2026 年以来，围绕中央企业穿透式监管，国务院国资委连续释放出清晰的政策信号。

《关于推动中央企业加快财务数智化转型升级的指导意见》（国资发监督规〔2026〕1号）重点解决数据底座问题，要求推动业务在线、统一数据标准、建设全域数字化资源管理平台；

《关于加强中央企业穿透式监管的指导意见（试行）》（国资发监督规〔2026〕2号）进一步把建设重点从数据贯通推向监管能力，强调全级次、全链条、全过程、全要素监管；

《关于做好2026年中央企业内部控制体系建设与监督工作有关事项的通知》（国资厅监督〔2026〕15号，以下简称“15号文”），则把穿透式监管要求嵌入年度内控体系建设与监督工作。

从政策脉络看，财务数智化和 DRP 建设解决的是企业内部数据能不能采集、标准化和贯通；穿透式监管进一步追问的是，这些数据能不能支持风险识别，能不能被外部证据校验，能不能形成可核查、可整改、可追责的线索。15 号文正是在这个交界处，把数据底座建设和内控有效性评价连接起来。

如果说前两个文件更多是在定义“穿透式监管要建成什么样”，那么 15 号文更像是在回答“央企今年要如何开始接受能力检验”。它没有停留在原则层面，而是把穿透式监管与内控有效性评价、信息系统穿透性测试、重点领域规则模型、问题台账和风险全息画像、监督评价结果运用等机制连接起来。

这意味着，央企内控评价的底层逻辑正在发生变化。过去，内控评价更多围绕制度是否健全、流程是否执行、授权是否清晰、抽样是否发现缺陷展开。15 号文之后，企业还要回答：数据能否自动采集和贯通，重点风险能否被模型识别，问题线索能否形成台账、派单、核查、整改和问责闭环。

从这个意义上看，15 号文不是普通年度工作通知。它把“穿透式监管能力”纳入内控有效性判断，把“信息系统穿透性测试”纳入年度监督重点，把“规则模型、问题台账和风险全息画像”纳入重点领域监管，把监督评价结果与授权、考核、干部管理和责任追究连接起来。对大型央企而言，内控评价正在从“证明有制度”转向“证明有能力”。

如需了解“央企内控评价”详情，欢迎关注百望研究院发布的《央企穿透式监管风险洞察能力建设白皮书》。以下是白皮书提到的，15号文后，央企内容评价涉及的七大关键变化：

一、评价标尺变了：不只看制度，更要看穿透能力

传统内控评价首先看制度体系：有没有制度，制度是否覆盖关键流程，岗位职责是否分离，审批权限是否匹配，控制点是否执行。这些仍然重要，但已经不足以支撑穿透式监管背景下的内控有效性判断。

15 号文提出，要将实现智能化穿透式监管作为衡量和评估内控体系有效性的重要依据，并围绕体制机制、监管系统、监督追责、制度体系等方面推进建设。这里的重点，是把内控有效性从制度文本和流程节点，扩展到治理体系、数据体系、系统体系、模型体系和责任体系。

这会带来三层变化。第一，集团总部要证明风险管理责任能够穿透，党委党组、董事会、经营层、内控、财务、审计、纪检、法务和业务部门之间，不能只是各有制度，还要形成协同运行的职责链条。第二，企业要证明管理数据能够穿透，采购、合同、财务、资金、产权、投资、薪酬、金融、境外等重点领域，不能长期依赖下级报送和人工汇总。第三，监督评价要证明问题处置能够穿透，发现线索之后，能否分级派单、组织核查、沉淀证据、跟踪整改、验收销号、反哺制度和追究责任，将成为评价有效性的核心。

因此，15 号文之后，内控评价不再只问“制度有没有覆盖”，而要问“制度是否已经变成可执行的系统规则、数据字段、模型阈值、控制节点和责任链条”。

二、测试对象变了：不只抽样流程，更要测系统穿透

15 号文提出，要把智能化穿透式监管作为衡量和评估内控体系有效性的重要依据，开展信息系统穿透性测试。放在“全级次、全链条、全过程、全要素”的监管目标下看，这项测试并不是简单检查系统有没有上线，而是检查系统能否支撑风险识别、证据复核和问题闭环。

这意味着，内控评价将不再满足于抽取若干合同、凭证、审批单和项目资料来判断流程是否执行，而会进一步测试信息系统是否具备穿透监管条件。传统抽样检查有其价值，但面对大型央企多级法人、多业务板块、多系统并存和海量交易，抽样天然存在覆盖不足。尤其在虚假贸易、违规挂靠、靠企吃企、资金空转、金融风险、境外经营等复杂场景中，单笔样本往往无法还原完整业务链条。

系统穿透性测试关注的是另一组问题：下属单位是否全级次纳入数据采集，关键业务是否在线运行，同一主体、项目、合同、订单、发票、付款、资产在不同系统中能否被关联，采购、资金、合同、财务、产权、投资等数据能否横向联动，总部能否从集团层面向下穿透到业务发生端，系统能否及时发现异常交易、违规问题和风险隐患。

过去系统建设可以按部门、条线分别推进，满足各自业务管理需要即可。现在，系统之间能否支撑监管穿透，开始成为内控缺陷评估的一部分。一个单位如果系统很多，但主数据不统一、接口不稳定、编码不一致、历史数据不可追溯，就可能在穿透性测试中暴露出管理缺陷。

三、控制方法变了：从流程控制走向规则模型

15 号文要求构建重点领域内控监管规则模型，常态化形成问题台账和风险“全息画像”。这意味着，企业需要围绕巡视、审计关注重点和突出问题，梳理业务风险场景，细化违规情形，设置分级预警阈值，推进规则模型迭代和功能评估。

这把模型建设从技术探索变成了年度内控建设任务。过去的内控控制点，更多表现为审批、复核、授权、对账、备案、报告等流程动作，解决的是业务是否按程序运行。但穿透式监管更关注业务实质：流程合规不等于风险不存在，凭证齐全不等于交易真实，合同完整不等于责任安排合理。

规则模型的作用，是把制度要求转化为可计算、可解释、可持续运行的识别逻辑。采购领域不仅要看是否完成招采流程，还要看供应商是否异常集中、是否频繁新设后承接大额业务、是否存在异常关联、价格是否偏离、交易品类与经营范围是否匹配。资金领域不仅要看付款审批是否合规，还要看资金流向、循环路径、异常拆借、担保风险和长期挂账。费用领域不仅要看报销单据是否齐全，还要看发生时间、消费品类、发生频次、节假日集中度和供应商特征。

这类模型不可能依靠单一字段完成判断。越是复杂风险，越需要将内部流程、财务、资金、合同、主体信息和外部证据放在同一风险场景下组织起来。模型也不能只追求“触发预警”，还要回答为什么触发、证据来自哪里、需要核查什么、风险等级如何确定。

四、证据形态变了：从报告材料走向风险全息画像

15 号文强调常态化筛查形成问题台账和风险“全息画像”。这意味着，内控评价所需证据正在从年度报告、检查底稿和整改清单，扩展为可持续更新的风险画像。

风险画像不是孤立记录某一次检查发现，而是围绕主体、项目、合同、供应商、客户、资金、票据、境外机构等对象，持续沉淀其风险特征和证据变化。一个供应商是否异常，不只取决于某一笔交易，而取决于它在不同单位、不同时间、不同品类、不同项目中的交易行为，以及外部经营状态、关联关系和风险信息。一个项目是否异常，也不只取决于预算执行率，而取决于投资决策、合同安排、资金支付、进度变化、收益实现和合作方履约等多维证据。

这会推动内控评价从“事后材料型”走向“过程证据型”。评价人员不再只是看下属单位提交了什么材料，还要看系统是否记录了完整的数据来源、识别规则、预警时间、核查过程、整改证据和销号依据。问题台账也不再只是表格，而应成为连接风险识别、业务核查、监督评价和责任追究的管理对象。

五、评价节奏变了：从年度检查走向持续监测

15 号文提出系统谋划 2026-2028 年集团监督评价三年全覆盖，并将监督评价结果与授权、考核、干部管理和责任追究相衔接。

这意味着，内控评价正在从单一年度动作转向持续监测和分层评价。过去，内控评价常常是年初制定计划、年中现场测试、年底形成报告。穿透式监管场景下，数据持续采集、模型持续运行、风险持续预警、整改持续跟踪，评价本身也会更接近动态治理。

更重要的是，评价结果的治理权重提高了。评价结果不再只是年度报告中的结论，而会进入授权、考核、干部管理和责任追究等治理安排。穿透式监管对内控评价的影响，不只是多了一套系统指标，而是改变集团总部管理下属企业的方式。

六、监管范围变了：境外业务不能简单复制境内经验

15 号文将境外单位内控和风险防控纳入年度监督重点。白皮书也提示，境外经营、重大项目和关键供应链场景中，很多数据受区域法规、业务链条和合作模式影响，不能简单照搬境内模型，而要结合境内配套交易、境内供应商风险、服务类凭证、关键合作方状态、外部风险变化和供应链稳定性信号，形成辅助识别线索。

这说明境外业务已经成为穿透式监管的重要难点。境外穿透不能简单复制境内系统逻辑。不同国家和地区对财务数据、人员数据、交易数据、跨境传输有不同限制，境外数据不一定能完整回传境内系统；境外业务涉及当地合同、税务、银行、物流、代理商、合作方和监管规则，仅凭境内总部系统很难判断交易合理性；境外主体还可能存在合资、参股、代理、项目公司、特殊目的载体等复杂安排，责任穿透需要更充分的证据和更谨慎的法律判断。

因此，境外内控评价不能只问“有没有纳入集团系统”，还要问“哪些数据可以合法采集、哪些风险可以线上识别、哪些事项需要线下核查、哪些证据可以支撑问责”。这对企业的数据治理、模型设计和跨境合规能力都提出了更高要求。

七、结果运用变了：整改、评价、问责开始联动

15 号文对监督评价成果运用提出了明确要求：一般缺陷问题要精准派单、整改整治；重大违规问题要提级查办问责；涉嫌违纪违法问题要移送纪检监察机构或司法机关。

这意味着内控评价的闭环链条正在变长。过去，很多内控评价工作以“发现问题、提出整改建议、跟踪整改完成”为主要终点。穿透式监管要求下，问题发现只是起点，后续还要进入分级处置：一般问题形成派单和整改，共性问题推动制度完善和流程优化，重大违规问题提级查办问责，涉嫌违纪违法问题移送相关机构，典型案例开展警示教育，评价结果反哺授权、考核和干部管理。

这要求系统不仅能发现异常，还要能沉淀证据、记录过程、跟踪整改、支撑复盘。内控评价材料也需要从“报告型材料”升级为“可追溯证据体系”：数据来源、识别逻辑、风险分级、核查记录、整改证明、责任认定，都要尽可能标准化、留痕化。

央企内控评价，真正进入能力验证阶段

总体来看，15 号文之后，央企内控评价正在出现几类实质变化：评价标尺从制度完备性转向穿透监管能力，测试对象从抽样流程转向系统穿透性，控制方法从流程节点转向规则模型，证据形态从报告材料转向风险全息画像，评价节奏从年度检查转向持续监测，监管范围从境内经验复制转向境外差异化穿透，结果运用从整改建议转向评价、整改和问责联动。

这轮变化的本质，是内控评价从“合规证明”进入“能力验证”。企业不仅要证明自己有制度、有流程、有系统，还要证明数据能够贯通、模型能够识别、证据能够解释、线索能够核查、问题能够整改、责任能够落实。

对大型央企集团而言，这不会一蹴而就。真正困难的地方，不只是建设一个监管系统，而是把分散的数据、复杂的业务、不同层级的责任、长期积累的制度和流程，转化为能够被持续监测、模型识别、证据复核、整改闭环的治理能力。只有当风险能够在数据中被及时发现、在证据中被清晰解释、在流程中被有效处置，穿透式监管才会真正改变内控评价的质量。

如需了解详情，扫码下载

《央企穿透式监管风险洞察能力建设白皮书》