# 流程文件审核框架

按本框架逐项检查，但只输出有证据支持、对实际执行有意义的发现。不要为了凑齐维度制造问题。

## 1. 流程结构与文件治理

- 是否说明目的、适用范围、流程边界、触发条件、起点、终点和不适用情形。
- 是否包含术语定义、依据文件、版本号、生效日期、所有者、批准人和修订记录。
- 章节、条款、步骤、表单、附件和流程图的编号及引用是否完整、一致、可访问。
- 上下位制度、相关流程和废止版本之间是否冲突。
- 正常路径、例外路径、撤回/终止路径和恢复路径是否齐全。
- 流程颗粒度是否适合执行，是否存在跳步、循环不明、死节点或无出口判断。

## 2. 角色、职责、权限与制衡

- 每一步是否存在唯一或明确的主责角色，协作、审核、审批、知会角色是否区分。
- 发起、执行、复核、审批、付款/记账、系统配置、监督等不相容职责是否适当分离。
- 是否说明授权范围、审批权限、金额/风险阈值和越级审批条件。
- 代理、转授权、离岗交接、轮岗、临时权限和权限回收是否受控。
- 跨部门交接责任、争议裁决人、升级对象和最终流程所有者是否明确。
- 角色名称是否与组织现实、系统角色和流程图泳道一致。

## 3. 输入、输出、交接与记录

- 每一步所需输入的来源、格式、必填字段、质量标准和完整性校验是否明确。
- 输入不完整、错误、重复、过期或不合规时如何处理。
- 输出物、模板、系统记录、签批记录和通知对象是否明确。
- 上一步输出是否能作为下一步可用输入，交接是否有接收确认和状态反馈。
- 数据口径、命名、编号、版本和主数据来源是否统一。
- 记录保存位置、保存期限、访问权限、证据完整性和销毁规则是否明确。

## 4. 关键控制点与异常处理

- 是否识别关键风险节点，并配置预防性或发现性控制。
- 复核/审批是否有明确审查内容，而不是只有形式签字。
- 控制执行者、频率、阈值、抽样规则、证据、失败处置和监督责任是否明确。
- 是否防止重复提交、重复审批、重复支付、越权操作和未经授权的变更。
- 系统自动控制是否说明规则、配置责任、日志、告警和人工兜底。
- 退回、驳回、撤回、取消、超时、系统故障、数据异常和紧急情形是否有处理路径。
- 是否设置升级条件、升级对象、响应时限、恢复要求和事后复盘。

## 5. 风险、合规与内控

- 是否覆盖与业务相关的法律监管、合同义务、行业规范和内部政策。
- 是否识别舞弊、利益冲突、商业贿赂、关联交易、资产侵占等风险。
- 是否贯彻最小权限、必要知悉、授权留痕和定期权限复核。
- 个人信息、商业秘密、财务数据等敏感信息是否有收集、使用、传输、共享、保存和删除控制。
- 是否涉及安全生产、产品质量、环保、税务、反洗钱、出口管制等专项要求；适用性不明时标为待确认。
- 是否保持审计轨迹，能够还原谁在何时依据什么信息作出何种决定。
- 是否有合规例外的申请、批准、登记、期限、补救和复审机制。

## 6. 指标、时限、监控与闭环

- 每个关键环节是否有处理时限、服务水平或完成标准。
- 是否定义能反映效率、质量、风险和客户结果的指标，避免只统计工作量。
- 指标是否包含名称、定义、计算口径、数据源、频率、目标/阈值和责任人。
- 超时、超阈值或控制失败是否自动/人工预警，是否明确跟进责任和完成期限。
- 问题是否形成“发现—登记—分析—整改—验证—关闭—复盘”的闭环。
- 是否开展定期复审，依据事件、审计、投诉、指标或法规变化触发流程更新。

## 7. 一致性、可执行性与持续改进

- 正文、流程图、RACI、表单、系统字段、岗位说明和培训材料是否一致。
- 使用者能否仅凭文件完成任务，关键动作是否包含操作对象、方法和完成标准。
- 是否存在模糊词，如“及时”“必要时”“相关人员”“按规定”，但没有具体定义。
- 控制成本是否与风险匹配，是否存在重复审批、无效流转或可合理自动化的人工步骤。
- 是否考虑业务量峰值、跨时区、节假日、远程办公、外部参与方和系统不可用情形。
- 变更是否经过影响评估、试运行、培训、通知、生效确认和旧版回收。

## 证据与问题写法

### 证据等级

1. **直接证据**：条款、步骤、表格字段或流程图节点明确写明。
2. **交叉证据**：不同章节或附件之间存在冲突、断点或不一致。
3. **缺失证据**：在应出现的范围内未发现必要规定；写清检索范围和应有内容。
4. **外部依据**：法律、监管、合同或上位制度要求；注明来源、适用性和时点。

### 问题表达公式

`在何处 + 存在何种缺陷 + 导致何种风险/执行后果 + 应如何修改`

示例：

> 4.2 条仅规定业务人员提交付款申请，未要求提供验收证明，也未说明财务复核要点，可能导致未验收即付款。建议将验收记录设为必备输入，由业务负责人确认交付、财务复核合同与发票一致性，并在系统中保留复核日志。

避免仅写“职责不清”“流程不完善”“建议加强管理”等无法执行的结论。

## 优化设计规则

- 每一项重大风险至少对应一个明确控制点。
- 每个控制点至少包含控制目标、执行角色、动作、时点/频率、判定标准、证据和失败处置。
- 每次交接至少明确交付物、发送方、接收方、完成条件和状态反馈。
- 每条异常路径最终进入恢复、终止、升级或复盘之一，不留下悬空状态。
- 每项指标都能关联到流程目标或主要风险，并明确超阈值后的动作。
- 优先简化、合并或自动化低价值步骤；新增审批必须有明确风险依据。
