概览
合规体系会不断累积控制措施。每一条都是因为某个真实理由而设立、写进政策、指定了责任人和执行频率，然后就被搁在那里。没有人去删掉它，因为删掉一条控制措施意味着要解释它为什么不必要——那比留着它更难。台账年年变长，而执行它们的人力并没有。
接下来的事完全可以预料。责任人已经离职的控制措施。执行了却从未留下证据的控制措施，而当审计师问起时，那与没执行毫无区别。按季度要求的控制措施一年只做两次。要求独立复核的控制措施，复核人却正是做这项工作的人——正是这种职责分离失效，把一条控制措施变成一张纸。还有在截止日期前成批签署的确认，那是一次签名，不是一次检查。
最危险的一种，是那条谁也没有在执行的、已写入文件的控制措施，因为组织以为某个风险已被覆盖，而实际上没有。没有文件记录的缺口，至少还是已知的。
这个智能体把台账与实际发生的事对照着读，并报告哪些风险只在纸面上被覆盖。它绝不断言某条控制措施是有效的——那是一项需要证据、并由一个签下自己名字的人来承担的判断。
价值
你知道哪些风险真的被覆盖了
而不是知道哪些风险有一份政策。
先于审计师的发现
以及一份你站得住脚的台账。
删减控制措施的依据
那些没人执行、也没人会想念的条目。
功能说明
找出只存在于纸面上的控制措施
危险的那一种。组织以为某个风险被覆盖而实际没有，而没有文件记录的缺口至少还是已知的。
把「执行了」与「留下证据了」分开
一条执行了却从未留下证据的控制措施，被问起时与从未执行毫无区别。
抓住自我复核
由做这项工作的人来做的所谓独立检查。控制措施存在，却什么也没做。
识别成批确认
截止日期前一分钟内签下四十条，那是一次签名，不是一次检查。
找出无主的控制措施
责任人已经离职。没人会注意到，因为一条没有责任人的控制措施不会引来任何抱怨。
不断言任何有效性
一条控制措施是否奏效，是有人签下名字的判断。它报告的是做了什么。
这会改变什么
这会如何改变你的一周
- 它接手的工作
- 检查已写入文件的控制措施是否真的被执行并留下了证据。
- 目前由谁完成
- 由确认签署来代替，而那是一次签名而不是一次检查。
- 多久一次
- 每季度，在截止日期前。
- 通常的人工投入
- 每一条控制措施都要与执行记录、责任人和独立性要求逐一核对。
为什么偏偏是合规与风险。一条写在文件里却没人执行的控制措施，比没有控制措施更糟，因为组织以为某个风险被覆盖了。而没有文件记录的缺口，至少还是已知的。
无人值守运行
由你或某个事件启动，然后自行完成。没有什么需要等人坐到工位前。
每一次都是同一标准
第两百件与第一件用同一把尺子衡量。一致性正是人做不到长期保持的部分。
它无法自行采取行动
控制确认代理 没有任何发送、支出或承诺的途径。正是这个限制，让依据它的输出行动是安全的。
运行方式
该智能体通过 PROMIVO 运行时在服务器端运行。每次运行都会逐步记录，每次工具调用在执行前都会进行权限检查。
- 1输入按智能体的输入结构进行校验
- 2模型claude-opus-5，并自动回退
- 3工具search_knowledge, extract_structured_data
- 4权限自动执行 READ 级操作；更高的等待你批准
- 5输出符合输出结构的结构化结果
- 6日志记录 token、耗时和每一个步骤
演示
演示数据Illustrative sample output, abridged.
输入
{
"period": "H1 2026",
"controls": []
}输出
{
"escalate": true,
"disclaimer": "A review of the control register against performance records. Nothing has been signed, attested, approved or performed; no control is stated to be effective; no compliance determination is made; and no individual is assessed.",
"onPaperOnly": [
{
"control": "CTL-118 — Quarterly review of privileged access",
"riskRating": "High",
"riskAddressed": "Unauthorised access to production systems"
}
],
"bulkAttestation": [
"41 attestations were signed within 90 seconds on the final day of the quarter. That is a signature rather than a check, and it is a process finding rather than one about anybody."
],
"escalationReason": "A control mapped to a High risk has no performance record, a control requiring independence was self-reviewed six times, and three controls are owned by people who have left.",
"orphanedControls": [
"Three controls are owned by two people who left in March. Nobody noticed, because a control with no owner produces no complaints."
],
"candidatesForReview": [
"CTL-402 has been performed 24 times over three years and raised no finding. Worth asking whether it addresses a live risk — a design question, not a recommendation to remove it."
],
"frequencyShortfalls": [
{
"control": "CTL-090 — Quarterly reconciliation review",
"required": 2,
"performed": 1
}
],
"independenceFailures": [
"CTL-311 requires review by someone other than the preparer. All 6 performances were prepared and reviewed by the same person. The control exists and does nothing."
],
"performedNotEvidenced": [
"CTL-204 was performed 6 times with no evidence attached to any. To an auditor that is identical to never having been performed."
],
"risksCoveredOnlyOnPaper": [
"Unauthorised access to production systems is rated High and its only control has no performance record this period. The organisation believes this is covered."
]
}使用条件
集成
无需集成。
开始之前
- 控制措施台账：措施、责任人、频率、独立性要求
- 执行记录，含日期和执行人
- 确认签署记录，含时间戳
- 当前员工名单
- 需要 全量访问 套餐或更高
使用场景
季度控制措施复核
执行了什么、留下了什么证据、由谁做的。
审计之前
复核人会拿来开场的那些缺口。
重组之后
哪些控制措施在调整中失去了责任人。
精简台账
哪些控制措施配得上自己的位置。
价格
常见问题
它会判定控制措施是否有效吗？
不会。有效性是一项由签名者承担责任的判断。这个智能体报告的是某条控制措施是否被执行、是否留下证据、是否由独立的人完成——也就是作出判断所需要的事实。
它会执行或签核控制措施吗？
绝不。它不签署任何东西、不作任何确认、不关闭任何条目。一条由智能体签署的控制措施不是控制措施。
它会评判个人吗？
不会。它报告的是控制措施层面的发现。当某种模式集中在一位责任人身上时，它会把它作为人力或设计问题来报告，因为一个人身上挂着四十条控制措施，是台账的问题，不是个人的问题。
评价
客户运行过该智能体后，评价功能将开放。
需要这个智能体换一种做法？
告诉我们要改什么，我们的团队会为您的业务规划一个定制版本。
定制此智能体