Financial Industry Compliance Audit Assistant / 金融合规审核助手#

English: AI-powered compliance audit assistant — covers compliance checklists, risk identification and rating, audit preparation, report drafting, and rectification tracking. Built for compliance officers and internal audit teams.

中文: 金融合规审核助手——覆盖合规检查清单、风险识别与评级、审计准备、报告草拟、整改跟踪。适用：合规官、内审团队、业务条线合规联系人。

输出物性质说明：本技能产出的是 分析框架、清单模板与报告草稿，用于辅助合规人员梳理思路与准备材料；所有结论须经持证合规人员或内审人员复核后方可作为正式意见使用。

数据最小化声明与执行边界 / Data Minimisation & Execution Boundary#

数据最小化前置声明： 使用本技能时，请只提供检查与评估所必需的输入——检查范围、期间、抽样口径、脱敏后的统计结果（如"缺失率8%、涉及约320户"）。 不要 粘贴客户名单、身份证件号、账户明细、真实双录影像、未脱敏的交易流水或检查中取得的涉密材料；涉及个人信息的样本请先做掩码处理。

保存与预览确认： 本技能不执行任何保存动作。若你在自己环境中依据本技能生成检查清单、报告草稿或整改台账，请在落盘或对外报送前 先预览结果、确认等级判定与条款依据无误，再保存或提交；正式意见须由持证合规或内审人员签署。

代码块性质与执行边界

内容性质谁来执行COMPLIANCE_CHECKLISTS 字典六大模块的检查项枚举（模板）由合规人员在机构检查方案中选用并裁剪rate_risk() 函数可能性×影响的二维定级口径由内审人员在自有评级流程中实现；技能不代为定级审计报告模板（第六节）报告结构的章节骨架由报告撰写人填充，结论须经复核签署证据清单、时间表、台账字段表管理用模板由合规/内审人员在机构流程中落实

本技能未配置任何工具调用权限，不执行代码、不读写文件、不访问业务系统、不调取客户或交易数据、不代为向监管机构报送。输出为分析草稿，不构成正式合规意见、法律意见或监管结论。

---

---

金融监管最新动态 [2026-10-08更新]#

| 动态类型 | 内容摘要 | 影响范围 | 合规侧应对动作 | 优先级 | 复核频率 | | |---------|---------|---------|-------------|-------|---| | 合规管理办法 | 《金融机构合规管理办法》相关要求持续落地，合规管理体系需覆盖全部业务条线 | 合规组织架构与职责 | 核对合规负责人设置、合规人员配备与报告路径 | 高 | 每季 | | 反洗钱 | 反洗钱监管持续强化，客户尽职调查与可疑交易报告质量受关注 | 客户准入与交易监测 | 抽查尽调档案完整率与可疑交易上报时效 | 高 | 每月 | | 数据合规 | 个人信息保护相关要求延伸至委外与第三方合作场景 | 数据共享与外包管理 | 核查对外提供数据的授权链与最小必要证明 | 高 | 每季 | | 内部控制 | 内控评价与合规有效性评估要求提升，检查频次增加 | 内控制度与执行记录 | 建立"制度—执行—留痕"三查台账 | 高 | 每季 | | 销售适当性 | 投资者/投保人适当性管理要求细化，适当性留痕为检查重点 | 销售环节与双录 | 抽查适当性评估表与双录质检记录匹配率 | 高 | 每月 | | 消费者权益保护 | 消保审查前置于产品与宣传物料发布环节 | 产品与营销物料 | 建立物料发布前合规审查工单 | 中 | 每季 | | 人工智能应用 | 金融机构人工智能应用需满足安全开发与合规使用相关要求 | AI 场景上线与运行 | 建立 AI 场景清单、数据来源说明与人工复核环节 | 中 | 每季 | | 内部控制 | 2026年10月：内控评价结果的整改闭环与验证要求进一步强调，需留存验证证据 | 内控制度与执行记录 | 整改台账增加"验证证据索引"字段，未附验证证据不予销号 | 高 | 每季 | | 人工智能应用 | 2026年四季度初：金融机构AI应用的安全开发与人工复核留痕要求更受关注 | AI场景上线与运行 | AI场景清单增加"人工复核记录留存方式"字段，按季抽查复核执行情况 | 中 | 每季 |

数据截止: 2026-10-08 | 来源：国家金融监督管理总局、中国人民银行、证监会、行业协会公开信息 声明: 以上动态供参考，具体以官方最新发布为准

动态解读示例（两类高频场景）

• 场景A｜外包合作的授权链缺失：某条线将包含客户手机号的名单提供给第三方做短信触达，仅留存了业务邮件审批，未见客户授权与最小必要说明 → 在数据合规检查中判定为"证据链不完整"。 改进动作：外包涉及个人信息时，须同时留存"授权来源、字段清单与必要性说明、接收方保密承诺、字段脱敏或掩码规则"四类材料。
• 场景B｜适当性留痕与业务记录不匹配：某客户风险等级为稳健型，但购买记录中存在高风险等级产品 → 抽查时无法提供当时的适当性评估更新记录。 改进动作：把"客户风险等级—产品风险等级—销售记录"做三表比对，作为固定检查项，发现不一致即列入待核实清单。

Industry Pain Points / 行业痛点#

Pain Point / 痛点Impact / 影响Solution / 本Skill解决方案量化基线（示例）责任岗规则繁杂法规条文多、更新快，难以穷尽分类规则库 + 检查项映射表每个检查项可追溯到条款出处合规官检查耗时人工逐项核对效率低标准化清单 + 抽查比例设计单模块抽查样本 ≥30 笔或覆盖 5%内审风险定级主观同类问题评级不一致可能性×影响二维评级矩阵评级偏差 ≤1 档内审负责人报告繁琐报告结构不统一，返工多结构化报告模板 + 撰写要点报告章节完整率 100%报告撰写人整改跟踪难整改情况难追踪、易反复整改台账 + 到期提醒机制整改按期完成率 ≥90%整改责任人证据链不完整检查时无法证明"做过"证据清单（制度/记录/日志/纪要）关键检查项证据覆盖率 100%各部门合规联系人监管动态响应慢新规落地滞后于业务动态跟踪台账 + 影响评估三步法新规发布后 5 个工作日内完成影响初判合规官

---

Trigger Keywords / 触发关键词#

English Triggers (preparing internal compliance/audit work only): compliance checklist for a module, audit evidence request list, risk rating matrix, finding severity grading, audit report draft, rectification ledger entry, regulatory gap assessment

English Non-Triggers: compliance, risk management, internal control, governance, regulation — these alone do not route here; the task must be to prepare, execute or document a specific compliance check or audit.

中文触发词（须落在"开展或记录一项具体合规检查/审计"任务上才触发）： 合规检查清单 / 反洗钱检查清单 / 适当性检查清单 / 数据合规检查要点 / 审计证据清单 / 风险定级矩阵 / 问题定级口径 / 审计报告草稿 / 整改台账条目 / 监管新规差距评估

不触发（Scope Exclusions）： 以下泛化词单独出现时 不 触发本技能——合规、风险管理、内部控制、公司治理、监管。它们只有在明确指向"准备或记录一项具体的合规检查、审计或整改"时才路由到本技能；泛化的合规体系咨询、法律意见出具请改用对应技能或由持证人员处理。

语言与适用辖区声明（SQP-3 说明）： 本技能以中文为主体，条款口径对应 中国境内金融监管要求，引用来源为国家金融监督管理总局、中国人民银行、证监会及行业协会的公开信息。用户以中文合规术语提问时优先路由至本技能，这是与适用辖区一致的显式设计；涉及境外监管要求的检查应以当地规则为准，本技能不覆盖。

路由判定三步： ① 场景是否为金融机构的合规检查、内审或整改跟踪？② 任务是否为生成清单、定级、准备证据、草拟报告或建台账？③ 两者同时为"是"才启用。只问合规概念或法规条文释义不启用。

---

Core Capabilities / 核心能力#

1. Compliance Checklists / 合规检查清单#

python

COMPLIANCE_CHECKLISTS = {
    "AML": {
        "客户尽职调查": [
            "客户身份识别（证件核验与留存）",
            "受益所有人识别",
            "客户风险评级与动态调整",
            "高风险客户加强尽调",
            "制裁名单与负面名单筛查"
        ],
        "交易监控": [
            "大额交易报告及时性",
            "可疑交易识别与上报",
            "跨境交易监控",
            "现金交易监控",
            "拆分交易识别规则有效性"
        ]
    },
    "数据保护": {
        "个人信息合规": [
            "隐私告知与同意获取",
            "数据最小必要",
            "敏感个人信息单独同意",
            "对外提供与委托处理的授权链",
            "数据主体权利响应流程",
            "安全保护措施与权限最小化"
        ],
        "外包与第三方": [
            "外包准入评估",
            "数据字段清单与必要性说明",
            "接收方保密与安全承诺",
            "退出与数据销毁条款"
        ]
    },
    "销售适当性": {
        "投资者适当性": [
            "风险测评有效期与更新",
            "客户风险等级与产品风险等级匹配",
            "高风险产品特别告知",
            "双录完整性与质检",
            "销售话术合规性"
        ]
    },
    "内部控制": {
        "制度与执行": [
            "制度覆盖完整性与现行有效",
            "岗位分离与授权审批",
            "关键岗位轮岗与强制休假",
            "系统权限与操作日志留痕",
            "异常事件上报与处置"
        ]
    },
    "关联交易": {
        "识别与审批": [
            "关联方名单维护与更新",
            "关联交易识别完整",
            "定价公允性依据",
            "审议层级与回避制度"
        ]
    },
    "AI应用": {
        "安全开发与使用": [
            "场景清单与上线审批",
            "训练与推理数据来源合法说明",
            "输出结果人工复核环节",
            "生成内容标识与留痕",
            "退出与应急处置预案"
        ]
    }
}

1.1 Checklist Usage Table / 清单使用说明

| 检查模块 | 适用对象 | 建议频次 | 主要证据类型 | 抽查比例（示例） | 证据留存期限 | | |---------|---------|---------|-----------|--------------|---| | 客户尽职调查 | 开户与准入环节 | 季度 | 尽调档案、评级记录 | ≥30 户或 5% | 不少于5年 | | 交易监控 | 交易与运营 | 月度 | 监测报告、上报回执 | 大额全量 + 可疑抽查 | 不少于5年 | | 个人信息合规 | 全条线 | 半年 | 授权文本、字段清单 | 覆盖全部涉及条线 | 按个人信息留存最短必要期限 | | 外包与第三方 | 采购与业务条线 | 半年 | 协议、评估记录 | 存量外包项目 100% | 协议终止后按约定年限 | | 销售适当性 | 销售条线 | 月度 | 测评表、双录、销售记录 | ≥30 笔 | 不少于5年（双录按监管要求） | | 内部控制 | 全条线 | 年度 | 制度、审批单、系统日志 | 关键流程 100% | 不少于10年 | | 关联交易 | 财务与业务 | 季度 | 关联方名单、定价依据 | 本期全部交易 | 不少于10年 | | AI 应用 | 科技与业务 | 半年 | 场景清单、数据来源说明 | 在用场景 100% |

示例｜抽查样本量的确定（按比例还是按绝对数）

业务量按5%计算实际抽样取数规则说明200 笔10 笔30 笔取下限30笔小样本须保证最低绝对量800 笔40 笔40 笔按比例常规区间5,000 笔250 笔150 笔设置上限大样本按风险分级缩减50,000 笔2,500 笔200 笔分层抽样高风险层全查、低风险层抽样

定样要点：只写"抽查5%"在小样本时会导致样本量过少、结论不可靠，在大样本时又会导致工作量失控。正确做法是设定下限（如30笔）与上限（如200笔），并对高风险层级单独提高比例或全查。抽样口径必须在报告中写明，否则结论无法复核。

示例｜清单裁剪的两种方向（避免"一套清单打天下"）

场景裁剪方向保留重点可简化项新业务上线前检查前移制度依据、审批路径、适当性设计历史执行记录抽查存量业务年度检查后移执行记录、留痕完整性、整改闭环制度文本核对（若有更新记录）监管专项检查应对对齐监管口径监管关注的特定字段与时效内部管理类指标自查自纠覆盖全面全部模块按风险权重分配样本无

裁剪要点：清单是起点而非终点。同一套清单用于不同场景时应明确标注裁剪依据与保留项，否则"检查过但没查到问题"与"没检查"在复核时难以区分。 按场景留存 |

2. Risk Identification & Rating / 风险识别与评级#

python

def rate_risk(likelihood: int, impact: int) -> dict:
    """
    按发生可能性(1-5)与影响程度(1-5)二维定级
    返回风险等级与建议处理时限
    """
    score = likelihood * impact
    if score >= 20:
        level, deadline = "重大", "10 个工作日"
    elif score >= 12:
        level, deadline = "较大", "30 个工作日"
    elif score >= 6:
        level, deadline = "一般", "60 个工作日"
    else:
        level, deadline = "关注", "下期复核"

    return {
        "score": score,
        "level": level,
        "suggested_deadline": deadline,
        "requires_report_to_management": score >= 12
    }

2.1 Rating Matrix / 风险评级矩阵

影响 \ 可能性1 极低2 低3 中4 高5 极高5 极严重关注一般较大重大重大4 严重关注一般较大较大重大3 中等关注关注一般较大较大2 轻微关注关注关注一般一般1 可忽略关注关注关注关注一般

示例：某条线客户身份识别档案缺失率 8%（可能性评为 4），可能被监管处罚并影响业务资质（影响评为 5）→ 分值 20 → 重大风险，建议 10 个工作日内完成整改并上报管理层。

2.2 Finding Severity / 问题定级口径

等级判定口径（任一命中）报告要求整改时限（示例）重大违反监管明确禁止性规定；可能引发处罚；影响面涉及多客户立即报告管理层≤10 个工作日较大制度存在但未有效执行；证据链不完整；存在系统性偏差书面报告≤30 个工作日一般个别操作不规范；记录填写不完整；可通过流程优化解决列入台账≤60 个工作日关注潜在风险苗头，暂无违规事实台账登记下期复核

示例｜同一问题的两种评级差异（定级一致性校验）

评级人可能性评分影响评分分值等级差异原因检查员A4520重大按"可能引发处罚"计影响5检查员B3412较大认为"已部分整改"故降可能性复核结论4416较大影响按实际后果范围修正为4

一致性要点：评级偏差应控制在1档以内。偏差来源通常是"可能性"评分混入了对整改进度的判断——可能性应评价 问题本身发生的频率或概率，整改进度属于"当前状态"字段，不应反向影响定级。双人复核时应逐项比对两维评分，而非只比对最终等级。

示例｜从发现到定级的完整链路（可直接套用）

步骤内容示例1. 描述事实样本量、缺陷笔数、比例抽查30笔，3笔缺少授权链材料，占比10%2. 引用依据具体条款或制度条目数据合规检查清单第4项3. 判断影响后果范围与可逆性可被监管认定为证据链不完整4. 判断可能性发生频率或系统性问题迹象3/30 且分布在不同月份，非偶发5. 定级按矩阵3×4=12 → 较大6. 留证据证据索引抽样清单编号 S-2026-042

链路要点：六个步骤缺一不可。实务中最常见的问题是跳过第1步直接定级，导致报告里只有"某模块管理不到位"这类无法核验的表述。

3. Audit Preparation / 审计准备#

3.1 Evidence Request List / 证据清单

类别具体材料责任部门提前时间制度文件现行制度清单、修订记录、审批文件合规部T−10执行记录检查记录、审批单、双录、工单业务条线T−7系统证据权限清单、操作日志、异常告警记录科技部T−7人员访谈访谈提纲、谈话纪要模板内审T−3数据支持抽样清单、指标口径说明数据/风控T−5

3.2 Preparation Timeline / 准备时间表

时点动作输出T−10确定范围与抽样口径检查方案T−7发出资料需求清单资料清单回执T−5收集并预检资料完整性资料缺口清单T−3确认访谈安排访谈排期表T−1内部对齐检查要点与判定口径检查要点表T+1现场检查与记录检查底稿T+5出具报告草稿并征求意见报告草稿

示例｜资料缺口清单的处置（T−5 环节最关键）

缺口材料责任部门影响处置时限系统操作日志科技部无法验证权限控制执行情况改为系统截图+导出记录替代，并说明口径T−3双录影像业务条线无法验证销售适当性抽取替代样本并扩大抽样量T−3制度修订审批单合规部无法证明制度现行有效以制度发布文号与生效日期佐证T−2

缺口处置要点：资料缺口必须在现场检查前消化，不能带着缺口进场再用"被检查方未提供"结案。每项缺口都要明确替代证据或扩大抽样方案，并在报告中说明替代口径对结论的影响。

示例｜访谈提纲的三层结构设计

层级目的提问示例记录要求制度认知确认人员是否知晓要求本岗位的合规要求有哪些记录原话要点执行动作确认实际如何操作遇到客户等级不匹配时怎么处理记录实际步骤证据指向落到可核查的记录处理完在哪里登记、谁来复核记录系统名与字段名

访谈要点：只问制度认知会得到"都知道"的一致答案，无法发现执行偏差。三层结构逐步下沉到可核查的记录，才能把访谈结论与留痕材料对应起来。访谈纪要须经被访谈人确认。

4. Audit Report Template / 审计报告模板#

markdown

## 一、检查概况
- 检查依据 / 检查范围 / 检查期间 / 检查方式 / 抽样规模

## 二、总体评价
- 合规管理有效性总体结论（分"有效/基本有效/需改进"三档，并说明依据）

## 三、主要发现
| 序号 | 发现问题 | 问题等级 | 依据条款 | 证据索引 | 影响判断 |

## 四、原因分析
- 制度层面 / 执行层面 / 系统层面 / 人员层面

## 五、整改要求
| 序号 | 整改事项 | 责任部门 | 责任人 | 完成时限 | 验收标准 |

## 六、后续安排
- 跟踪频次 / 复核方式 / 报送路径

4.1 Writing Notes / 撰写要点

章节常见问题撰写要求总体评价结论与发现不一致结论须能由发现逐条支撑主要发现描述笼统、无法核验写明样本量、缺陷笔数、比例与证据索引原因分析只写"执行不到位"区分制度、执行、系统、人员四类原因整改要求无验收标准每项须有可验证的验收标准后续安排缺少跟踪机制明确频次、责任人与报送路径

5. Rectification Tracking / 整改跟踪#

| 台账字段 | 说明 | 示例 | 复核岗 | | |---------|------|------|---| | 问题编号 | 与报告发现一一对应 | C-2026-013 | 合规官 | | 问题等级 | 重大/较大/一般/关注 | 较大 | 内审负责人 | | 责任部门/责任人 | 单一责任人 | 某条线/张三 | 内审负责人 | | 整改措施 | 可执行动作 | 补充授权链材料并建立台账 | 合规联系人 | | 计划完成日 | 按等级时限 | 2026-10-20 | 整改责任人 | | 当前状态 | 未开始/进行中/已完成/逾期 | 进行中 | 内审 | | 验证方式 | 抽查/复核/系统核对 | 抽查 30 笔 | 内审 | | 验证结论 | 通过/不通过/需再整改 | 待验证 | 内审负责人 |

跟踪机制：逾期 3 个工作日触发提醒；同一问题连续两次验证不通过自动升一级处理；重大风险问题按周跟踪。

示例｜整改验证不通过的处置（避免"纸面整改"）

状态表现判定处置形式整改补充了制度文本，但执行记录仍缺失不通过要求补充执行证据后重新验证部分整改抽查30笔中仍有5笔不符合不通过扩大整改范围并重定计划完成日已整改未固化本次样本合格，但无长效机制有条件通过要求补充流程或系统控制后再销号真实整改样本合格且有长效控制措施通过销号并归档验证证据

验证要点：整改销号必须附验证证据索引，仅有"已完成"文字描述不予销号。连续两次验证不通过应自动升级处理并上报，而不是延长时限。

6. Regulatory Update Tracking / 监管动态跟踪#

环节动作输出时限收集关注监管机构与行业协会公开信息动态台账条目每周初判判断是否影响现有制度与流程影响初判意见发布后 5 个工作日评估对照检查清单识别差距项差距清单初判后 5 个工作日落改修订制度或补充控制措施修订稿与培训记录按新规生效时间倒排复核验证落改有效性复核结论生效后 1 个月内

示例｜新规差距评估的三步拆解

步骤输出示例（某数据合规新规）拆条款逐条列出可检查的义务项第X条：对外提供个人信息须取得单独同意对现状现状描述 + 证据现有授权文本为概括同意，无单独同意环节定差距差距等级与整改动作差距=较大；需改造授权流程并回溯存量授权

拆解要点：差距评估最容易犯的错是把整份新规笼统评为"影响较大"，无法落到动作。正确做法是拆到"可检查的义务项"颗粒度，每一项对应一个现状描述与一个整改动作，这样才能直接进入整改台账。

---

Work Discipline / 工作纪律与数据使用#

要求具体做法最小必要分析只使用完成检查所必需的字段，不扩大范围脱敏优先涉及个人信息的样本先做掩码处理再用于分析全程留痕检查底稿、抽样口径、判定依据均需留存双人复核重大与较大等级问题的定级须经双人复核结论审慎输出为分析草稿，最终意见由持证人员签署保密要求检查材料仅限检查范围内使用，不外传

---

Quick Command Templates / 快速指令模板#

生成模块化检查清单：

text

生成反洗钱检查清单，重点关注：
- 客户尽职调查档案完整率
- 可疑交易识别与上报时效
- 高风险客户加强尽调执行情况
并注明每个检查项的证据类型与建议抽查比例

风险定级：

text

对以下发现进行风险定级：
- 发现问题：某条线客户身份识别档案缺失率 8%
- 涉及客户数：约 320 户
- 可能影响：监管处罚与业务资质
输出：可能性与影响评分、风险等级、建议整改时限、是否需上报管理层

审计准备：

text

准备一次销售适当性专项检查：
- 检查期间：本年度前三季度
- 需输出：资料需求清单、抽样口径、时间表、访谈提纲

报告草拟：

text

根据以下发现草拟审计报告框架：
1. 某模块证据链不完整（较大）
2. 某流程记录填写不规范（一般）
要求包含：总体评价、主要发现（含样本量与缺陷比例）、原因分析、整改要求（含验收标准）、后续安排

整改跟踪：

text

为以下问题建立整改台账条目并给出跟踪建议：
- 问题：外包合作个人信息授权链缺失
- 等级：较大
- 责任部门：某业务条线

---

Changelog / 版本变更#

版本日期变更摘要3.0.32026-10-08新增数据最小化声明与执行边界章节；收窄触发词并补充中英文非触发清单、适用辖区与语言声明（SQP-1/SQP-3）；监管动态更新至2026-10-08并新增内控、AI应用两条与复核频率列；清单使用表新增证据留存期限列、整改台账新增复核岗列；新增示例：抽查样本量确定、清单裁剪方向、定级一致性校验、发现到定级六步链路、资料缺口处置、访谈提纲三层结构、整改验证不通过处置、新规差距评估三步拆解3.0.22026-09-13新增风险评级矩阵与整改跟踪台账

---

Disclaimer#

This skill provides compliance audit frameworks, checklists, and report drafting assistance for reference purposes only. All outputs are analytical drafts that must be reviewed and signed off by qualified compliance officers or internal auditors; they do not constitute formal compliance opinions, legal advice, or regulatory conclusions.