AI 内控检查：把制度变成可追溯控制
AI 内控应用不是制度问答，而是把制度条款、控制点、证据、缺口、整改和审计做成对象；AI 发现缺口，人确认责任，运行时保留证据链。
先给结论：AI 内控应用不是问答制度，而是把制度条款、控制点、证据、缺口、整改和审计做成元数据——AI 发现缺口，人工确认责任，合规从“翻制度”变成可追溯的检查。
合规检查最累的地方，常常不是不知道制度在哪里，而是要把制度、业务记录和证据材料对起来。
制度里写着访问权限要定期复核，实际复核记录在哪？合同审批要求超过一定金额必须法务确认，哪些合同有证据？数据导出需要留痕，日志是否完整？供应商资质要每年更新，过期材料是否整改？
传统合规检查大量依赖人工翻制度、拉清单、问业务、收截图、做表格。AI 可以改变这个过程，但前提是不能只做制度问答。
AI 内控检查应用应该把制度条款变成控制点，把控制点关联到证据，把缺口转成整改任务。
你可以对平台说：
帮我搭建一个 AI 内控检查应用。它要管理制度条款、检查项、证据材料、检查结论和整改任务；AI 可以解析制度，生成控制点，自动匹配系统记录和附件证据，发现缺口并生成整改建议；高风险缺口需要负责人确认和审计留痕。
这生成的是一套检查应用，而不是一个“问制度”的聊天窗口。
合规检查为什么适合 AI 原生方式
合规工作有两个特点。
第一，制度文本多，而且经常不是结构化的。很多规则写在制度、流程、合同模板、监管要求和内部通知里。
第二，证据分散。审批记录在 OA，权限记录在 IAM，合同在合同系统，供应商材料在采购系统，日志在安全平台，整改进度在表格里。
AI 擅长阅读和匹配，但它必须知道自己匹配的是什么。制度条款、检查项、证据、缺口、整改都需要成为对象。
否则 AI 只能回答“制度大概要求什么”，不能证明“这个控制点是否被执行”。
用自然语言生成合规对象
第一轮搭建时，平台应该生成这些对象：
| 对象 | 作用 |
|---|---|
policy_document | 制度文件、版本、生效范围 |
policy_clause | 制度条款、适用对象、要求摘要 |
control_item | 检查项、控制目标、频率、责任部门 |
evidence | 证据材料、来源系统、有效期、关联记录 |
compliance_gap | 缺口、风险等级、原因、影响 |
remediation_task | 整改措施、负责人、截止时间、复核结果 |
audit_log | AI 分析、人工确认、审批和证据变更记录 |
例如制度写着“生产环境权限应每季度复核”。AI 应该把它拆成一个 control_item，要求每季度检查生产环境权限清单和复核记录。如果找不到最近季度的复核证据，就创建 compliance_gap，并生成整改任务。
搭建后持续用语言调整检查口径
合规检查不是一次性项目。合规负责人可以说：
把所有涉及客户数据导出的控制点都列为高敏感，缺少审批证据时自动升级给数据安全负责人。
平台应更新控制点分类、风险等级和升级流程。
审计负责人可能说：
新增一个检查维度：整改超过 30 天未关闭的缺口，要进入管理层月报。
这会生成整改超期规则和管理层视图。
IT 负责人可以说：
对低风险系统，权限复核周期从季度改成半年；核心系统保持季度。
这会生成按系统等级区分的检查频率规则。
自然语言搭建让检查口径可以被业务和合规共同维护，而不是藏在一个难改的脚本里。
检查人员如何用自然语言工作
检查人员可以问：
本季度哪些控制点缺少证据？
AI 应该按制度、系统、部门和风险等级回答，并列出证据缺口。
业务负责人可以问：
为什么这个问题算高风险？我需要补什么？
系统应解释：
- 该控制点来自哪条制度；
- 要求的证据是什么；
- 当前缺少哪份记录；
- 风险影响是什么；
- 需要谁补充、什么时候完成；
- 补充后由谁复核。
管理层可以问：
本月内控风险主要集中在哪些部门？
AI 可以聚合缺口类型、整改超期、重复问题和高风险控制点，生成管理视图。
这类对话让合规检查从“收材料”变成“解释风险和推动整改”。
AI 发现缺口，人工确认责任
合规场景里，AI 不能单方面判定业务违规。它可以发现疑似缺口，给出依据和建议，但最终结论应由责任人或检查人确认。
AI 适合做：
- 解析制度条款；
- 生成检查项；
- 匹配证据材料；
- 发现缺失、过期、不一致；
- 起草整改建议；
- 汇总风险报告。
人工必须确认：
- 检查结论；
- 证据有效性；
- 例外说明；
- 风险接受；
- 整改完成；
- 管理层报告。
这也是为什么应用要有状态和审计：AI 初判、人工确认、整改提交、复核通过都要被记录。
第一版怎么搭
AI 内控检查应用可以从一个范围清楚的场景开始，比如权限复核、合同审批、供应商资质或数据导出。
第一步，导入制度和流程文件，让 AI 生成条款和控制点草稿。
第二步，由合规人员确认控制点口径和证据要求。
第三步，接入来源系统或上传证据材料，建立控制点和证据的关系。
第四步，AI 自动识别缺口，生成整改任务。
第五步，整改完成后复核并沉淀审计记录。
这样做比一开始搭一个大而全的 GRC 系统更现实，也更容易证明 AI 的价值。
ObjectStack 的价值：让制度变成可运行控制
合规检查的核心不是让 AI 会背制度，而是让制度要求进入业务运行。
ObjectStack 的元数据驱动能力，可以让团队用自然语言生成制度条款、控制点、证据、缺口、整改和审计对象。AI 在这些对象上读取制度、匹配证据、解释风险并创建受控整改动作。
当合规检查不再靠人工翻制度，合规团队的工作重心就会从“找材料”转向“判断风险、推动整改、沉淀控制能力”。这才是 AI 在内控场景里的真正价值。