挂起不是终点。
上一集我们拦下了一笔账号变更后的高风险付款：小核挂起，老周回拨核实。行业里常见的下一幕是——采购来催「就这一单、客户等着」，有人手已经伸向「解冻」。我的判断就一句：谁有权解冻、凭什么解冻、解冻有没有留痕，决定拦截会不会变成人情口子。AI 可以建议，解冻必须是有权限的人。
[示意图] 付款单挂起红灯，一只手伸向「解冻」，老周按住，小核亮出权限清单（AI 生成插画，人物均为虚构）
挂起了，谁能点「解冻」
以下为虚构示例，人物和公司都是编的，用来把坑说清楚。
采购小李推开财务室门：「老周，那笔挂起的款能不能先放？供应商说晚一天就断货。」应付柜台上有人已经打开了那张单，手指悬在「解冻」上方。老周按住他的手腕：「谁有权点？证据呢？留痕了吗？」小核把权限清单推过来——这个账号没有解冻角色，按钮是灰的。
[示意图] 四格漫画：第 2 集挂起的付款单 → 采购求情快点放 → 有人差点一键解冻 → 老周拦住要双人确认
挂起 ≠ 拒付。它只是说：先别自动出账，等人看完再决定。上一集讲过，冒充供应商改账号时，三单仍可能全绿——据 AFP 2025 年付款欺诈调查新闻稿，冒充供应商欺诈占 45%。据 Insurance Journal 对阿灵顿镇案例的报道，美国市政一起商业邮件欺诈里，付款信息被换，损失约 44.6 万美元。这些数字说明「为什么要先挂起」；本集要问的是：挂起之后，那道闸还在不在。
知识点：例外放行与职责分离
系统里的「解冻」，落到内控语言上，接近「例外放行」——规则已经拦住了，有人要破例放行。
财政部等部门颁布的《企业内部控制基本规范》（财会〔2008〕7 号）里，几条和这件事直接相关。据 财政部法规库原文：
- 第二十九条：全面梳理业务流程中的不相容职务，实施分离措施，形成各司其职、各负其责、相互制约的工作机制。发起异常、维护主数据的人，和有权解冻放行的人，宜看成不相容。
- 第三十条：规范特别授权的范围、权限、程序和责任，严格控制特别授权；重大业务和事项实行集体决策审批或联签，任何个人不得单独决策。
- 第四十七条：妥善保存内部控制建立与实施过程中的相关记录，确保过程可验证——解冻要留下谁批、何时、凭什么证据。
规范没有写「解冻按钮」四个字。把例外放行当成特别授权来管，是本文对第三十条的引申，不是规范原文。写法上要透明：规范没有直接写「解冻必须双人」；按特别授权那套来管，更稳。
行业里常见的翻车，经常发生在挂起之后分权没落地：发现异常的人自己点解冻；主数据刚改完的人顺手放行；或者审批流名义上有第二人，实际可以自批。第二十八条把不相容职务分离、授权审批都列进控制措施——解冻权限名单要短、可查，而且要和「谁发起异常」「谁维护供应商银行账号」错开。
系统怎么管：解冻权限、双人确认、冷却与留痕
系统要管住的，重点落在三栏，而不是再加一句「注意风险」：
[示意图] 解冻角色、证据与回拨、审计留痕三栏对照（自绘）
| 谁有权 | 凭什么 | 留什么痕 |
|---|---|---|
| 解冻角色 ≠ 主数据维护人、≠ 付款申请人；名单短、可查 | 回拨旧电话、校验结果、变更函；变更后首笔强制人工 | 申请人、审批人、时间、证据附件、通过/驳回原因 |
公开建议也指向同一方向。据 JPMorgan Chase 的付款防欺诈最佳实践文（2022-06，美国语境），建议使用 dual payment authority，付款指令须两人审核；审批供应商信息的员工应与实际付款的员工分开。据 FNBO 关于双控防付款欺诈的文章（2023-08），常见做法是一人创建付款请求 → 自动发给有权审批人 → 有权人审核批准 → 银行执行，发起与审批分离。这两篇都是美国银行的公开建议，不是中国强制法条，但「发起/发现异常的人不宜独自解冻」这条，和国内不相容职务分离是同一类道理。
厂商侧也能对上号。据 SAP 知识库对敏感字段双控的说明，敏感字段被改后，该供应商账户对付款运行冻结，直至第二授权人确认或驳回。据 Oracle 文档，启用后银行账号新建、修改、设为默认等须审批才生效。正文只点名，不放厂商链接。
再补一个行业里常见的「冷却」做法：高风险解冻之后，短时间内不要允许同一供应商连续改账号再付——这是管控建议，不是某一家产品的功能名，别拿去对号入座。
落到配置上，三件事够用：① 解冻角色单独建，不跟主数据维护、付款申请共用；② 高风险挂起单强制第二人确认，口头催促进不了证据栏；③ 解冻或驳回都写审计日志，附件能挂回拨记录和变更函。据规范第四十七条，过程要可验证——抽查时能回答「谁、何时、凭什么」，这套才算站住。
哪些企业先别急着堆 AI 解冻助手？解冻角色和主数据维护还是同一个人的；口头一句「老板说了」就能放行、系统不记第二人的；审计日志查不到谁几点解冻过的。这三样不补，挂起只是多点一次鼠标。
AI 怎么帮：给理由、不给钥匙
再看虚构示例的另一种走法。
同一张挂起单，采购在催。小核弹出的是风险说明，不是「解冻」绿灯：户名与供应商法定名称不一致；属账号变更后首笔；建议回拨合同旧电话、提交有权人复核。无解冻权限的账号上，按钮一直是灰的。有权限的复核人打开证据清单，用旧号码回拨确认「未改账号」，点驳回——系统写下申请人、审批人、时间、证据附件、驳回原因。即便以后真要改账号并解冻，也必须第二人确认，且变更后首笔仍强制人工。
[示意图] 四格漫画：小核只给风险说明和建议 → 无权限账号解冻按钮为灰 → 有权限的人确认 → 系统写审计日志（AI 生成插画，虚构示例）
钉死三句：
- 小核只给理由和建议——风险说明、证据清单、建议驳回 / 回拨 / 提交有权人。
- 解冻按钮不给无权限的人——灰掉，点不了。
- 例外放行必须双人确认并留痕——有权限的人确认后，系统写审计日志；AI 自己不能点解冻，也不能清日志。
上一集说过：AI / 第三方校验给的是提示和挂起，不是替你拒付。这一集补半句：挂起之后，AI 也不替你放行。钥匙在人手里。
异常来了：人情解冻怎么拦、事后怎么查
[示意图] 例外放行闭环四步，每一步可抽查留痕（自绘）
人情解冻怎么拦：
- 无第二人确认，系统不可解冻——催促类邮件、口头「客户等着」都不算证据。
- 回拨用合同或主数据里已经有的电话，不用邮件里新给的号码（JPMorgan 同向建议；这也是内控常识）。
- 发起或发现异常的人，不宜独自解冻；与主数据维护、付款申请分权。
事后怎么查：按留痕抽查解冻单——谁批、是否双人、首笔是否人工、有无回拨记录。抽什么、怎么抽，可以接到下一篇方法论里的「解冻审计抽样」。
抽查时别只看「有没有解冻记录」。行业里常见的漏项是：第二人其实是申请人的下级；证据栏只有一句「业务催」没有回拨；变更后首笔仍走了自动付款。这三类一票就要打回流程，而不是再加一条培训 PPT。
适合认真上这套的企业：已经在挂起高风险付款、但放行还靠熟人一句话的中型企业；内控/审计想抽得动解冻单的。不适合现在就幻想「AI 挂起的单，AI 也可以一键解冻」的企业：解冻权限还没收口的；老板觉得双人确认太慢的——那是流程问题，不是模型问题。
上一集拦付错人，这一集守住「谁能把闸打开」。两道闸都要。挂起不是终点；有权限的人、凭证据、留得下痕，拦截才站得住。
