标准把验证权交给了系统外面的人

十一月一日之后，国央企的 AI 项目评审会会多问一句话。提案方递上合规报告，最后一页写着记录完整、风险可控。对面的人不问报告里写了什么，他问这份报告是谁写的。也就是说，他要确认判定的人和被判定的人是不是同一方。如果答案是客户自己的系统，这份材料就不再是结论，它只是一份自述。这听起来只是一个措辞问题，实际上是材料的性质变了。

这句话的依据已经快到期了。《人工智能 安全治理 系统风险管理能力要求》以 YD/T 7173-2026 编号发布。它由工业和信息化部 2026 年第 18 号公告批准，发布日 2026 年 7 月 15 日，实施日 2026 年 11 月 1 日。归口单位是中国通信标准化协会，起草方包括中国信通院和 22 家高校、科研院所与企业。国家数字标准馆的登记条目与信通院发布稿在这两个日期上一致。所以这不是一条传闻，它有编号、有归口、有生效日。

先把结论放在前面。标准把验证权写成了要求本身，而验证权必须在系统外面。于是供应商自证的合规报告失去了结论地位。自建审计仍然有用，它的位置变了，从结论退回到证据来源。换句话说，它还能证明自己做过什么，但不能替买方下判断。

三块内容里，最硬的一处在可问责性

标准把能力要求分成三块。组织建设、流程管理、风险防护。组织建设写的是分层治理权责：领导层决策、管理层审批、执行层落地，三层各有各的职责。它还要求全周期文档留存，要求风险全链路可追溯，并要求对外建立重大风险通报渠道。这一块的难点在留存，不在写文件。因为文件可以写一份，留存要每天发生。

流程管理写的是一个循环：识别、评估、应对、持续改进。风险按严重、高、中、低四级分级。处置分规避、降低、接受、转移四类。要交的表格材料被概括为“一表三单”。看得出来，这部分是给管理体系用的，落点在制度而不是系统。也就是说，它管的是流程有没有走完，不是系统有没有留痕。

风险防护这一块列了八个维度。可靠性、可控性、安全性、公平性、透明性、可解释性、隐私保护性、可问责性。前七个维度，多数企业已经能找到对应物：容灾、权限、脱敏、模型说明。可问责性最不好糊弄，因为它不是一份文档能回答的东西。反过来，它是这八个维度里唯一必须由外部角色参与的。

据第一财经 2026 年 8 月 11 日对信通院解读会的报道，标准对这一条的落法是三件事。引入模型审计机制。对系统运行过程和结果进行独立验证。确保具备外部监督渠道。这三件事放在一起读，意思很清楚。它要的是日志能被别人重新核一遍，只留给自己看不算。说白了，标准在这里考核的是别人能不能接手复核。

拆开看更明白。模型审计说的是有人来审。独立验证说的是审的人不能是跑系统的那个主体。外部监督渠道说的是这条路要通到组织外面。任何一条缺位，这层要求就落空。所以这三件事无法拆开单独满足。换句话说，标准要的是一份能走出去、被重新算一遍的账，不是一份写得漂亮的报告。

自证为什么没有信息量

绝大多数企业不是存心作假。它们的问题更基础。报告由被审计的系统生成，检查规则也由这个系统定。结论当然是自己符合自己。从机制上看，这样的结论没有信息量。因为它区分不了好系统和差系统，差系统也会输出同样四个字。这就是自证的结构性问题。

审计的价值本来来自两个主体的分歧。一方交出账，另一方独立算一遍。两边结果对得上，账才算站住。少了第二个主体，审计就退化成一次自我表述。这是机制问题，跟从业者是否诚实无关。所以这里要补的是一个外部取数的入口，不是一份更厚的报告。

常见的反驳是：我们的日志很完整，字段齐全、时间戳连续、还能回放，这已经足够证明。这里要分清两件事。日志完整只能证明系统诚实地记录了自己做的事。它不能证明记录的东西是对的，也不能证明记录没有被系统自己裁剪。前者是工程问题，后者是权限问题。谁有权决定哪些动作进入日志，谁就决定了这份账的边界。也就是说，完整不等于可信。

把这两件事混在一起，结论就会变成“记录完整所以合规”。这句话听起来无懈可击，实际上什么都没说。它没有回答动作该不该被批准，只回答了动作有没有留下痕迹。买方真正要问的是前一个问题，而前一个问题的答案不在被审计方手里。

我们在自己的产品里遇到过这个问题，而且是最尴尬的那种。有一段时间，我们给客户出的合规报告恒报记录完整、通过。这句话在技术上没错。检查逻辑只确认每个动作有没有留下记录，从来不问那次批准是不是来自一个有权限的人。等于我们既当运动员又当裁判，还只检查自己有没有到场。这意味着报告越漂亮，问题越隐蔽。

意识到这一点之后，报告的口径改了。结论里不再出现通过与不通过，只列动作级记录：哪一步、谁批准、依据哪条规则、返回了什么。判断留给客户和他们的审计方。这个改动砍掉了我们最好卖的一句话。但它正是这条标准指的方向，也是我们今年做的最不讨好的一次修正。原因很简单，客户买的是别人能核的账，不是我们自己的评语。

三层权责落地，落到一张反复重谈的表

分层治理听着抽象。落到工程上，它是一件很具体的事：每一类动作都要能回答三个问题。这件事属于哪个任务，谁是对它负责的那个人，这是第几次发生。三层之间真正的差别不在职级，在于哪些动作可以自己动、哪些必须有人签字、签字的人凭什么判断。也就是说，权责的落点是一张动作清单，不是一份任命文件。

麻烦出现在复制的时候。一家集团先在一条产线上跑通了智能体，审批边界谈得很细。取数可以自主，改参数要主管批，动生产配置必须走变更委员会。这套边界在这条产线上是对的，因为产线的风险结构就是这么长的。但它只对这条产线成立。

换一条产线，风险结构不一样。同一个动作也许不该再由主管批，而该由安全团队批。再换到财务共享中心，边界还得重画一遍。于是每加一个业务单元，都要重新谈一次：什么能自己动、谁批准、依据是什么。这就是规模化的真实卡点。关键在于，这个成本随业务单元数量线性增长。

卡点不在模型能力，也不在许可费用。它在授权边界的复制成本。标准要求全周期文档留存和风险全链路可追溯，本质上是要这张边界表可查、可改、可版本化。如果每次扩张都靠会议纪要和个人经验，文档永远追不上现实，追溯就成了事后补写。结果是标准这一条看起来最软，执行起来最贵。

反过来，如果边界表是运行系统里的配置，每次改动都留痕，那么标准要的可追溯才不是一句口号。这条推理没有捷径。先有表，再谈复制。表的载体是配置还是纪要，决定了一家集团能扩到几个业务单元。同样地，它也决定了出事时能不能说清是哪一层批的。

四维度专项评估，多了一张证据清单

信通院正在把标准做成服务。据其发布稿，已服务国内头部制造业企业。它同步开展智能体服务风险管理专项评估，四个维度是工具供应链安全、记忆安全、推理执行安全、平台运营安全。发布稿还写明，已助力国内十余家 AI 企业完成风险管理能力建设，并正式启动 2026 年人工智能风险管理能力成熟度评估，下一步围绕金融、医疗做标准应用试点。所以这套要求已经在找落地对象，不只是挂在网站上。

这四个维度值得单独看。它们本身就是一张证据清单。工具供应链安全问的是：调用的外部工具是谁的，什么时候换过版本，出事时怎么定位到那一次调用。记忆安全问的是：智能体记住的东西存在哪，谁能读，过期了怎么删。也就是说，前两个维度问的都是资产归属，不是能力高低。

推理执行安全问的是：一次推理过程里，模型被允许做什么动作。越界了谁拦下来，拦在哪一层。平台运营安全问的是：这些能力由谁运营，值班的人是谁，出故障多久能恢复。这四条问的都是记录，不是承诺。所以它们能直接变成筛选供应商的问题，而不需要等行业出一份榜单。

你的工具清单有版本记录吗。记忆里的内容能做分权读取吗。越权的动作是被拒，还是被记录后继续执行。夜间出事谁看板子。四个问题问完，能筛掉一批只会演示对话效果的供应商。这也是我们把专项评估四维度看成采购工具、而不是看成认证的原因。因为认证要等，问题不用等。

这条要求什么时候不成立

先把边界说清楚，否则这套说法会被用成吓唬人的工具。第一，标准正文我们没有取得。本文所有条款表述都来自国家数字标准馆登记条目、信通院发布稿和第一财经对解读会的报道。正文与解读若有出入，以正文为准。也就是说，这里的每一个条款表述都有一份公开材料垫着，但我们没有见过原文。

第二，不能说行业里没有人做到独立验证。这既不真实，也不必要。准确的说法要窄一些：没有一家把它做成对外的、可复核的运行账本。这两句话差很多。前一句是情绪，后一句是判断。所以我们每篇材料都写后一句。

第三，任何供应商包括我们自己，都不能说符合 YD/T 7173。符合性判断要由具备资格的一方做出。供应商自陈正好是这条标准要拆掉的东西，我们不该一边批评它一边使用它。可以说的是，按公开解读，这条要求对应哪一类记录。反过来，这句话也适用于所有同行。

还有一层边界关于咨询公司。麦肯锡在 2026 年 10 月 13 日的文章里，把企业 AI 操作系统写成了自己的框架。文章提到 40% 的大企业已规模化部署智能体，只有 6% 能把 5% 以上的息税前利润归因于 AI。零一万物则已经推出面向老板的决策中枢产品，2026 年 8 月与德勤中国签了合作备忘录。这些动作都很快。

这些公司都在做判断，也都在出建议。但出报告的人如果同时是被验证的对象，那份建议本身不构成标准要求的那条记录。决策建议不构成，财务报表结果也不构成。原因还是同一个：它们都不是对运行过程的独立验证。也就是说，建议回答的是该不该做，验证回答的是做的时候谁批的。

所以这条标准真正改变的不是采购清单的长短。它改变的是采购对话里的举证关系。以前是供应商证明自己好。现在是买方要求一份别人也能算一遍的账。账本只能自己打开的供应商，会在这轮对话里让位。这件事跟公司大小无关，跟账本的开合有关。

我们的判断

我们的判断是：这条标准把独立验证写进可问责性，等于用官方语言宣布自证失效。而多数企业目前的合规材料，仍然停在自证这一层。分水岭不在有没有报告，在报告能不能被第三方取数复算。买方可核验的运行账，会是这一轮国央企 AI 采购里最硬的一张票。

由此有三个动作，都能在这周做完。第一，把合规报告翻到结论页，问一句这个结论是谁写的。如果答案是被检查的系统，就把结论改成记录，先把动作级字段补齐：谁批准、依据哪条规则、返回了什么。这一步不需要采购，也不需要预算。

第二，把审批边界画成一张表。按业务单元列清楚哪些动作自主、哪些要批、谁批。然后试着重画第二个业务单元的版本。你会立刻知道复制成本有多高，也会知道现在的表是配置还是纪要。这张表画不出来，说明边界还在人脑里。

第三，对着专项评估的四个维度，各找一份能出示的记录。找不到的那一维，就是下一季度要补的洞。这三件事做完，你在评审会上能回答的问题会多一个，被问倒的问题会少一个。也就是说，准备成本只有几天，收益是整轮采购对话。

留一个可检验的问题给买方。如果把这份报告交给一家不参与运营的第三方，让他用同一批数据重算一遍，他能得到同一个结论吗。能，这份材料就有分量。不能，它现在证明的只是这套系统检查过自己。这就是判据，其余都是解释。

参考来源

国家数字标准馆：YD/T 7173-2026《人工智能 安全治理 系统风险管理能力要求》登记条目（发布 2026-07-15、实施 2026-11-01、归口中国通信标准化协会）

中国信通院发布稿（通信世界网全文）：三大能力体系、一表三单、智能体服务风险管理专项评估四维度、已助力十余家企业、2026 年成熟度评估启动

第一财经 2026-08-11 对信通院解读会的报道：八大维度、四级风险分级、可问责性＝模型审计机制 + 独立验证 + 外部监督渠道

McKinsey, 2026-10-13《The AI operating system: A new way for CEOs to run the enterprise》（40% 规模化部署、6% 归因 ≥5% EBIT）