「解冻」必须写成特别授权：谁可申请、谁可批准、什么证据、留什么痕；清单不定，拦截就会变人情口子。
上午漫画第 3 集讲的是「为什么要拦」——挂起之后有人手伸向解冻，老周按住问三句。这篇把它落成可贴进制度的清单：常规审批 ≠ 例外放行；小核只给理由，钥匙不给无权限的人。
极简大字报：解冻必须写成特别授权——谁申请 · 谁批准 · 什么证据 · 留什么痕
先钉一句：解冻不是普通审批
行业里常见的情况是：付款拦截、主数据挂起已经上线，系统会把高风险单先停住；可一到「谁能点解冻」，还是靠口头人情——采购催一句、熟人一键放。拦截有了，口子也有了。
系统里的「解冻」，落到内控语言上，接近「例外放行」：规则已经拦住了，有人要破例放行。据 财政部法规库《企业内部控制基本规范》（财会〔2008〕7号）原文：
- 第二十九条：全面梳理业务流程中的不相容职务，实施分离措施，形成各司其职、各负其责、相互制约的工作机制。解冻申请与解冻批准，宜看成不相容。
- 第三十条：常规授权是日常经营管理按既定职责和程序的授权；特别授权是特殊情况、特定条件下的授权。规范要求编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权；重大业务和事项实行集体决策审批或联签，任何个人不得单独决策。
- 第四十七条：妥善保存内部控制建立与实施过程中的相关记录，确保过程可验证。
规范没有写「解冻按钮」四个字。把付款例外放行当成特别授权来管，是本文对第三十条的引申，不是规范原文。写法上要透明：常规审批走日常权限指引；解冻这种破例，范围、程序、责任事先写死，更稳。
适合谁先用这张清单？刚上过付款拦截、正在定例外放行规则的财务负责人、内控和应付会计。还不适合谁？解冻角色和主数据维护还是同一个人、口头一句「老板说了」就能放、审计日志查不到谁几点解冻过——这三样不补，先别谈 AI 解冻助手。
清单要写清的六件事
建议先把下面六件事钉进制度，再配进系统。每项都能挂上公开依据；冷却时长、抽查频率没有统一公开标准，写成企业自定参数，不要编行业基准。
- 例外放行六项清单：谁可申请、谁可批准、什么情形、什么证据、留什么痕、事后怎么查*
| # | 要写清的事 | 落点 | 依据 |
|---|---|---|---|
| 1 | 谁可申请 | 解冻申请人名单短、可查；通常不与主数据维护人「改完自己请」叠在同一人 | 基本规范第二十九条；应用指引第 18 号：不相容职责勿授同一用户 |
| 2 | 谁可批准 | 有权解冻角色；与申请人 / 发现异常的人 / 付款执行分离；重大金额联签 | 基本规范第三十条联签；应用指引第 6 号：不得一人办货币资金全过程 |
| 3 | 什么情形才允许例外 | 白名单：账号变更后首笔、户名不符、超容差、紧急付款等；超出清单走更高级审批或不放 | 基本规范第三十条「规范特别授权的范围」；资金活动：支付须附证明并严格授权 |
| 4 | 要交什么证据 | 用已知电话回拨记录、合同 / 主数据旧联系方式、银行校验或户名核对、变更函原件；催促邮件 / 口头不算 | JPMorgan、FNBO 公开建议：已知号码回拨，不用邮件里新号码 |
| 5 | 留什么痕 | 申请人、审批人、时间、证据附件、通过 / 驳回原因；系统操作日志可审计 | 基本规范第四十七条；应用指引第 18 号：操作日志、定期审阅账号 |
| 6 | 事后怎么查 | 按解冻单抽查：是否双人、证据是否合规、首笔是否人工、有无连续改账号再付；权限账号定期审阅 | 基本规范第四十四条至四十七条内部监督与可验证；应用指引第 18 号第十二条 |
据 财政部等《企业内部控制应用指引》合订本（财会〔2010〕11号配套，2010-04-15）：第 6 号——资金活动要求明确各环节职责权限和岗位分离，办理资金支付须附原始单据或证明、履行严格授权审批后方可支出，不得由一人办理货币资金全过程业务；第 18 号——信息系统要求避免将不相容职责的处理权限授予同一用户，设置操作日志确保可审计，定期审阅系统账号，禁止不相容职务用户账号交叉操作。
申请人 / 发现人不宜独自解冻，公开材料也指向同一方向。据 JPMorgan Chase《Fraud prevention: 8 best practices for payments staff》（2022-06，美国语境公开建议），建议使用 dual payment authority，付款指令须两人审核；审批供应商信息的员工应与实际付款的员工分开；变更支付指示须用已知电话回拨，不用邮件里的新号码。据 FNBO《Using Dual Control to Help Prevent Payment Fraud》（2023-08），常见做法是一人创建付款请求 → 自动发给有权审批人 → 有权人审核批准 → 银行执行，发起与审批分离。这两篇都是美国银行的公开建议，不是中国强制法条，但和国内不相容职务分离是同一类道理。
厂商侧也能对上号，正文只点名：据 SAP 知识库对敏感字段双控的说明，敏感字段被改后，该供应商账户对付款运行冻结，直至第二授权人确认或驳回；据 Oracle 文档，启用后银行账号新建、修改、设为默认等须审批才生效。
行业常见补强（建议，不是某一家功能名）：高风险解冻后设短时冷却，不可连续改收款账号再付——时长企业自定；解冻权人数可控，离职即收回。
- 申请人发起 → 证据过关 → 有权人确认 → 审计可查；AI 只给理由，不给钥匙*
和上午漫画第 3 集怎么对照着用
上午漫画讲为什么拦；本文给可贴进制度的清单。对照用法如下。
| 漫画（A） | 本清单（B） |
|---|---|
| 老周按住「谁有权？证据呢？留痕了吗？」 | 六件事里的 2 / 4 / 5 |
| 小核只给理由，不给钥匙 | 清单外：AI / 规则引擎可列证据与建议；解冻键只给有权角色 |
| 双人确认拦住人情 | 第 2 项：申请人 ≠ 批准人；系统强制第二人 |
| 三栏：谁有权 / 凭什么 / 留什么痕 | 拆成六项可落地制度条款 |
总编上午钉死的三句，这里原样承过来：小核只给理由和建议；解冻按钮不给无权限的人；例外放行必须双人确认并留痕。为什么例外要清单化？据 AFP 2025 年付款欺诈调查新闻稿，冒充供应商改账号仍是常见套路——挂起之后若靠人情一键放，拦截等于白装。
落地检查表
把这张表带到制度评审会或系统配置验收会上，逐条打勾。有一项没勾，拦截仍可能变人情口子。
七项落地检查：特别授权口径、申请人≠批准人、例外白名单、证据含回拨、每笔可查、事后抽查、AI 不给钥匙
- 制度里写明：解冻 / 例外放行按特别授权管（并注明是对第三十条的引申）
- 申请人名单与批准人名单分开，且都不等于「谁发现谁放行」
- 例外情形有白名单；白名单外走升级审批
- 证据清单含「已知电话回拨」；禁止用邮件内新号码当唯一依据
- 每笔解冻有申请人、审批人、时间、证据、结论的系统留痕
- 内审 / 财务按企业自定频率抽查解冻单；系统账号定期审阅
- AI 只输出理由与建议，不解冻、不绕过第二人、不清日志
我的建议是：先把六件事写进一页制度，再让系统把「第二人」和「证据栏」做成硬门槛——口头催促进不了证据栏，无解冻角色的账号上看不到绿灯。冷却多久、每月抽几单，没有公开行业基准，按你们的风险偏好自己定，但要写进制度、真去查。
回到开头那句判断：清单不定，拦截就变人情口子。上午漫画让人看清「为什么要拦」；这张特别授权清单，是把「谁能放、凭什么放、放完怎么查」钉死的那一页纸。
