盖了几类？

804号指引把风险预警的对象，明确拆成了五类。老张让团队逐条对照了一下：

五类风险，没有一类是“完全覆盖”。合规执行只覆盖了报销这一个场景，数据安全只做了权限分配，流程效率完全没做，系统性能靠人盯着，资金风险只看了余额。

但在此之前，老张一直以为“我们有智能稽核”就等于“我们有风险预警”。

这两个词之间的差距，就是804合规的差距。

预警的关键不是“有规则”，是“有阈值”和“有动作”

老张后来问IT部门：“我们的智能稽核，一个月能查出多少问题？”

IT说：“平均每月拦截不合规报销单据120多笔，涉及金额大概30多万。”

老张又问：“那这120多笔里面，有多少是系统自动预警的？有多少是事后稽核发现的？”

IT查了一下：“大部分是事后稽核发现的，系统只是把异常单据筛出来，人工再去判断。”

老张明白了。

真正的预警，不是“筛选出异常”，而是“在异常发生之前，系统自动触发一个动作”。

比如：某部门的费用报销金额连续三周环比增长超过20%，系统自动给财务负责人发预警通知，同时暂停该部门的非紧急报销审批。这个动作不需要人工判断，系统自己就做了。

804号指引说的“自动预警潜在风险并提供处置建议”，要的是这个。

预警不是报表，是触发器。不是告诉你“有问题”，是替你“先拦住”。

系统厂商为什么不会主动告诉你

老张后来跟用友的实施顾问聊过一次。他问：“你们的智能稽核模块，能不能做流程效率预警？”

顾问说：“可以做，需要二次开发。”

老张问：“数据安全预警呢？”

顾问说：“也可以做，需要配置规则。”

老张问：“那你们售前的时候怎么不说？”

顾问笑了一下：“售前讲的是标准产品功能，二次开发是实施阶段的事。”

这就是问题的关键。 售前阶段，厂商展示的是“智能稽核”这个模块的标准功能——查重复报销、查超标、查假发票。这些功能确实有，确实能用，确实能证明“我们有稽核能力”。

但804要求的五类风险预警，标准产品里可能只覆盖了一类。剩下的四类，需要二次开发、需要配置规则、需要额外付费。这些，售前不会主动说。因为说了，标就不好投了。

审计来问“风险预警”，怎么答？

老张后来又碰到那位审计署的老同学。

老同学说：“我们现在审计央企的共享中心，会问三个关于风险预警的问题。”

“第一，你们的预警规则有多少条？覆盖了哪些风险类型？”

“第二，预警触发之后，系统自动执行什么动作？是仅仅发通知，还是自动拦截？”

“第三，预警记录保存在哪里？能不能追溯？有没有定期分析预警数据、优化预警规则？”

老张听完，心里有数了。这三个问题，他的共享中心一个都答不完整。

第一个问题，预警规则只有报销相关的十几条，覆盖的风险类型只有合规执行这一类。

第二个问题，预警触发后只是发邮件通知，没有自动拦截。

第三个问题，预警记录散落在稽核日志里，没有专门的预警数据库，更没有定期分析优化。

这三个问题的答案，才是804合规的真实分数。

你的系统里，预警规则有几条？

如果你也是正在建或已建共享中心的财务负责人，不妨让团队做一件事：

打开你的智能稽核模块，问三个问题——

第一，预警规则有多少条？ 是只有报销相关的十几条，还是覆盖了合规执行、数据安全、流程效率、系统性能、资金风险五类？

第二，预警触发后系统自动做什么？ 是只发一条通知，还是自动拦截、自动升级、自动分配处置任务？

第三，预警数据有没有定期分析？ 是躺在日志里没人看，还是每月有人分析、每季度优化规则？

这三个问题的答案，决定了你的共享中心是“有预警”还是“有稽核”。

804要求的是预警。稽核只是预警的起点，不是终点。

下一篇，我们聊一个更具体的问题——研发费用进了共享中心，为什么反而更不放心了？