集团内审工作正在从“查问题”走向“看风险、促治理”。组织层级多、业务条线多、制度文件多，审计人员往往要在不同系统之间反复查找依据，再凭经验判断风险，随后整理核查材料、编写底稿。制度检索看似简单，真正做到查得全、引得住、说得清并不容易；风险点识别更依赖审计经验，规则散落在制度、检查清单和历史底稿中，难以复用。数商云围绕某装备制造行业头部集团的内审场景，搭建集团内审Agent智能体，以制度检索智能体和风险点识别智能核查智能体为核心，把制度知识、风险规则、业务数据与审计作业连接起来。项目没有停留在概念演示，而是从审计人员平时高频使用的任务切入，让制度查得到、依据说得清、风险识得准、核查过程留得下。本文从项目背景、方案搭建、落地运行与推广经验展开复盘，供内审、风控、合规及数字化团队参考。
一、项目背景与内审智能化诉求
1. 集团内审场景正在发生变化
(1) 该集团业务覆盖多个板块，组织层级和地域分布较广，制度文件由总部职能、子公司、业务条线分别制定和更新。审计人员开展检查时，既要看集团层面的管理办法，也要看属地细则和操作指引。制度存放分散、版本口径不一，查找依据往往需要跨系统检索、向业务部门确认，甚至依赖个人记忆。新成员上手慢，资深人员的经验也难以沉淀为组织能力。
(2) 内审职能从合规检查向风险洞察延伸，管理层希望监督更靠前、问题发现更及时。审计项目覆盖采购、合同、费用、投资、资产管理等多类业务，审计人员需要快速理解业务背景，识别异常线索，形成有说服力的核查证据。重复性的制度检索、初步比对和材料整理占用不少精力，智能体辅助的价值由此显现。
(3) 业务数据分布在合同、采购、财务、资产、办公流程等系统，风险核查需要跨系统比对。传统人工方式可以完成核查，但过程依赖个人路径，证据链整理标准不统一。集团希望在不改变审计判断权的前提下，引入智能体承担基础检索、规则匹配、线索梳理和底稿素材准备，让审计人员把精力放在风险判断、沟通核实和治理建议上。
2. 制度检索的痛点不只是查不到
(1) 关键词检索对业务语言的理解有限。审计人员提问时常用业务表述，制度文件却使用规范术语，名称与条款之间不完全对应。只靠关键词容易漏查，扩大范围又带来大量无关结果。制度权限也有边界，总部制度、子公司细则、专项通知的适用范围不同，检索结果需要按组织、角色和项目范围进行过滤，避免越权查看或该看的内容查不到。
(2) 制度答案不能只有结论。审计底稿需要说明依据来源，回答应展示制度名称、条款内容、适用范围和版本状态。制度更新后，旧答案要及时失效，历史项目引用要能够追溯。若知识库缺少治理，制度切片混乱、同义词缺失、附件未解析，智能体即使接入模型，也难以给出稳定可信的结果。因此，制度检索智能体的基础是审计知识库建设，而不是简单挂接一个问答入口。
(3) 检索结果还要能进入审计任务。审计人员查到制度后，往往要继续判断风险点、设计核查程序、准备取证材料。若检索与核查彼此割裂，智能体只解决了“查”的问题，没有解决“用”的问题。数商云在方案设计中将制度检索与风险核查打通，让制度条款可以作为风险规则的依据，也可以带入核查任务和底稿素材，形成连续作业链路。
3. 风险点识别需要规则与数据结合
(1) 审计人员识别风险，通常结合制度要求、业务数据和历史经验作出判断。不同人员对同一业务的关注点可能不同，检查清单和底稿中的经验没有结构化，规则更新也不及时。风险点识别智能核查智能体要发挥作用，需要把审计经验转化为可配置的风险规则，明确风险描述、适用业务、判断条件、所需数据和证据要求，而不是让模型自由发挥。
(2) 风险核查不能只看单条记录。合同、采购、付款、供应商、授权审批之间存在关联，异常线索需要跨系统核验。智能体可以根据任务调用制度检索、规则匹配、数据接口和报告生成工具，先梳理疑点，再给出核查建议。模型负责理解任务和组织表达，规则与数据负责提供事实基础，审计人员负责最终判断，这样的分工更符合内审作业的实际要求。
(3) 风险识别结果要可解释、可复核。智能体输出风险点时，应说明依据条款、数据证据、疑点说明和建议核查程序。对不确定事项标注待核实提示，不把模型建议包装成审计结论。核查过程要留痕，记录调用过哪些工具、使用了哪些数据、引用了哪些制度，便于质量复核和后续追溯。可信、可用、可运营，是该项目对智能体的基本要求。
4. 为什么选择Agent智能体路线
(1) 传统知识库擅长问答，面对多步任务时能力有限。审计人员提出“某类采购业务是否存在风险”时，智能体需要先识别业务场景，再查找制度依据，匹配风险规则，获取相关数据，完成比对分析，最后形成核查提示。Agent智能体可以规划任务、调用工具、组织结果，更适合承接这种连续作业。
(2) Agent智能体也适合承载内审知识。制度、风险规则、历史案例、核查程序可以分别沉淀为知识与工具，由智能体按任务编排。制度更新后，知识库同步调整；规则变化后，规则库配置更新；数据接口扩展后，核查范围可以逐步丰富。相比把所有逻辑写进固定流程，智能体路线更利于后续运营和场景扩展。
(3) 该集团在选择合作方时，关注的不只是模型能力，还包括知识治理、系统集成、权限安全和持续运营。数商云在内审智能体搭建中强调业务场景先行，先梳理审计任务和判断标准，再设计智能体能力与工具连接。项目团队与内审部门共同确认场景优先级、输出格式和复核机制，确保智能体融入现有审计流程，而不是另起一套孤立工具。
5. 项目目标与边界
(1) 项目目标围绕审计人员真实任务展开：建立统一的内审智能入口，支持自然语言提问；制度检索答案带原文引用和适用范围；风险点识别能够结合规则与数据，输出可核查的线索；核查过程留痕，支持人工复核；知识与规则可以持续运营。目标不追求覆盖全部审计事项，而是先把高频、规则相对清晰、数据可得的场景做扎实。
(2) 项目边界同样清晰。智能体是审计辅助工具，不替代审计人员的专业判断，不直接形成审计结论。涉及敏感数据时按权限调用，涉及高风险事项时强制人工复核。智能体与现有审计系统、知识库和业务系统衔接，不重复建设数据底座。客户与数商云在项目初期就明确“辅助而非替代、可用而非炫技、运营而非一次性交付”的原则，为后续落地减少分歧。
二、数商云智能体方案与搭建实践
1. 总体设计：统一入口与业务闭环
(1) 数商云为集团设计统一的内审Agent工作台。审计人员用自然语言描述任务，智能体识别意图后分派相应能力，可以查制度、找风险点、发起核查、整理底稿素材。入口保持简洁，重点是任务能够走完。审计人员不需要理解复杂技术，只需按平时工作方式提问，智能体给出依据、线索和下一步动作。
(2) 方案在架构上分为知识层、智能体层、应用层和运营层。知识层治理制度、风险规则、历史案例和审计程序；智能体层负责任务规划、工具调用和结果组织；应用层嵌入审计作业流程，与审计系统、业务系统衔接；运营层支持知识更新、规则维护、权限管理和效果评估。各层职责清晰，避免把知识、规则、模型和界面混在一起。
(3) 业务闭环从“问”开始，到“查、核、记、复”结束。智能体先理解审计任务，再检索制度依据，匹配风险规则，调用数据核验，生成核查提示和底稿素材，最后由审计人员复核确认。复核意见可以反馈到知识和规则运营中，形成持续优化。这个闭环让智能体不是孤立问答，而是审计作业链路中的助手。
2. 制度检索智能体：让依据查得到、说得清
(1) 知识治理是制度检索智能体的起点。项目团队对集团制度、办法、细则、通知和操作指引进行清洗、分段、主题标注，关联适用组织、业务范围和版本状态，梳理制度之间的引用关系。对失效或替代的制度标记状态，避免旧规误用。对附件中的表格、流程和职责说明进行解析，使审计人员提问时能够获得完整依据，而不是只看到制度正文的片段。
(2) 检索环节结合语义检索、关键词检索、结果重排和答案生成。回答时展示制度名称、条款内容、适用范围和原文引用，涉及权限时按组织、角色和项目范围过滤。对没有制度依据的问题，智能体明确提示无法回答或建议咨询归口部门，不编造条款。对存在多个制度口径的情况，智能体列出差异并提示适用条件，帮助审计人员判断。
(3) 版本管理和用户反馈贯穿运行过程。制度更新后触发知识库同步，旧版本归档，关联的风险规则同步检查。审计人员可以对答案质量、引用准确性和适用范围进行反馈，运营团队据此修正知识切片、补充同义词、调整检索策略。检索结果可以带入核查任务和底稿素材，减少重复复制和人工整理。
3. 风险点识别智能核查智能体：从线索到证据
(1) 风险规则库是智能核查的基础。项目团队把审计经验、监管要求、历史问题和内控缺陷转化为风险规则与核查清单，标注风险描述、适用业务、所需数据、判断条件和证据要求。规则支持配置和版本管理，业务变化时可以调整，不把规则写死在代码里。制度检索智能体为风险规则提供依据支撑，使每条规则都能说清来源于哪类制度要求。
(2) 核查执行时，Agent根据任务识别风险场景，调用制度检索获取依据，调用数据接口抽取合同、采购、付款、供应商和授权审批等信息，按照规则进行比对，提示异常线索。对需要人工判断的事项，智能体给出核查建议和材料清单，提醒审计人员补充证据。对数据缺失或口径不一致的情况，智能体说明影响，不强行给出结论。
(3) 结果表达围绕审计可用展开。智能体输出风险点、依据条款、数据证据、疑点说明和建议核查程序，对不确定事项标注待核实提示。审计人员可以采纳、修改或驳回建议，修改记录进入过程留痕。核查结果可整理为底稿素材，证据与制度依据关联展示，便于质量复核和经验沉淀。
4. Agent编排：把多步任务串起来
(1) 任务规划方面，智能体将审计人员的要求拆解为确认场景、检索制度、匹配规则、获取数据、核验异常、生成报告等步骤。遇到权限不足、数据缺失或问题表述不清时，智能体主动提示补充信息，而不是跳过关键环节。任务规划不追求复杂，关键是步骤可解释、结果可复核，审计人员能看懂智能体做了什么。
(2) 工具连接方面，数商云通过接口将智能体与制度库、审计系统、合同系统、采购系统、财务系统等连接，形成工具集。工具返回结构化结果，模型负责理解任务、组织语言和解释结果。敏感数据由工具层按权限获取，模型不直接接触无权限数据。工具调用有明确边界，避免智能体越过业务规则自行扩展。
(3) 过程留痕是Agent编排的重要部分。系统记录任务意图、调用工具、检索条款、数据范围、生成结果和人工修改，形成审计轨迹。质量复核时可以回看智能体依据什么材料给出提示，也可以评估规则和知识是否需要调整。留痕机制让智能体从“黑箱问答”变为可检查、可改进的工作助手。
5. 安全、权限与可信机制
(1) 权限隔离贯穿知识与数据访问。系统按集团组织、角色和项目范围控制制度与数据可见性，制度检索只呈现有权内容，核查数据按最小必要原则调用。敏感操作需要授权，访问日志用于追溯。对子公司与总部之间的权限差异，系统支持按组织层级配置，兼顾统一管理和属地要求。
(2) 内容可信机制强调引用和复核。制度答案必须带原文引用，风险提示区分事实、规则判断和模型建议，无依据不生成结论。对高风险事项设置人工复核环节，智能体不直接下判断。对模型生成内容与规则结果不一致的情况，系统提示审计人员关注，避免单一来源误导。
(3) 数据保护和安全评估在上线前完成。项目团队明确模型服务与业务系统的边界，对敏感字段进行权限控制和访问审计，日志留存满足追溯要求。智能体上线前经过业务验收和安全评估，上线后持续关注使用反馈和异常情况。安全不是附加项，而是内审智能体能够长期运行的前提。
三、落地成效、客户评价与推广经验
1. 从高频场景切入，让审计人员愿意用
(1) 项目没有一开始铺开全部审计场景，而是选择制度查询、合同与采购风险核查、底稿素材整理等高频任务。审计人员在真实项目中试用智能体，能直接感受到查依据更快、线索梳理更清楚、材料整理更规范。场景选得准，培训负担就轻，推广阻力也小。
(2) 对高频问题建立标准问法和示例，降低使用门槛。智能体回答不追求长篇，而是给出依据、风险提示和下一步动作。审计人员可以对答案反馈，运营团队据此优化知识和规则。使用过程中形成的优秀问法、核查路径和底稿素材，也会沉淀为新的知识资产。
(3) 业务部门同样受益。制度咨询有了统一入口，业务人员可以按权限查询适用制度，减少反复询问。内审与业务沟通时，依据更清晰，讨论更聚焦。智能体没有改变制度归口管理，而是让制度更容易被找到、被理解、被正确使用。
2. 知识运营成为项目常态
(1) 制度知识不是一次性入库。集团建立制度归口部门、内审部门和数商云协同的运营机制，明确更新触发、审核和发布流程。制度变更后，关联的风险规则同步检查，避免规则依据过期。对制度问答中的高频问题，运营团队补充同义词、问答示例和适用说明，提高检索稳定性。
(2) 风险规则库也需要持续运营。审计人员把新发现的问题转化为规则建议，经复核后进入规则库；过时规则下架或调整。运营团队定期抽查智能体输出，结合用户反馈评估规则覆盖和答案质量。知识运营不是额外负担，而是把审计经验持续转化为组织能力的过程。
(3) 数商云在运营中提供平台支持和场景共创。项目团队与客户一起复盘使用情况，识别知识缺口和规则偏差，安排优化任务。对新增业务场景，先评估制度基础、数据条件和审计标准，再决定是否纳入智能体范围。运营机制稳定后，智能体才能从“项目上线”走向“日常可用”。
3. 审计作业方式的变化
(1) 查制度从跨系统翻找变为自然语言提问，答案带原文引用，审计人员把精力放在判断和取证上。新成员能够更快理解制度口径，减少对个别专家的依赖。遇到制度口径差异时，智能体列出适用条件和差异点，帮助审计人员与归口部门沟通。
(2) 风险核查从人工逐项比对转为智能体先做线索筛查和证据整理，审计人员聚焦高风险疑点。核查底稿的素材准备更规范，依据与数据证据关联更清晰。对智能体提示的疑点，审计人员可以顺着证据链复核，也可以补充材料后再次发起核查。
(3) 管理层能够看到风险规则的使用情况和审计关注方向，推动监督前置。知识资产从个人经验沉淀为组织能力，审计项目之间的复用性增强。智能体不改变审计独立性，而是让基础工作更扎实，让审计人员有更多精力投入风险分析和治理建议。
4. 客户评价：实用、可追溯、能运营
(1) 该集团内审负责人评价，智能体没有替代审计判断，而是把制度检索、风险线索梳理、底稿素材准备等基础工作做得更扎实。审计人员最认可答案有出处、核查有证据、过程可追溯。智能体输出不追求花哨，而是围绕审计任务给出可用的依据和下一步动作。
(2) 客户认为数商云团队懂业务语言，能够把审计场景转化为智能体任务，不堆概念；在权限、安全和系统集成上考虑细致。项目从可用走向好用，需要持续运营，双方已经形成协同机制。内审部门负责业务标准和复核，数商云负责平台能力、知识治理和场景优化，分工清晰。
(3) 业务部门反馈制度咨询更顺畅，内审与业务沟通负担有所减轻。智能体给出的制度引用和适用说明，帮助业务人员在接受检查前先做自查。对集团而言，内审智能体不仅是工具，也是制度宣贯和风险提示的载体。
5. 可复制经验与推广建议
(1) 业务主导是内审智能体搭建的关键。内审部门明确场景优先级、判断标准和复核要求，数字化团队负责平台与集成，数商云提供智能体搭建与运营支持。缺少业务主导，智能体容易停留在演示；缺少技术支撑，场景又难以稳定运行。各方职责清晰，项目推进更顺畅。
(2) 小步闭环比大而全更有效。从高频、规则相对清晰、数据可得的场景开始，形成“检索、识别、核查、复核、沉淀”的闭环，再逐步扩展。每扩展一个场景，先确认制度依据、数据条件和审计标准，避免智能体输出无法复核的结果。闭环跑通后，用户信心和运营能力会同步提升。
(3) 运营保障要前置设计。知识与规则运营、权限管理、效果评估、用户培训都需要明确责任人和流程。智能体不是上线即完成，而是持续迭代的审计助手。推广到子公司时，要兼顾集团统一口径与属地差异，避免简单复制导致制度适用错误。
(4) 平台化演进值得提前规划。在统一智能体平台上，可以逐步扩展合同审计、采购审计、费用审计、合规咨询等场景，与风控、合规、纪检等监督资源协同。数商云可继续提供平台能力、知识治理和场景共创，帮助集团把内审Agent从单点应用推进为监督领域的智能底座。对于准备启动内审智能体搭建的企业，先想清楚业务场景、知识基础和运营机制，再选择合适的技术路线，往往比追逐概念更重要。
评论