「解冻」必须写成特别授权谁可申请、谁可批准、什么证据、留什么痕清单不定拦截就会变人情口子。上午漫画第 3 集讲的是「为什么要拦」——挂起之后有人手伸向解冻老周按住问三句。这篇把它落成可贴进制度的清单常规审批 ≠ 例外放行小核只给理由钥匙不给无权限的人。极简大字报解冻必须写成特别授权——谁申请 · 谁批准 · 什么证据 · 留什么痕先钉一句解冻不是普通审批行业里常见的情况是付款拦截、主数据挂起已经上线系统会把高风险单先停住可一到「谁能点解冻」还是靠口头人情——采购催一句、熟人一键放。拦截有了口子也有了。系统里的「解冻」落到内控语言上接近「例外放行」规则已经拦住了有人要破例放行。据 财政部法规库《企业内部控制基本规范》财会〔2008〕7号原文第二十九条全面梳理业务流程中的不相容职务实施分离措施形成各司其职、各负其责、相互制约的工作机制。解冻申请与解冻批准宜看成不相容。第三十条常规授权是日常经营管理按既定职责和程序的授权特别授权是特殊情况、特定条件下的授权。规范要求编制常规授权的权限指引规范特别授权的范围、权限、程序和责任严格控制特别授权重大业务和事项实行集体决策审批或联签任何个人不得单独决策。第四十七条妥善保存内部控制建立与实施过程中的相关记录确保过程可验证。规范没有写「解冻按钮」四个字。把付款例外放行当成特别授权来管是本文对第三十条的引申不是规范原文。写法上要透明常规审批走日常权限指引解冻这种破例范围、程序、责任事先写死更稳。适合谁先用这张清单刚上过付款拦截、正在定例外放行规则的财务负责人、内控和应付会计。还不适合谁解冻角色和主数据维护还是同一个人、口头一句「老板说了」就能放、审计日志查不到谁几点解冻过——这三样不补先别谈 AI 解冻助手。清单要写清的六件事建议先把下面六件事钉进制度再配进系统。每项都能挂上公开依据冷却时长、抽查频率没有统一公开标准写成企业自定参数不要编行业基准。例外放行六项清单谁可申请、谁可批准、什么情形、什么证据、留什么痕、事后怎么查*#要写清的事落点依据1谁可申请解冻申请人名单短、可查通常不与主数据维护人「改完自己请」叠在同一人基本规范第二十九条应用指引第 18 号不相容职责勿授同一用户2谁可批准有权解冻角色与申请人 / 发现异常的人 / 付款执行分离重大金额联签基本规范第三十条联签应用指引第 6 号不得一人办货币资金全过程3什么情形才允许例外白名单账号变更后首笔、户名不符、超容差、紧急付款等超出清单走更高级审批或不放基本规范第三十条「规范特别授权的范围」资金活动支付须附证明并严格授权4要交什么证据用已知电话回拨记录、合同 / 主数据旧联系方式、银行校验或户名核对、变更函原件催促邮件 / 口头不算JPMorgan、FNBO 公开建议已知号码回拨不用邮件里新号码5留什么痕申请人、审批人、时间、证据附件、通过 / 驳回原因系统操作日志可审计基本规范第四十七条应用指引第 18 号操作日志、定期审阅账号6事后怎么查按解冻单抽查是否双人、证据是否合规、首笔是否人工、有无连续改账号再付权限账号定期审阅基本规范第四十四条至四十七条内部监督与可验证应用指引第 18 号第十二条据 财政部等《企业内部控制应用指引》合订本财会〔2010〕11号配套2010-04-15第 6 号——资金活动要求明确各环节职责权限和岗位分离办理资金支付须附原始单据或证明、履行严格授权审批后方可支出不得由一人办理货币资金全过程业务第 18 号——信息系统要求避免将不相容职责的处理权限授予同一用户设置操作日志确保可审计定期审阅系统账号禁止不相容职务用户账号交叉操作。申请人 / 发现人不宜独自解冻公开材料也指向同一方向。据 JPMorgan Chase《Fraud prevention: 8 best practices for payments staff》2022-06美国语境公开建议建议使用 dual payment authority付款指令须两人审核审批供应商信息的员工应与实际付款的员工分开变更支付指示须用已知电话回拨不用邮件里的新号码。据 FNBO《Using Dual Control to Help Prevent Payment Fraud》2023-08常见做法是一人创建付款请求 → 自动发给有权审批人 → 有权人审核批准 → 银行执行发起与审批分离。这两篇都是美国银行的公开建议不是中国强制法条但和国内不相容职务分离是同一类道理。厂商侧也能对上号正文只点名据 SAP 知识库对敏感字段双控的说明敏感字段被改后该供应商账户对付款运行冻结直至第二授权人确认或驳回据 Oracle 文档启用后银行账号新建、修改、设为默认等须审批才生效。行业常见补强建议不是某一家功能名高风险解冻后设短时冷却不可连续改收款账号再付——时长企业自定解冻权人数可控离职即收回。申请人发起 → 证据过关 → 有权人确认 → 审计可查AI 只给理由不给钥匙*和上午漫画第 3 集怎么对照着用上午漫画讲为什么拦本文给可贴进制度的清单。对照用法如下。漫画A本清单B老周按住「谁有权证据呢留痕了吗」六件事里的 2 / 4 / 5小核只给理由不给钥匙清单外AI / 规则引擎可列证据与建议解冻键只给有权角色双人确认拦住人情第 2 项申请人 ≠ 批准人系统强制第二人三栏谁有权 / 凭什么 / 留什么痕拆成六项可落地制度条款总编上午钉死的三句这里原样承过来小核只给理由和建议解冻按钮不给无权限的人例外放行必须双人确认并留痕。为什么例外要清单化据 AFP 2025 年付款欺诈调查新闻稿冒充供应商改账号仍是常见套路——挂起之后若靠人情一键放拦截等于白装。落地检查表把这张表带到制度评审会或系统配置验收会上逐条打勾。有一项没勾拦截仍可能变人情口子。七项落地检查特别授权口径、申请人≠批准人、例外白名单、证据含回拨、每笔可查、事后抽查、AI 不给钥匙制度里写明解冻 / 例外放行按特别授权管并注明是对第三十条的引申申请人名单与批准人名单分开且都不等于「谁发现谁放行」例外情形有白名单白名单外走升级审批证据清单含「已知电话回拨」禁止用邮件内新号码当唯一依据每笔解冻有申请人、审批人、时间、证据、结论的系统留痕内审 / 财务按企业自定频率抽查解冻单系统账号定期审阅AI 只输出理由与建议不解冻、不绕过第二人、不清日志我的建议是先把六件事写进一页制度再让系统把「第二人」和「证据栏」做成硬门槛——口头催促进不了证据栏无解冻角色的账号上看不到绿灯。冷却多久、每月抽几单没有公开行业基准按你们的风险偏好自己定但要写进制度、真去查。回到开头那句判断清单不定拦截就变人情口子。上午漫画让人看清「为什么要拦」这张特别授权清单是把「谁能放、凭什么放、放完怎么查」钉死的那一页纸。