pwc -金融机构人工智能安全开发应用：“8号文”解读与可信AI治理白皮书 2026

PWC2026年09月12026年6月18日，国家金融监督管理总局为落实《国务院关于深入实施“人工智能+”行动的意见》，推动数字金融高质量发展，有序推进人工智能科技创新与金融业务深度融合，引导金融领域人工智能应用朝着有益、安全、公平方向健康有序发展，发布了《关于银行业保险业人工智能安全开发应用的指导意见》（金发〔2026〕8号，以下简称《指导意见》或“8号文”其从治理架构、开发应用、数据治理、算力建设、风险治理等七方面提出32项意见，为银行保险等机构2026年6月，普华永道被第三方权威评测机构Forrester评为人工智能咨询服务领域全球“领导者”。我们致力于成为金融机构“人工智能+”转型的推动者和共创者，提供从人工智能战略规划、人工智能治理到智能体开发的端到端服务。过去3年来，我们积累了30余个人工智能专项项目案例，覆盖人工智能战略规划、治理设计、架构设计、场景挖掘、知识加工、模型管理、模型测评、智能体开发、伴生风险管理、AI安全管理，以及特定领域的智能转型规划，如智能合规、智能在金融行业，我们已为多家领先商业银行、保险公司等机构实施了人工智能战略规划、人工智能治理设计、人工智能模型管理、人工智能架构设计、人工智能风险管理和人工智能开发等服务。本次为积极响应《指导意见》的监管要求，普华永道深度融合自身在人工智能领域的专业研究积淀与项目实战经验，创新提出“金融机构可信AI治理”方法和“1+两横三纵”框架，旨在帮助建立健全AI安全第一部分：政策解读一、总体要求二、人工智能治理架构三、人工智能开发应用六、人工智能风险治理八、问责处罚一、金融机构可信人工智能治理框架二、金融机构人工智能风险管理框架一、金融机构AI治理二、金融机构AI风险管理第四部分：未来展望一、总体要求以习近平新时代中国特色社会主义思想为指导，完整准确全面贯彻新发展理念，坚持防风险、强监管、促高质量发展的工作主线，统筹发展和安全，加快培育发展金融行业新质生产力，推动人工智能应用合规、透明、可信赖，加强分类分级管理，有效应对人工智能发展带来的风险挑战，更好服务实体经济和满足人民群坚持谁使用谁负责，压实金融机构作为金融服务提供方、人工智能技术使用方的主体责任，强化金融机构内部各环节工作责任落实，明确人工智能开发应用各方坚持自主可控，持续提升人工智能相关技术、设备自主可控水平，提高对业务经营发展有重大影响的关键平台、关键软硬件的自主研发能力，加强信息技术应用坚持务实高效，以提升业务价值为导向，科学规划人工智能开发应用投入，有效平衡成本与效益，推动人工智能切实服务经坚持安全发展，严格落实国家网络安全和信息化工作要求，遵守网络安全、数据安全各项法律法规制度，强化技术安全和应用安全保障，全面提升安全防护和应02.03.上述总体要求回应了国家对金融科技安全的宏观关切，也为金融机构在AI时代如何“敢用、会用、善用”人工智能提供了清晰的实践路径。其核心内涵可以分解一是责任内涵。核心观点是确立“谁使用谁负责”的核心原则，明确金融机构作为服务提供方和技术使用方的双重主体责任，无论技术来源如何均需对应用后果二是可控内涵。核心观点是坚持自主可控和信创适配，强调对业务有重大影响的关键平台、软硬件必须具备自主研发能力，防止核心技术“卡脖子”带来的三是发展内涵。核心观点是要统筹发展与安全，锚定金融AI价值导向。金融机构既要把AI视为培育新质生产力、服务实体经济的战略引擎，又明确“合规、透四是安全内涵。核心观点是安全应视为AI应用不可逾越的红线与底线，这不仅强一是需要重塑治理架构，打破少数部门“单打独斗”的局面，将AI的责任内化为法人治理的一种基本要素，将AI治理纳入董事会和高级管理层的二是需要重塑技术能力，在发展AI技术的同时将自主可靠和安全合规作为目标原则，嵌入到AI全生命周期流程，防止盲目追求技术领先性。三是需要重塑价值标准，平衡技术、安全、效益的关系，树立务实的AI应用理行动建议建议金融机构一方面完善顶层设计，健全治理体系，压实各主体的责任链条，聚焦安全合规、自主可控、价值创造，强化考核问责；另一方面评估核心能力短板，采取措施夯实技术根基，深化信创适配验证，确保AI“可用、好用”。二、人工智能治理架构（一）加强人工智能安全开发应用治理。开发应用人工智能的银行业保险业金融机构（以下简称金融机构董（会应指定专门委员会对人工智能开发应用管理负责，统筹制定发展规划，推进能力体系建设，制定制度规范，明确牵头部门和跨业务、科技、数据职能部门的协同机制，加强人才队伍建设，遵循技术发展客观规律，确保人工智能应用与金融（二）建立人工智能应用管理体系。维护迭代、评估退出的全生命周期管理体系，规范模型研发、应用及资产管理，加强数据安全评估、算法风险筛查、伦理审查评估、责任追溯机制建设，实施人工智能应用风险分类分级管理。探索建立业务价值导向的人工智能应用绩效评估（三）加强人工智能应用场景和业务流程管理。金融机构应按照应用场景与技术适配原则，加强人工智能算法评估，将合适的人工智能技术应用于适当的业务场景。推动人工智能在服务实体经济、加强金融风02.03.上述三条规则是监管为银行保险机构划定的AI治理核心框架，逻辑是平衡AI创新与金融安全，将AI技术全面纳入金融审慎监管范畴，构建“责任主体明确、全流程覆盖、场景应用合规”的治理体系。其核心内涵可以第（一）条解决“谁来管”的问题。明确AI治理不属于少数部门的零散工作，而是应该上升到公司治理层面，责任上移至董（理）事会，从顶层确保AI开发和应第（二）条解决“管什么”的问题。打破此前AI应用“重上线、轻运营、无退出”的粗放管理模式，要求管控覆盖需求、开发、运行、迭代、退出的全生命第（三）条解决“怎么用”的问题。明确AI应用要坚持场景适配、价值导向，既要引导AI向服务实体经济、防控金融风险的领域倾斜，也要划清人机责任边界，避免“算法黑箱”衍生监管套利、损害消费一是AI不再是科技部门的单项工作，而是需要董事会统筹、全机构协同的公司级二是需认识到AI风险是全链条风险，数据偏见、算法失效、伦理失范等问题可能三是不能“唯技术论”，不能追求“炫技式AI”，明确AI术，技术先进性不是唯一标准，必须和场景风险等级适配，不能以“算法自主决策”为由推诿责任，不能为了“数智化业绩”滥上无效项行动建议一是快速搭建顶层治理架构，落实主体责任。董事会尽快确定专门委员会作为AI管理的最高责任主体，明确AI管理牵头部门，出台AI管理专项制度，全面盘点本机构已上线、在研的所有AI应用，绘制AI应用地图，结合自身风控能力制定AI发二是建立全生命周期AI管控体系。梳理和设计全流程管控节点，配套核心管理机制和手段，如分级分类、前置审核、风险筛查、动态监测、压力测试、绩效评估三是强化应用场景和业务流程管理。建立AI场景准入评估机制，开展技术适配论证；完善人机协同管理规则，科学划定AI的功能边界和权限；定期开展AI应用风险排查；提升全机构AI风险认知水平，形成长效管理能力。三、人工智能开发应用鼓励有条件的金融机构建立一站式人工智能开发平台，实现模型开发部署全流程管理。加强面向业务人员的低代码开发、交互式模型验证能力建设。完善人工智能测评体系，建设测试工具链、测评指标和测试用例集，全面评估模型的基础能力、金融业务支持能力、安全可靠性，提高自动化测评能力。（五）推动新一代人工智能技术应用。支持金融机构在风险可控的前提下，推进生成式人工智能技术的业能力体系建设，稳妥探索人工智能技术研发和金融智能体建设。金融机构对式人工智能模型要实施准入管理，评估模型效能及安全合规性。外部引入的（六）加强人工智能运营服务体系建设。定期开展对模型效能的测评分析，构建数据闭环反馈机制，形成“数据—模型—应（七）促进行业人工智能应用生态建设。推进人工智能金融行业应用基础设施建设，促进人工智能应用成果在行业共享复用。鼓励大型金融机构发挥示范作用，向中小金融机构输出人工智能技术和管理经验。支持中小金融机构加强协作，共同推进应用场景落地。鼓励与人工智能产02.03.如果说第一部分是“治理、风控”视角的“守底线”逻辑，那此部分四条规则则是具有“鼓励、支持”元素的“敢上路”逻辑。这样处理的目的是为银行业保险业AI落地明确可行路径、划清创新边界、降低应用成本，本质是在安全可控的前提下，系统性地推动AI技术在金融领域的规模化、规范化落地。其核心内涵可以第（四）条解决“怎么降低AI落地门槛”的问题。引导机构通过建立开发平台和测试工具，打破AI技术仅能由科技部门主导的壁垒，让业务人员也能参与AI落地项目，同时通过统一测评体系从研发端把好质量第（五）条解决“新兴技术怎么用”的问题。明确生成式AI、智能体等新技术不是监管禁区，支持机构在风险可控的前提下进行探索。同时，划清合规红线：针对AI模型要做准入评估，外部引入的必须完成网信部门备案，避免前沿技术无序第（六）条解决“怎么提高AI效能”的问题。纠正部分机构“重建设、轻运营”、“烟囱式重复开发”的问题，要求机构建立长效运营、迭代、共享机制，第（七）条解决“行业怎么协同降本”的问题。打破机构各自为战的格局，推动行业基础设施共建、成果共享，通过大机构带中小机构、产融协同的模式，降低全行业的AI应用成本，实现AI成果普惠共享。一是AI建设要走集约化、平台化路线，不能搞零散的竖井式项目，优先搭建统一二是新兴技术创新虽然有明确的合规边界，但是不必“不敢用”，也不能“盲目三是AI价值落地要靠长效运营，不能“上线即完工”、“投产即成功”，只有建立持续迭代、科学评价、闭环优化的运营机制，才能真正实现AI的业务价值，并四是不同规模机构可以走差异化的AI建设路线，不是所有机构都需要全栈自研，一是根据自身情况按需搭建研发与测评体系。有研发能力的大中型机构加快搭建一站式AI开发平台，配套面向业务人员的低代码开发、可视化验证工具；能力较弱的中小机构可直接采购行业成熟的开发、测评工具，或依托合作方的标准化工三是建立健全AI运营服务体系。建立模型常态化运营机制，对已上线四是主动参与行业生态建设。有条件的机构可以（八）完善数据管理运营体系。金融机构要推动数据运营机制建设，建立覆盖数据全生命周期的管理流程，提升数据服务能力。构建企业级数据模型和数据资产地图，强化元数据管理，确保数据可寻可用，不同类型的数据可兼容，数据源头可追溯。加强对非结构化数据的管理，制定数据采集、清洗、标注、应用、退出管理规范。稳妥选择使用技术自（九）建设人工智能高质量数据集。金融机构应针对人工智能业务场景持续推进高质量数据集建设，确立数据质量标准，建立高效的质量检控机制，确保数据准确性、相关性、一致性、完整性和无偏见。探索运用人工智能技术强化实时数据、非结构化数据的动态感知、智能提取和解析处理。持续监测数据分布漂移，确保（十）支持行业数据集共建共享。鼓励有条件的金融机构协同多源数据，融合行业经验知识与专业判断，通过系统性筛选、清洗、标注、合成等方式形成高质量数据集，支持金融机构间依法合规（十一）推进知识工程建设。支持金融机构构建企业级知识管理体系。坚持服务业务的价值导向，构建核心知识模型，建立知识萃取、整合、共享机制流程，建立从知识创建、审核、发布、更新到归档的全流程管理规范。鼓励利用人工智能技术提升知识萃取、表示、融02.03.本部分旨在建设“数据供给-数据运营-共建共享-知识工程”体系，目的是解金融AI项目落地中“数据质量差、复用率低、行业知识不足、中小机构数据数据的全生命周期管理，确保数据可寻、可用、可靠，防范底层技术风险。据集的“五性”标准（准确性、相关性、一致性、测数据漂移，从数据源头避免AI出现算法偏见、模型失效等问题。规的行业数据共建共享，降低中小机构AI落地的数据集建设门槛，避免全行业重第（十一）条解决“AI懂金融”的问题。要求识，补齐AI在金融领域应用的“专业性短板”，避免AI输出不一是充分认识到数据和知识是AI金融的核心竞争力，而非算法和算力。AI应用效果的上限由数据质量、垂直专业知识水平决定，此前“重算法模型采购、轻数据底二是数据治理需要从“满足监管报送、会计核算和经营分析”向“适配AI应用”升级。传统数据治理多聚焦结构化数据的监管报送、会计核算和日常经营分析需求，现在需要扩展至与AI强相关的非结构化数据治理、AI训练高质量数据集建设、数据三是数据和知识能力建设无需全量自研，集约化是政策鼓励方向。行业共建共享是明确的政策导向，中小机构无需投入大量资源独立建设全量数据集和知识体一是升级全生命周期数据资产管理体系。把语音、图片、影像、文本等非结数据纳入统一管理范畴，制定非结构化数据从采集、清洗、标注到应用、退出的点筛查训练数据中的歧视性、错误性样本。有条件的机构可以采用本体方法构建三是加快推进企业级知识工程建设。按照“行业-领控、合规、产品、科技等领域的专业知识，构建核五、智能算力建设（十二）加强智能算力设施建设。金融机构应充分依托已有算力资源基础，按照国家相关政策要求，按需布局智能算力资源建设，应用绿色低碳技术，建设自主可控、安全高效的算力底座，助力高水平科技自立自强。鼓励有条件的大型金融机构向中小金融机构输出算力服务，支持同业探索基础设施共建共享。支持金融机构在安全合规前提下，使用国家算力节点或行业基础设施降低人工智能研发应用成本，加强对智能算力资源的（十三）提高安全运行能力。金融机构要加强智能算力资源的云化管理，加强对人工智能应用的运行监测，实现对应用、模型、算力、网络的一体化管理，保障人工02.03.础设施和运行能力，从底层技术支撑层面平衡算力供给的安全性、经济性与普惠持按需建设、自主可控，对接国家算力布局战略，防范供应链风险、投资浪费风一是算力建设不能“贪大求全”，适配业务需求是首要考虑。无需为了追求“算力规模”盲目投建超大型智算中心，可以优先盘活存量算力、对接公共资源，避二是算力安全是金融安全的底层组成部分，自主可控是硬性要求。无论是自建算力还是采购外部算力服务，都必须守住自主可控底线，防范底层硬件、云服务的三是集约共享是降低算力成本的有效方式。大型机构可通过对外输出富余算力摊薄建设成本，中小机构可以依托公共算力、同业共享算力等方式满足AI研发和应四是算力运营需要与上层业务运行打通。不能孤立管理算力资源，必须和AI运力（网络）、AI存力（存储），以及AI架构、AI模型、AI应用的运行监测联动，才一是科学测算、规划算力布局，守住自主可控底线。盘点现有算力资源，测算当前及未来3年的AI业务算力需求，进行算力规划。建议优先通过资源腾挪、扩容存量算力满足需求，确有新建需求的，优先选用自主可控二是根据业务场景和风险差异化分类管理算力资源。涉及核心业务（如风控、交易、授信类AI应用）的算力需求，优先使用自有、可控的算力资源；非核心场景（如内部办公、系统测试、内容问答等）的算力需求，可在安全评估后使用合规推进智能算力的云化、池化改造，实现算力资源的统一调度、弹性分配、资源监控，提升资源利用效率，避免不同业务线算力资源闲置六、人工智能风险治理（十四）健全风险治理体系。金融机构应将人工智能风险纳入全面风险管理体系，定期开展对人工智能应用风险及管理措施的评估审查。推动模型算法、数据资源、基础设施、应用系统等安全能力建设，完善业务及风险管理流程，防范模型生成结果不可靠风险，防止模型黑箱导致关键业务流程难落责问题。夯实数据安全、网络安全、个人信息与隐私保护和业务连续性基础。有效应对金融业务侧可能产生的投资策略趋同、放大市场波动风险，严禁滥用人工智能技术生成虚假（十五）实施风险分类分级管理。金融机构应根据业务场景重要性、应用规模、对客影响度、模型依赖度、模型复杂度等因素，对人工智能应用进行风险识别和分类分级管理。建立管理制度，制定应用清单，实施分级管控措施，落实管理（十六）强化高风险应用准入管理。涉及资金交易、资产评估、信贷审批、承保理赔、风险管理等，以及与客户利益直接相关、直接影响金融合约达成的生成式人工智能场景应用应被视为高风险应（十七）加强高风险应用监测和干预。金融机构要加强对人工智能在业务场景中的运行监测，及时发现和管控模型风险。在高风险应用关键环节建立人工监督和干预机制，明确紧急停用及模型退出（十八）加强外包风险管理。使用外部人工智能技术时，金融机构应在外包策略、数据安全、集中度管理等方面建立管理机制，通过合同协议明确安全管理方面的权责义务，确保金融机构能够有效管控相关风险。与外部企业开展合作时，应建立有效的风险隔离“防火墙”，防范风险跨业传递。对外包合作机构实行名单制管理，对引入的外部模型建立严格的内部评估框架，有效评价模型的（十九）加强供应链风险与开源技术管理。金融机构要建立对人工智能算力、模型、数据、技术工具等的供应链安全合规管理机制，确保应用自主可控，防范对个别技术服务过度依赖引发的集中度风险。完善开源技术使用规范，建立开源软件管理台账，对外部引入的开源组件应进行审查评估，加强代码审计、漏洞扫描及安全测试，定期排查开源组件风险隐患，本部分内容深刻体现了风险管理的基本原理，即“风险识别评估→风险分级分类→风险控制→风险监测和干预”以及特定风险（主要包括AI外包风险、AI供应链第（十四）条既是风险治理总纲，又清晰地提出AI风险评估的要求。监管明确要求将AI风险纳入机构全面风险管理体系，既覆盖模型不可靠、黑箱难落责、数据安全、个人信息保护等传统技术风险，也针对性防范AI应用带来的新金融风险——比如量化交易策略趋同放大市场波动、AI生成虚假信息操纵市场等，明确划定技术滥用的红线。第（十五）条体现了“风险为本”的风险管理理念，具有“包容审慎”的特点。核心就是通过对AI进行风险分类分级，进行差异化的管控，不能出现“一棒子打第（十六-十七）条指出场景侧对高风险AI应用的准入、监控和干预管控要求。通过承接上述分类分级，识别出高风险AI应用之后，配套“准入需风控审批、运行有人工干预、异常可紧急停用”的全流程管控要求，对涉及客户利益、核心金融第（十八-十九）条针对两种特定风险提出专项管控要求。如果说上述风险偏重内生风险，那外包风险、供应链和开源技术风险则属于外部输入风险。AI外包、供应链、开源技术的风险均应由金融机构承担主体责任，可以从名单管理、评估审查、风险隔离、动态排查等环节堵住外部风一是AI风险不是单一的科技风险，属于机构全面风险管理范畴。AI风险的影响范围已经延伸到信用和投资、市场稳定、消费者权益、业务连续性等核心金融风险领域，不能仅由科技部门负责管控，需要风控、合规、业务、科技等多部门协二是高风险AI应用有明确的监管红线。监管划定了高风险AI场景的6大范围，但是没有明确的评价细则，因此不同金融机构对高风险AI应用的认定和理解存在一定差异，且判定标准还不够细化，在机构落地时具三是外部合作的风险不随服务外包转移，机构是第一责任人。无论使用外部AI模型、算力服务还是开源技术，出了风险首先追责金融机构，不能以“服务是采购的、代码是开源的”为由推诿责任，必须对外部输入的所有AI相关资源做全流程四是AI风险管控要前置，不能事后补漏。风险管控要嵌入“准入、设计、开发、运行、迭代、退出”的全流程，分类分级、准入评估、日常监测都是关键要求，避免风险暴露或风险事件后引发不可逆的业务损失或声誉风险。一是将AI风险管理纳入全面风险管理体系明确AI风险的归口管理部门和各协作部二是制定AI分类分级的标准，梳理机构面临的AI风险的类型，盘点和分级分类机构已有的AI应用，建立动态风险清单管控机制。三是建立高风险AI应用全流程管控机制和应急预案，至少覆盖准入、开发、上四是建立AI外包风险、供应链和开源技术风险管理机制。例如建立AI外包合作机构名单制管理机制、开展AI供应链安全排查、发布开源技术使用规范、开展外部七、人工智能安全开发应用能力（二十）增强稳健性。金融机构应确保训练数据集质量、数量和分布符合建模要求，采取合适的模型架构与训练策略，加强对抗样本检测及压力测试，严格评估模型的敏感性、稳定性、抗噪能力和容错能力。模型部署后，持续监测其性能表现，建立训练反馈更（二十一）提高透明度。金融机构应加强人工智能应用透明度管理，为高风险场景应用制定透明度和可解释性标准，明确模型设计、数据使用、特征选择及输出结果的逻辑。对人工智能生成内容应进行显著标识，并向金融消费者主动说明。加强模型开发、变更管理（二十二）促进可解释性。金融机构应制定人工智能模型的可解释性方法，加强推理解释和决策分析。可解释性不足的人工智能技术在高风险场景应用时，仅能作为辅助工具，应由人工进行最终决策。人工智能模型应用于涉及客户权益或有实质性财务影响的关键决策时，须设置人工复核节点，完整保留原始数据、推理路径及阈值触发记录，确保（二十三）保障伦理道德与公平性。（二十四）加强数据安全与个人信息保护。金融机构应将人工智能数据安全纳入企业数据安全管理体系，严格落实数据分类分级保护要求。规范开发过程和数据访问权限，防范数据投毒，完善数据脱敏规范，避免使用可直接识别出个体的数据。姓名、身份证号、手机号、银行卡号等个人信息和隐私数据不得用于生成式人工智能模型训练和优化，有效防止客户隐私泄露。加强模型安全护栏建设，加强内容过滤及脱敏管理。严格管理外包过程（二十五）提升网络安全防御能力。金融机构要加强人工智能开发应用中的网络安全管理，加强对抗攻击测试和输出验证，通过数据隔离、访问控制等措施提升模型部署安全，持续监控模型行为，定期扫描、修补人工智能模型及相关系统组件漏洞，有效防范提示词注入、思维链注入、多模态攻击、上下文污染等威胁。提升智能体系统安全保障能力，防范数据泄露、记忆污染、身份越权、工具滥用、运行失控等（二十六）加强运营韧性及业务连续性管理。金融机构要将人工智能应用纳入业务连续性管理体系，开展业务影响分析，制定应急预案，加强安全运行管理、事件处置和容灾能力建设。发生故障时，人工流程要及时介入或启用备份系统，保障人工智能应用稳定02.03.的延伸，可以归结为AI的“7性”，或者可以理解为AI治理的7大目标，即：稳健性、透明性、解释性、伦理道德和公平性、数据安全性、网络安全性和业务连续二是“伦理道德和公平性”是AI技术的伦理属性要求。伦理与公平是机构长期声誉的底线，针对算法歧视问题需要进行伦理审查、公平性评估，防止AI侵权，确保AI具有社会责任。四是“业务连续性”是业务韧性要求。意味着不仅要“不出事”，更要“不怕一是负责任和可信是金融AI的必备准入门槛，不是可选“技术亮点”：AI应用上线的前提不再是“功能可用”，而是必须满足“7性”标准，不符合要求的AI项目二是AI技术选型不能盲目追新，安全性优先于先进性：稳健性、透明性和可解释性比技术的前沿性更重要。即使AI模型效果再好，只要可解释性不足等，就不能直接用于高风险场景并做最终决策。三是客户权益保护是可信AI的核心锚点：无论是可解释性要求、伦理公平要求还四是AI安全防护不能沿用传统逻辑，需匹配新型风险防控能力：提示词注入、记忆污染、供应链投毒等是AI应用带来的新型风险，传统的网络安全、数据安全防一是建立本机构“可信AI”、“负责任的AI”的标准化管控体系。对照监管要求，细化不同风险等级AI应用的可信标准和负责二是建立针对“7性”的差异化管控要求。例如针对“稳健性”，可以进行训练数据集质量校验、对抗样本检测、压力测试，评估模型的抗噪、容错能力；还可以在模型上线后持续监测性能漂移，动态迭代更新，避免模型因数据、环境变化三是建立独立审计监督和能力提升机制。例如每年至少开展一次全机构AI可信专项审计，重点排查高风险场景的可信要求编制和落实情况。又如定期针对业务、数据、技术和风控人员开展可信AI相关培训。（二十七）加强督促指导。金融监管总局及各级派出机构加强指导，积极推动人工智能技术安全开发应用，督促辖内金融机构全面落实风险治理要求。压实监管部门责任，各级监管部门要加强风险评估和监督检查，重点关注相关金融业务合规风险，督促金融机构健全风险治理体系，对政策落实不到位、执行走偏等问题及时予以纠正，对违规行为（二十九）加强风险监测与应对处置。金融机构面向公众服务或高风险场景应用使用生成式人工智能技术的，应向金融监管总局或其派出机构报告。金融监管总局及派出机构建立监测预警与处置机制，优化风险监测预警指标体系，加强分析处置，完善监管工具方法，督促金融机构做好事前、事中、事后全链条风险防控，加强网络安全、数据安全等风险事件复盘分析，督促金融机构改进优化防御体系，聚焦对客服务、高风险应用场景制定风险应急预案，提升应急响应能力。做好跨部门合作协调，形成合力，避免02.03.本部分构建了“监管督导——报备准入——监测处置——问责纠偏”的全链条闭一是AI监管已经从“原则性要求”转向“实质性落地”，所有AI应用的安全要求是合规硬约束，落实不到位、执行走偏会被监管直接纠偏、查处，机构不能再抱二是面客类、高风险类生成式AI应用有明确的前置报备义务，未报备先上线属于违规行为，这类场景的创新必须先过监管合规关，不能三是机构的AI风险防控不仅要对自身负责，也要符合行业系统性风险防控要求，AI应用的外部性风险也会被重点监管，机构不能仅考虑自身业务需求而忽略行业公共利益。一是建立常态化风险自查自纠和考核机制。定期开展排查活动，针对排查发现的问题及时整改，避免监管检查时出现违规行为；还要明确内部AI合规的责任划二是建立高风险AI应用报备机制，严格落实提前报备要求。建立内部报备流程，针对增量未上线应用提前向属地监管局提交报备材料，针对存量已上线应用要按三是根据监管的AI风险监测指标，完善本机构AI应用的动态监测体系。特别是针对高风险、面客类AI应用，需要仔细研究和设计监测指标、监测手段，做好监测四是建立常态化监管沟通机制。在AI创新试点、新场景落地前主动与属地监管部一、金融机构可信人工智能治理框架响应《指导意见》的监管要求，普华永道深度融合自身在人工智能领域的专业研究积淀与丰富项目实战经验，在过去AI治理方法论基础上，进一步更新迭代提出通过系统化的管理机制与技术工具，助力企业在保障AI安全、可靠、透明的前提AIAI组织AI制度AI人才AI监督AI考核AI创新AI安全管理AI全生命周期管理AI战略图1：普华永道金融机构“1+两横三纵”的“可信AI根据此体系，我们建议相关金融机构尽快有效落实“8号文”要求，具体可按照主要工作包括盘点已有AI应用，绘制全域“AI资产地图”，识别其中的高风险AI应用。对标“8号文”要求，进行AI安全开发主要工作包括开展AI安全开发应用顶层设计，形成完整的AI治从业务实际出发，进一步细化AI应用监管要求落地规范。如，建立生成式AI“双重备案+报告”管理机制；建立风险分级分类二、金融机构人工智能风险管理框架AI风险与操作风险、信息科技风险在治理、管理和技术层面存在交叉协同关系，企业可以借鉴其风险管理的理念、方法或技术，建立健全AI风险管理体系。普华永道建议企业尽快将AI风险纳入全面风险管理范畴，开展AI风险管理顶层治理，建立AI风险管理三道防线，明确AI风险偏好，针对AI风险和AI应用进行风险分级分类，基于分级分类，采用恰当的、差异化的管理流程、方法、技术和工具，对AI风险进行“风险识别→风险评估→风险控制→风险监测和干预→风险报告”。在AI风险管理下，企业需要建章立制地采