AI 时代的三道防线:当作者是模型时，数字归谁所有

财务主管在季度报告上签字，这个签名一直有着明确的含义:这些数字由我负责，我能为每一行辩护，我知道每一个数字从何而来。而现在，是一个智能体起草了差异分析评述，拉取了数字，并计算了各项比率。财务主管依然要签字，但这个数字究竟归谁所有?

这正是三道防线模型从未被设计来回答的问题，也是让风险委员会在迈入 2026 年时彻夜难眠的问题。

一个假设作者是人类的框架

三道防线模型是金融服务行业治理的支柱。国际内部审计师协会在 2013 年将其正式确立，并于 2020 年进行了更新，这个结构简单到可以脱口而出。第一道防线在业务中拥有并管理风险;第二道防线，即风险与合规部门，负责制定框架、监督和质疑;第三道防线，内部审计，为前两道防线是否尽职提供独立保证。

它之所以有效，依赖一个未言明的假设:数字是由人做出来的。当一位财务分析师搭建预测模型时，你可以问他为什么假设流失率是 4%。当 FP&A 团队计算调整后 EBITDA 时，你可以追溯到某个人写下的那份公式表。问责最终都能落到一个具体的名字上。

大语言模型打破了这条链条。如今，实际上是模型充当了输出内容的作者:它挑选了数字，运用了推理逻辑，并生成了评述。它无法拥有任何东西，无法在会议上被质询，不记得自己在两次运行之间为什么选了这个假设而不是那个，如果让它来做计算，下周二很可能会给出一个略有不同的答案。把一个不确定性的作者，放进一个原本假设作者是人类的框架里，防线恰恰会在最需要清晰的地方变得模糊。

每一道防线实际是如何失效的

在有智能体参与的情况下走一遍这三道防线，裂缝很快就显现出来。

第一道防线本应拥有假设。 当一位规划人员设定增长率时，归属显而易见。但当一个智能体从历史数据中推断出增长率，并将其呈现在预测中时，这个假设归谁所有?是接受了输出结果却没看到假设本身的业务用户?还是搭建了这条数据连接的数据团队?通常情况下是没有人拥有，而这正是问题所在。这个假设往往只有在被证明是错的之后，才会有人来认领它。

第二道防线本应负责验证。 验证什么?传统做法验证的是一个你可以打开并检视的模型。你无法检视一个第三方大语言模型的权重，即便可以，上一季度的验证结果对这一季度的输出也说明不了太多，因为同样的提示词这一次可能会得出不同的数字。验证的重心必须从模型转移到输出:系统检索了什么，计算了什么，这些是否与总账对得上?

第三道防线本应审计留痕。 对于人类，留痕就是工作底稿。而对于用自然语言在 PDF 和电子表格上作答的智能体来说，往往根本没有留痕。智能体说营收增长了 18%,来自哪个数据源?是如何计算出来的?一位审计师如果无法重现这个数字，就无法为其提供保证，而“AI 是这么说的”不是任何人愿意签字确认的审计立场。

解决方案是架构层面的，而不是一份新的政策备忘录

你可以随意重写职责分工表，但如果底层系统无法告诉你一个数字来自哪里、又是如何计算出来的，那三道防线就没有什么可以捍卫的东西。只有当架构让归属变得可观察时，重新分配所有权才能真正落地。

这意味着在治理模型能够站得住脚之前，必须满足三件事:

• 每一个数字都能追溯到源头。 不是“模型总结了这份 10-K 年报”,而是这个数字等于总账中的这一行，并且血缘关系可以点击追溯。可追溯性正是让第一道防线能够拥有一个假设，而不是事后才发现它的关键所在。
• 计算是确定性且可重放的。 相同的输入每次都产生相同的数字，由一个引擎计算得出，而不是由语言模型预测出来。这正是给第二道防线一个稳定的验证对象、给第三道防线一个可重放对象的原因。
• 推理和运算是分离的。 大语言模型被允许推理、措辞和解释，但不被允许做计算。一旦模型开始计算比率，你就把一个没有人能为之辩护的数字的作者权交给了它。

这正是 Rexfin 的设计理念所在。它连接你的会计和财务数据平台(QuickBooks、Xero、NetSuite、Sage、SAP、Oracle,或你的数据仓库),或者对接上传的报表，构建出一个与总账对齐的、经过核对的财务模型。AI 从这个模型中检索数字，并通过一个确定性引擎运行每一次计算，而不是靠大语言模型本身计算。假设分析场景存在于建立在已核对基础之上的版本层，绝不出现在基础层本身。每一个答案都携带着可追溯回源头的血缘信息。

把这套架构放在三道防线之下，归属问题就重新有了答案。第一道防线拥有假设，因为假设是明确且可见的，而不是埋藏在模型的隐藏推理之中。第二道防线依据一个经过核对的真实基准来验证输出，而不是对着看不见的权重费力揣测。第三道防线可以像重新核对一条公式那样重放任何数字，因为这个数字是确定性生成的，并且携带着自己的留痕。

这解决不了什么

架构不能免除任何人的责任。一个经过核对、可追溯的层，让归属成为可能,但它并不会替你分配归属。你仍然需要决定哪个人拥有每一个假设，谁负责签署验证节奏，以及智能体在无人监督时可以做什么、什么情况下需要有人介入。这些是治理决策，属于你的风险委员会，而不是你的供应商。这个层改变的是，这些决策是否可以被强制执行，而不只是停留在纸面上。

它同样不会让一个错误的假设变成正确的。如果增长率是错的，确定性计算每一次都会完美地算出一个错误的预测。可追溯性的意义不在于正确性，而在于问责。你可以找到那个错误的假设，看到它归谁所有，并在它抵达董事会之前修正它。

结论

三道防线模型在财务 AI 场景中依然有效，但前提是你要接受模型才是作者，并重建基础，让作者身份能够追溯回一个具体的人。假设的归属、输出的验证，以及留痕的审计，最终都归结为同一个要求:一个经过核对的数字层，让每一个数字都能追溯到源头，每一次计算都是确定性的。做对了这一点，这个框架就能站得住;跳过它，你签的就是没有人能为之辩护的数字。

接下来值得阅读的是，当你看不见权重时验证方式会如何变化:面向第三方大语言模型的基于输出的验证,以及更宏观的转变,2026 年模型风险框架。整个财务 AI 治理主题都在上一层级。

如果你想在自己的三道防线之下看到可追溯、确定性的数字,预约演示,带上一个你目前无法证明的数字来。