当前，商业银行产品与业务快速迭代，内控风险点持续变化，加之严监管、强监管持续深化，对业务全流程管理的要求不断提高。在此形势下，商业银行内控评价工作面临诸多挑战：一是评价范围广、内容多，难以精准把握评价重点，从海量测试结果中挖掘提炼评价结论的难度较大。二是评价周期较长，多为事后的静态审计评价，对问题和风险的敏感性不足。三是评价方法主要依赖抽样测试，基于合规性的审计评价结果与基于风险导向的内控实际目标存在一定偏差。四是评价工作以人工为主，应用算法审计进行批量检索、分析及汇总等方面存在不足。

为应对上述挑战，本文提出了运用数智化手段开展内控评价工作的总体思路：重构内控评价底层逻辑，借助大语言模型，动态识别重点机构、重点业务、重点产品及关键岗位的内控问题，通过多维数据整合与趋势性分析，总结提炼机构、业务条线及全行层级的内控缺陷，并提出整改建议，为管理层提供决策支持。通过深度应用数字化技术，以期提升内控评价的精准性、时效性和科学性，实现从事后评价向实时动态评价的转变，为银行内控体系优化和管理水平提升提供坚实保障。

通过动态收集全行各级机构、各业务条线的操作、交易、合规等数据，以及内外部检查发现的问题等信息，构建“风险信息—内控节点—评价指标”的映射关系，实现从“零散内控风险信息”到“系统性内控评价”的转化。

运用OCR（光学字符识别）技术将图片、PDF文档等非结构化数据转化为文本数据，并通过NLP（自然语言处理）技术，根据关键词实时捕捉规则偏离、操作异常、指标超限等内控风险信息，为分层级开展审计评价积累数据基础。

1.数据层——实时采集内控管理及业务风险数据。

利用NLP的爬虫集成与语义理解能力，定期扫描监管机构网站、权威金融资讯平台、行内各业务系统及管理平台，批量检索、实时收集最新监管罚单、政策要求、业务指标、审计发现问题及整改情况等数据，并通过OCR批量进行文字识别，重点覆盖以下四类信息数据，确保风险信息全面覆盖、无一遗漏。

一是外部关联数据。主要包括新公司法、反洗钱法等最新监管政策要求，保交楼及保交房情况、地方政府违约率等行业风险预警数据，前十大客户存贷款集中度等同业经营数据，以及外部审计师意见、舆情信息等第三方评价数据。

二是业务交易数据。主要包括问题贷款率、不良率等行内经营管理数据，资本充足率、流动性比例等监管指标数据，信贷审批通过率、贷后检查频率等执行类数据，以及服务流程问题、费用争议等客户投诉类数据。

三是操作行为数据。主要包括利用同一IP地址批量办理业务等柜面或线上交易轨迹、越权审批或跳过审批环节的业务流程操作记录、非工作时间或非本人使用核心生产系统的登录数据等。

四是检查问题数据。主要包括公司层面、流程层面、信息科技层面三个维度，向下细分公司治理、公司金融、零售金融、理财业务、资负财会、信息科技等具体业务领域，重点核查审计发现问题的定性、表现形式，以及与监管关注重点的重合度、问题的整改情况。

2.分析层——用规则模型+AI模型识别风险信号。

运用NLP技术自动解析语义，将识别到的信息数据、核心内控点及关联的内控要求进行提取，并将其转化为审计模型，使每个内控风险点都至少对应着一个业务场景、规则类审计模型、审计及内外部检查发现的问题。

一是规则类模型。对于可量化的内控管理要求，开发规则类模型，实时对指标偏离情况进行监测。例如，针对信贷领域行业、区域、客户的集中度风险，可建立指标类模型进行实时跑批计算，对于集中度超过比例阈值的情况进行预警；再如在复核及审核过程中，对于同一员工操作多名用户账号的行为进行识别，并关联核查员工异常行为风险。

二是高阶模型。对于新型风险隐患，通过聚类算法自动识别并整合同类或相似问题，定位偏离常态的“离群点”问题。例如，在分析个人经营贷业务中，如果聚类发现部分分行对同一中介或实控人相同的中介机构推荐客户的审批通过率显著高于全行平均水平，则将该类客户特征识别为“贸易背景不真实”“骗贷”行为。

基于动态识别的内控风险信息，利用NLP技术的文本分类、主体关联能力，将跟踪结果自动映射到内控五要素，并依据预设的“关联业务条线”“重要等级”“设计缺陷或执行缺陷”等标签进行标注，辅助对业务条线、全行内部控制的设计完整性和执行有效性进行分析。

1.业务条线管理维度（以同业问题频发的零售业务为例）。

一是风险信息识别方面。

高风险等级：信用卡未经客户确认自动办理分期，多收取客户分期费用，易引发客户投诉，进而导致监管处罚。

中风险等级：对抵押物价值的审核与认定不够审慎，受经济形势下行影响，部分抵押物如房产价值大幅缩水，部分二手房按揭贷款、房地产抵押贷款存在“高评高贷”情况。

二是评价结论方面。

设计类缺陷：信用卡自动分期业务未制定个性化还款方案，缺少“客户确认环节强制校验”的系统规则。

执行类缺陷：押品价值评估和认定工作，虽有制度层面的要求，但在执行过程中未能对抵押物价格进行充分的对比分析、复核及审核，导致抵押物价值被高估。

2.全行系统性风险与协同管理维度（以监管处罚案由为例）。

一是风险信息识别方面。

高风险等级：零售业务条线的“个人经营贷”“消费贷”资金流向禁止性或限制性领域；公司信贷条线的房地产开发贷款资金用途与批复要求不一致，存在挪用情况；交易银行条线的票据承兑人办理票据质押贷款业务后，部分贷款资金归集至承兑人关联公司等。上述资金均存在流入房地产、购买基金或私募产品、偿还贷款、归还信用卡等情况，涉及金额及比例较高。

中风险等级：部分贷款在被本行一家机构否决甚至判定为中介推介诈骗后，仍能在其他机构成功申贷，最终导致资金被骗取。

低风险等级：部分新产品、新业务的贷后管理要求落地不到位，业务主线部门与贷后管理牵头部门均未开展贷后首次检查工作，也未按照内控规定的频次开展检查任务，贷后检查存在缺失。

二是评价结论方面。

设计缺陷。全行层面缺少跨条线资金流向的监测规则，未能覆盖系统性风险。尤其是受疫情救助政策到期、地方财政困难、房地产风险持续暴露等因素影响，相关行业出现波动，借款人还款能力下降，房地产价值下行导致抵押物价值大幅缩水，前期大量跨条线资金流向房地产、私募基金及信用卡透支等领域的信贷资金，面临较大回收难题，存在系统性坏账风险。

执行缺陷。（1）未对系统已监测到的疑似中介机构及其推介客户进行“打标签”，并将其应用于贷款日常管理，对“一对多”提供首付款、月还款资金等具有欺诈风险特征的借款人及推介机构未进行拦截；跨机构间的风险信息共享不充分，被某一机构否决的客户仍能在其他机构成功申贷。（2）业务主线部门与贷后管理牵头部门之间信息沟通不畅，新产品、新业务推出后，业务部门未同步会签贷后管理部门，导致贷后检查执行效率低或定期检查的任务缺失。

通过运用本地化的DeepSeek-R1，对业务条线、全行层面在内部控制设计和执行方面的问题相关信息进行批量检索和趋势性分析，智能化生成问题概述、推荐定性、内控改进举措，并提出针对性完善建议。

1.可视化展示评价结果。

通过热力图直观呈现全行及公司金融、零售金融、理财业务等核心业务板块的内控缺陷，通过对比近年来内控缺陷数量、设计及执行层面问题占比的变化情况，评价内控管理是否有所改善。例如，全行层面当年的内控缺陷问题同比下降明显，设计层面缺陷占比较以往年度有较大下降，则表明制度修订与流程优化取得了阶段性成效。

2.拓展审计建议的深度与高度。

依托自然语言处理和机器学习技术，在可视化结果基础上，通过对近年来内控缺陷数据训练，按照“制度设计—执行操作—整改效果”的链条进行系统化识别，使审计建议能够动态适配最新内控管理要求，更加聚焦完善体制机制、优化业务流程、避免问题屡查屡犯等长效性改进。例如，针对财务数据核实不及时的问题，审计建议不仅要提出加强人工复核，更应推动财务报表数据自动核验功能的实现，从技术层面固化内控要求。

3.审计场景模拟问答。

基于分析模型搭建智能问答模块，支持用户通过自然语言提问，获取跨领域关联查询信息并实现动态更新和反馈。例如，当用户希望了解近三年统一授信管理设计缺陷的变化原因时，系统会联动展示外部监管政策调整时间轴、制度修订记录、历史审计发现问题、整改责任人履职数据等可追溯的信息链条。

传统模式下，当某笔贷款发放一段时间后或发现资产质量存在下迁风险时，审计才会通过回溯评价客户准入、贷后检查等环节，发现其中可能存在的管理漏洞。而通过大语言模型，在异常数据出现的初期就可发起预警，推动审计评价的窗口提前3—6个月。例如，通过审计模型检测发现不同授信客户或同一授信客户多期财务报表数据一致的情况后，通过持续审计，几天内就锁定问题源于系统未能对授信客户关键财务指标与授信情况匹配关系性校验。随后及时推动相关条线管理部门完善系统功能，加强客户准入管理，有效避免了潜在的合规风险扩散。

针对客群结构优化、集中度限额管理等共性问题，大语言模型打破了各条线数据孤岛、审计人员难以整合识别的困境。它通过对全行范围内的风险政策、业务规则、审批标准、审计发现问题等进行横向分析，比对同业指标变化趋势等并提出综合性审计建议，推动总行提前2—3个月制定中小企业客群建设发展战略、优化完善限额管理方案，进一步加强了客户分层管理，明确资产、负债、收益等的集中度限额管理标准，近年来各项限额指标均符合要求。此外，大语言模型还基于对外部监管政策的跟踪，对全行政策制度进行智能匹配检索，及时提示需要修订的条款，并通过审计作业平台推送至相关部门，近年来外规内化启动及时率由58%提升至90%。

通过对历年审计发现问题、整改效果、评价结果的机器学习，大语言模型能够持续优化内控风险的识别算法，使内控缺陷的认定标准更加贴合业务实际，也更能发现人工评价易忽略的隐性风险。同时，随着审计模型逐步推广使用，总、分行业务及合规管理部门可以通过大语言模型将内控评价结果与业务审查审批相关联，对存在高风险特征的业务及流程自动触发“强化审核”提示，有效降低了风险事件的发生概率，真正实现了内控工作从“成本中心”向“价值创造中心”的转型。