风险、牌照、合同、税务、用工与监管

11.1 规则地图先按“实体—活动—地区—时点”切分

银行规则不能整理成一张没有适用条件的法规清单。每条要求至少记录适用法律实体、活动、客群、产品、渠道、币种、数据位置、外包关系、生效日、来源版本、责任岗位、系统字段和证据。总部政策可以提高统一底线，但不能覆盖当地许可或把不适用要求误当成法定结论。若规则入口、文本和实施问答冲突或已过复核日，先标为待核验并停止相关上线决定。

层次	经营问题	权威入口	内部产物	失效信号
法律与行政法规	谁可经营、基本义务和客户权利是什么	立法机关、行政法规库	法律义务清单	法律修订或施行日期变化
部门规章与监管办法	资本、流动性、贷款、分类、消保如何治理	金融监管机关与央行	控制映射和报送说明	新办法、答记者问、过渡期届满
金融行业标准	数据或技术控制如何实施	官方标准全文系统	技术基线与差距	标准修订、替代或适用边界变化
许可与监管指引	哪个实体能在何地做何业务	当地监管机关	LICENSE-J01-*矩阵	实体、活动、渠道、分支或控制权变化
会计与税务	交易如何计量、列报、申报	财政与税务官方入口	会计政策、税务事实表和桥接	合同、交易实质或规则变化
机构制度	谁在什么权限内执行	经批准的内部制度	流程、RACI、参数和测试	业务已变但制度未更新

11.2 牌照不是品牌属性

内地商业银行设立、分支、业务范围和重大变更在法定及许可边界内运行；分行依据总行授权开展业务。[SRC-J01-NFRA-COMMERCIALBANKLAW-2015] 项目团队不得用“本集团已有银行牌照”替代下列逐项判断：实际签约主体是谁、客户在哪、服务由谁提供、资金在哪入账、数据在哪处理、哪个分支或渠道获准、是否由代理或外包执行、是否涉及另一受监管活动。

牌照台账字段	示例表达	审批前问题	证据责任人
法律实体	ENTITY-J01-CN-01	是总行、分行、子行还是服务公司	ROLE-J01-17
地区	大陆某许可区域/香港/澳门/台湾	客户、人员、系统与履约发生在哪里	ROLE-J01-17
活动	存款、贷款、结算、托管等	产品实质是否落在许可文字内	产品与法律共同判断
客群与渠道	个人/企业、柜面/线上/API	许可或监管条件是否因渠道变化	消保、运营与法律
币种与资金路径	本币/外币、代理行、清算网络	是否另有外汇、清算或跨境条件	ROLE-J01-08
数据与外包	本地处理、跨境支持、云或供应商	监管访问、数据和退出条件是否满足	ROLE-J01-15、ROLE-J01-16
有效期与限制	生效、变更、撤销、承诺事项	当前版本和持续条件是什么	ROLE-J01-17

上线门要求：许可结论引用可点击官方入口；结论写明事实假设和不覆盖事项；产品、合同、系统和营销主体一致；许可变化能在一个工作流内触发停止销售、限制新增、客户通知、报送和存续服务安排。任何销售话术不得暗示集团其他牌照为本实体产品背书。

11.3 资本、流动性和利率风险不能等到月末

资本管理要求银行以资本抵御不同风险，并按具体机构和风险暴露适用相应计量规则。[SRC-J01-NFRA-CAPITAL-2023] 流动性管理要求建立治理、策略、计量监测、控制和管理信息系统，并在新产品、新业务开办前评估流动性影响；跨境还要识别法律、监管、税收、外汇和货币转换导致的转移限制。[SRC-J01-NFRA-LIQUIDITY-2018]

决策对象	业务输入	资本输入	流动性输入	共同主键
新贷款产品	客群、额度、期限、价格、担保	暴露类别、缓释、模型与操作风险	提款行为、期限、可变现性、资金来源	PRODUCT-J01-*
单笔大额授信	客户集团与用途	集中度、风险暴露和资本影响	价值日、未提款和回收路径	FACILITY-J01-*
存款活动	客群、渠道、利率和退出选择	操作与行为风险	稳定性、集中取款和存保披露	PRODUCT-J01-*、账户群
跨境服务	实体、币种、市场与代理行	各实体资本和转移限制	日内流动性、币种错配与资金可转移性	MARKET-J01-*
系统/外包变更	容量、恢复和服务窗口	操作风险暴露	支付中断、抵押品和头寸可见性	CHANGE-J01-*

正在绘制业务流程…

经营看板不得把“可用流动性”写成单一余额。要区分账面现金、可立即使用现金、受限资金、已质押资产、可质押但尚未完成操作的资产、未承诺融资、已承诺融资以及受法律或币种限制不能转移的资金。压力情景标记假设、持续期、管理动作是否预先授权，以及管理动作在市场压力下是否真的可执行。

11.4 信用风险分类与会计减值双轨

金融资产风险分类要求真实性、及时性、审慎性和独立性，并通过初分、认定、审批等环节形成结论。[SRC-J01-NFRA-ASSETCLASS-2023] 会计减值则依据适用金融工具准则，以历史、当前和前瞻信息计量预期信用损失。[SRC-F03-MOF-CAS22-FINANCIAL-INSTRUMENTS-2017] 两者共享客户、合同、逾期、担保、现金流和外部环境事实，但不能把一个字段硬转另一个结论。

证据	分类如何使用	ECL如何使用	治理要求
付款与逾期	判断履约与风险程度	影响信用风险变化和现金流预期	数据时点与修正可追溯
经营与财务	判断还款能力和风险趋势	影响情景、违约概率或现金短缺估计	区分原始事实和分析假设
合同修改/重组	识别风险实质和分类影响	判断修改、终止确认、阶段与现金流	不用展期掩盖风险
担保与抵押	评估回收保障	影响回收现金流及时间成本	价值、顺位、可执行性、更新期
前瞻情景	宏观行业与客户影响	多情景及权重（按政策）	模型、覆盖和管理层判断分离
人工覆盖	更完整事实或模型局限	调整模型结果	原值、改值、理由、权限和结果监测

CASE-J01-A01 的“损失准备40”是教学数；本文只把它放进会计与现金桥，不声称客户属于某一监管类别，也不声称某个逾期天数自动决定阶段。ROLE-J01-07 提供事实与分类建议，授权分类人完成认定审批；财务基于获批模型和判断入账ECL；两个结论各有日期、版本和复核人。

11.5 操作风险、欺诈与反洗钱分流

操作风险来源包括内部程序、员工、信息科技系统和外部事件，并包括法律风险；管理要与业务连续性、外包、网络数据安全、事件与恢复衔接。[SRC-J01-NFRA-OPRISK-2023] 同一事实可以触发多个专业流程：被钓鱼修改账户可能是欺诈事件、操作差错、数据/安全事件、客户投诉和潜在法律问题；是否进入反洗钱分析由有权人员按风险事实判断。不能用一个“欺诈/非欺诈”标签关闭其余流程。

分流	关注问题	禁止合并	关闭证据
操作风险	程序、人员、系统或外部事件为何导致/险些导致影响	系统恢复不等于业务关闭	损失、根因、整改和有效性
反欺诈	账户或交易是否被未授权操控，如何保护资金客户	规则命中不等于欺诈事实	交易事实、客户确认、资金结果
反洗钱	客户和交易风险是否需加强尽调或报告	不向无关人员披露案件判断	受控案件、审批与法定记录
信息安全	是否发生越权、泄露、篡改或可用性事件	漏洞存在不等于已泄露	取证、范围、恢复和通知评估
消费者保护	信息、销售、服务或补救是否公平	客户撤诉不等于根因消失	解决、补救和复发控制
财务	损失、赔偿、准备、冲正和应收如何入账	毛损失与净损失不得混报	分录、现金、保险/追偿分别列示

11.6 反洗钱：风险为本且知情最小化

内地反洗钱法要求银行等义务主体建立内部控制、客户尽职调查、保存资料和交易记录，以及大额和可疑交易报告等机制。[SRC-J01-NPC-AML-2024] 教程不公开或假设机构内部监测阈值。客户准入时的风险分层、存续期更新、交易监测、人工调查、限制措施、报告与客户服务各自留痕；前台只获得执行其任务所需状态，不接触不必要的案件内容。

环节	可执行问题	输出	质量风险
客户识别	主体、代理、控制和受益所有人是否可靠	客户与集团档案	只收证照不理解控制关系
风险评估	客群、产品、地区、渠道和行为如何影响风险	风险分层与更新频率	所有客户同一清单
持续尽调	哪些变化触发重核，信息是否仍可信	更新任务和差异记录	只在证件到期时更新
交易监测	命中是否与客户预期和事实一致	待分析案件	规则数当成案件质量
有权分析	需要补充什么，是否采取措施或报告	受控决定	单人无挑战判断
记录与保密	谁可知情、保存多久、如何调取	访问和留存证据	把案件信息写进普通CRM

11.7 消费者保护、存款与投诉

银行保险机构消费者权益保护要求覆盖治理、产品设计、营销销售、信息披露、个人信息、收费、合作机构、投诉和监督评价。[SRC-J01-NFRA-CONSUMER-2022] 这要求产品KPI从“卖出去”延伸到客户是否理解、是否合适、是否能安全使用、问题能否补救。合作渠道的脚本、跳转、费用展示和数据收集也属于银行应管理的客户旅程，不能以“第三方页面”为由排除。

内地吸收存款的相关机构依法参加存款保险，保障范围、除外和偿付限额按条例及当期官方调整执行。[SRC-J01-MOJ-DEPOSITINS-2015] 产品和系统必须能区分存款、非存款投资或其他产品，保存产品状态与客户披露版本；本文不写死保障限额，避免在未来或跨法域错误沿用。

客户结果	上线前测试	存续监测	异常补救
能理解产品	可读性、关键风险与费用理解测试	咨询与误解原因	纠正披露并主动触达受影响客户
产品适合	目标/排除客群与销售脚本	客户结果按渠道、群体分层	停售、重评或替代方案
交易安全	认证、限额、通知与争议路径	欺诈、误伤、失败和投诉	止付、调查、临时保障与最终决定
收费准确	价格公式、舍入、优惠与账单UAT	费用异常和手工调整	批量识别、退还及根因整改
退出可行	结清、销户、迁移和数据处理测试	退出时长与失败	人工兜底、证明和后续服务

11.8 合同、担保与电子证据

合同治理从授权和真实意思表示开始，覆盖可签版本、主体与代理权、关键条款、签署时间、生效条件、提款条件、通知、修改、转让、终止和争议。电子签约要证明版本、签署人权限、认证、完整性、时间和可调取性；一张签名截图不足以证明完整合同链。担保还要管理标的、担保人、范围、顺位、登记/控制、估值、保险、检查、释放和处置，不因扫描件已上传就把担保状态改为“有效”。

合同异常	风险	停止动作	修复证据
评审稿被当合同	权利义务尚未形成	停止放款或服务启用	有权签署的最终版本
批复与合同不一致	超授权或错误价格	差异扫描并升级	新审批或合同更正
代理人权限过期	签署/指令可能无权	重新核验并暂停执行	有效授权与身份
先决条件过期	放款保护失效	禁止复用旧勾选	新鲜证据和四眼复核
担保状态不明	风险缓释被高估	不在风险/资本中自动计入	法律、登记、价值和顺位结论
修改只改核心参数	合同、会计与客户通知断裂	启动全链路变更	修订合同、会计判断、系统和通知

11.9 税务二次自核

本教程在发布日前执行两次税务自核。第一次确认2026年起内地增值税官方体系的入口、生效日和金融服务范围；第二次检查正文没有遗留旧税率、固定优惠、地方申报期限或把会计确认时点直接写成纳税时点。[SRC-J01-STA-VAT-REG-2025][SRC-J01-STA-VAT-SCOPE-2026] 结果是：只保留官方来源支持的框架性结论，案例金额均为不含税的管理教学口径，不计算发票税额；真实交易由税务岗位当期核验。

二次自核问题	本教程处理	项目落地动作
是否写死税率	否	从交易当期官方规则取值
是否把收现等同纳税义务	否	按交易实质和当期规定判断
是否把贷款相关费一概拆成服务	否	合同、会计和税务分别分析
是否忽略跨境服务	否	记录主体、服务、客户、履约与资金路径
是否假设减值可税前扣除	否	建立会计—税务差异和资料条件
是否以发票决定收入	否	发票、会计收入、应收和现金分列

11.10 用工、行为与问责

高压指标容易诱发资料代填、拆分授信、强制搭售、绕过权限、延迟报案和不当催收。岗位治理要把合理工作量、培训、利益冲突、回避、举报保护、错误纠正与后果管理结合起来。员工犯可纠正操作错误和蓄意规避控制不是同一问题；问责先还原事实、系统设计、目标激励、监督信号和管理层响应，避免只找最后点击按钮的人。

人员场景	预防控制	发现控制	处置原则
销售激励冲突	平衡计分、递延/回拨、禁止行为	抽样回访、投诉、早期表现	客户补救优先，追责与制度整改并行
审批回避	关系申报、系统冲突检查	审批链与关联关系复核	重做独立决定并保留原记录
高危权限滥用	最小权限、双人、会话审计	异常查询和操作分析	保护证据、限制权限、依法处理
过度加班导致差错	容量计划、轮岗、强制休假（按当地制度）	差错与工时趋势	修复流程与人力，不只处罚个人
外包人员变动	名单、培训、账号到期	实际访问与合同名单对账	即时撤权、评估影响、供应商整改

11.11 法规、牌照与税务发布门二次检查

检查域	官方来源复核	本文结论边界	发布结果
内地商业银行基本法	NFRA现行文本入口	只写许可、分支统一核算和审贷分离等来源支持内容	通过
资本与流动性	NFRA现行办法入口	不写死风险权重、资本比率或流动性数值	通过
贷款与分类	2024三办法与2023分类办法	不固定支付阈值，不机械映射分类/ECL	通过
操作风险与消保	现行办法入口	写治理框架，不虚构报告时限	通过
反洗钱	人大2024修订法	不公开阈值、不认定个案可疑/违法	通过
存款保险与征信	行政法规库	不写死保障限额，不代替当期权益规则	通过
金融信息技术	央行标准入口	标明行业标准不替代法律	通过
2026增值税	税务总局与财税公告	不写税率优惠，不把会计时点当税务结论	通过
香港、澳门、台湾	当地监管许可/法律官方入口	只作项目核验入口，不承诺准入	通过
数据跨境	国家网信部门官方规则来源	程序豁免不等于免除基础义务，项目逐字段评估	通过

11.12 监管变化如何进入产品和系统

法规跟踪不是合规部门发一封邮件。REGCHANGE-J01-* 从官方来源抓取标题、发布和施行日期、修订/废止关系、适用主体、活动、产品、地区与过渡安排；法律合规先形成事实摘要和待确认问题，再由产品、风险、财务、税务、数据、科技和运营分别评估。最终决定要落到制度、合同、披露、模型、参数、权限、培训、存续客户、报送和监控，且在施行前完成测试或经有权人批准临时控制。

步骤	输出	质量门	证据
发现	官方原文与变更ID	URL、版本、发布日期可核	来源快照和访问日
适用性	实体—活动—地区—产品矩阵	不以关键词命中代替法律判断	法律意见与事实假设
差距	当前控制与新要求逐项比较	存续业务和历史数据均覆盖	控制、系统、合同清单
方案	停止、修改、迁移或豁免路径	每项有唯一A与截止日	决策纪要、预算与依赖
实施	文件、代码、参数、培训和客户动作	四眼、版本、回退和隔离测试	发布包与培训记录
验证	样本能证明要求已生效	不由实施者单独自证	测试、抽样、缺陷与复测
持续监测	到期、例外和客户结果	临时控制自动到期	看板、升级与关闭批准

遇到发布日期早于施行日时，不能等施行日再启动；遇到规则已施行但系统尚未改完时，也不能用“项目进行中”自动接受风险。管理层应明确允许继续的范围、客户保护、人工控制、容量、剩余期限和停止条件。来源后续出现问答或修订时，以新事实触发重评，保留原结论为何在当时合理。

11.13 监管报送的数据契约

每个关键报送字段建立 REPORTFIELD-J01-*：法定定义、适用实体、粒度、源字段、转换规则、币种与单位、截止时点、分类/ECL版本、质量阈值、责任人、复核人和重报规则。财务、风险和监管报送可以使用不同合法口径，但差异必须由明确转换产生，不允许三套团队各自下载后人工解释。

差异类型	示例	正确处理	错误处理
范围	法人、本地、集团或合并	字段标记范围并桥接	报表标题里写“全行”
时点	交易日、价值日、记账日、期末	规则明示并处理迟到事件	以抽数时间替代业务时点
总额/净额	贷款总额、准备、净额	三项分别报并可复算	只留净额472
分类	产品、客户、风险或会计分类	维护映射与版本	名称相似即直接映射
币种单位	原币、折算币、元/万元	汇率源和舍入规则固定	在Excel显示格式中换算
重跑	源数据纠正或规则修订	冻结旧版、审批重跑、评估重报	覆盖文件不留差异