SR 11-7 已废止：2026 年模型风险新框架对金融领域 AI 意味着什么

2026 年 4 月 17 日，美联储、OCC 与 FDIC 联合废止了在美国银行业实施十五年的模型风险指引。2011 年发布的 SR 11-7 被 SR 26-2 取代。如果你正在用任何形式的 AI 处理财务数据，这份文件从现在起就是监管方对你的期待所在。

最主要的变化不是控制清单变得更长，恰恰相反。SR 26-2 刻意采取基于原则的方式。监管机构特别声明，该指引不建立可强制执行的标准，不合规本身也不会自动触发监管批评。在团队将 SR 11-7 当作每年勾选一次的合规清单十余年之后，监管者提出的是更难的要求：持续运用判断力，并与模型可能造成的损害程度成正比。

这听起来更宽松，实际并非如此。

从清单到判断

旧框架奖励的是文书工作。你对模型进行盘点，撰写验证报告，制定董事会政策，检查时可以一一出示这些材料。无论模型在日常运营中是否真正受控，这些文件都照样存在。

SR 26-2 则以重要性为锚点。监管强度的预期取决于模型的财务敞口以及它所驱动决策的分量。一个简单的电子表格计算和一个 CECL 拨备模型不再被视为文档负担相同的同类事物。你被要求把治理预算花在后果真正存在的地方。

这正是“左移”一词发挥作用之处。在软件领域，左移意味着在数据和逻辑生成的源头及早发现缺陷，而不是在最后一道审查环节才发现。2026 年的改写将模型风险推向了同一方向。嵌入数据流中的控制，胜过模型上线几个月后才写出的验证报告。如果输入是错的，验证就只是一场表演。

对任何把 LLM 接入财务报告的人来说，这一重新定位就是整局游戏的关键。

为什么这对 AI 冲击尤其大

有一处豁免值得细读。生成式和智能体式 AI 被排除在 SR 26-2 的直接适用范围之外。监管机构表示，机构目前应以既有的风险管理实践来治理这些系统，同时已释放信号，将就 AI（包括生成式和智能体式 AI）专门发布信息征询（RFI）。

不要把这一豁免读成一段假期，而应读作一个警示：规则即将到来，SR 26-2 中已有的原则就是范本。其中有两条直接适用于处理财务数据的 AI。

第一，即便模型属于他人，风险仍由你承担。SR 26-2 重申，依赖供应商不会转移责任。你不能把责任推给 OpenAI 或 Anthropic 就宣称自己的模型风险已受管控。模型是他们的，风险是你的。

第二，监管力度必须与后果成正比。一个用来起草会议摘要的 AI 属于低风险；而一个告诉你的 CFO 公司毛利率变动了 180 个基点、且该数字最终出现在董事会材料或契约计算中的 AI，无论有没有人这样称呼它，都是一个高重要性模型。数字承载着分量，而这份分量正是该框架现在所衡量的东西。

令人不安的一点是：大多数团队正在部署的东西，也就是“能回答财务问题”的聊天机器人，恰恰是新指引旨在揭露的那个高重要性、低控制的象限。

新原则实际要求什么

把 SR 26-2 提炼为它对“AI 处理财务”技术栈的要求，可以看到三点突出的诉求。

数字必须对得上。 基于原则的治理仍然假定模型的输入是可靠的。如果你的 AI 读取的是一堆未经核对的导出文件，这里一份表格，那里一份 CSV，那就不存在一个可以治理的“单一模型”，而是几十个互相矛盾的答案，验证也就失去了稳定的对照对象。第一道控制，是一个与总账对得上的、经过核对的财务模型。

数学不能是猜测。 LLM 是概率性的。它们擅长语言，不擅长算术，而且会悄无声息地出错，这对财务而言是最糟糕的组合。2026 年对重要性的强调意味着，支撑高风险数字的计算必须可靠且可复现。这就要求把 LLM 完全排除在数学计算之外，转而通过确定性引擎来运算，让同一个问题每次都返回同一个答案，而且这个答案是可以核查的。

每一项输出都必须能追溯到源头。 左移控制只有在你能看清数字来源时才有效。一个产生数字却没有回溯到底层交易路径的 AI，按重要性标准来看，就是一个未经验证却在产出重要成果的模型。可追溯性不是锦上添花的功能。在新的框架下，它就是监管者会索要的审计轨迹。

Rexfin 的定位

这正是我们构建 Rexfin 所围绕的架构，而 2026 年的改写比我们自己更有力地证明了这一点。

Rexfin 连接你的会计与财务数据平台，包括 QuickBooks、Xero、NetSuite、Sage、SAP、Oracle，或数据仓库，也可以基于上传的报表工作，从而构建出一个与总账对得上的、经过核对的财务模型。这就是治理框架真正能够指向的单一事实来源。当 AI 检索一个数字时，它是从这个模型中检索，而不是从过时的导出文件中检索。

计算通过确定性引擎运行，而不是语言模型。LLM 负责处理问题和解释，数学部分则是可计算、可复现的。假设情景分析基于同一个核对过的基础运行。每一项洞察都能追溯回源交易，因此“这个数字从哪里来”的答案只需一次点击，而不需要一场调查。

这一切并不意味着 SR 26-2 的问题已经解决。治理是一项持续的计划，而不是一款产品，政策、盘点决策以及关于重要性的判断，仍然由你负责。这套架构所做的，是让这些判断变得站得住脚。你无法治理对不上账的数字，也无法治理无法复现的计算。先把底层基础打好，基于原则的监管制度才会变成你真正能够满足的东西。

关于更深入的机制，可参阅我们如何处理供应商 LLM 的基于输出的验证，因为你无法验证权重本身，另可参阅将这些控制串联起来的AI 控制栈参考架构。完整的治理主题涵盖了 SR 11-7 从未预见过的风险。

2026 年的框架对每一个被你指向财务数据的 AI 都提出了同一个问题：你能证明这个数字吗？如果诚实的答案是不能，那就是在 RFI 转化为正式规则之前需要弥补的差距。预约演示，我们会向你展示答案是“能”的时候，是什么样子。