AI驱动的尽职调查：在不失严谨的前提下压缩商业、财务与技术尽职调查（CDD、FDD 和 TDD）

引言

尽职调查是一种有控制的质疑活动。投资委员会要确认，卖方所描述的业务、盈利和技术在资金投入前能否经得起审查。答案由不完整的记录、受限的访问条件、不断变化的数据室资料范围、管理层解释和专家判断拼合而成。人工智能为该过程增加了一个新的分析层。它可以读取、分类和比较大量文件；针对不一致的数据提出映射；起草问题摘要；并引导复核人员关注例外事项。它也可能生成看似自信但缺乏支持的陈述，混淆不同期间或主体，遗漏缺失的数据总体，并在输入错误时使计算显得连贯一致。

当前市场证据显示，AI 已进入交易工作。毕马威2026年调查覆盖20个国家和司法管辖区的700名资深M&A决策者。56%表示已在尽职调查和估值中部署代理式AI。同一调查中，59%表示在竞争情报和市场分析中效率提升超过10%，而17%表示在估值建模与情景规划以及预算建模与跟踪中效率提升超过25% [1,2]。这些是受访者自报的结果，并不能确立因果性的生产率提升、错误减少或投资绩效。

衡量成熟度显著低于采用成熟度。汤森路透研究院于2025年10月和11月调查了1514名专业人士，涵盖法律；税务、审计与会计；企业风险与欺诈；以及政府职能领域。40%表示其组织已在全组织范围内使用生成式AI，而上一版调查中这一比例为22%。18%表示其组织收集了AI的投资回报指标，40%不知道是否收集了此类指标[3]。样本范围超出交易领域。它提供的是专业服务领域普遍存在衡量缺口的证据，而非M&A特有的结果。

本文开发了一个用于AI辅助的商业尽职调查、财务尽职调查和技术尽职调查的运营模式，这三类尽职调查分别缩写为CDD、FDD和TDD。该模式以待检验的认定为起点。每项结论都与来源、版本、转换、计算或测试、例外事项及复核人相连接。该模型将生成式工作与确定性计算和可复现测试分开。它指定具名人员负责解决重大例外事项并授权结论。

本文选取PCAOB审计证据原则作为FDD的分析类比。PCAOB准则规范其适用范围内的审计；它们并不规范每一项财务尽职调查委托。这一类比之所以有用，是因为它区分证据数量与其相关性和可靠性，将相互矛盾的材料视为证据，将证据的说服力与风险联系起来，并区分询问与重新计算和重新执行[4-6]。交易工作程序和合同义务仍因具体委托而异。

研究问题

本分析回答五个问题：

1. 哪些CDD、FDD和TDD任务适合由AI辅助完成数据摄取、提取、比较和起草？
2. 哪些计算、测试、判断和授权应保持确定性或由专家控制？
3. 尽职调查团队如何将每项重大结论回溯至证据，并从变更后的来源向前追踪至受影响的结论？
4. 哪些指标能够区分实际耗时缩短与复核人员时间减少及覆盖范围扩大？
5. 哪些治理、安全和决策权控制措施支持有边界的生产部署？

执行结论

Matchpoint分析。AI更容易改变尽职调查能力，而不是改变证据门槛。当前机会在于并行工作：受控的数据摄取、首轮分类、全总体比较、例外事项排序和带引用的起草可以在专家调查最重要问题时同时进行。合适的操作单元是认定，而不是文件。一份文件可以支持多项认定，而一项认定可能需要许多文件、计算、测试和访谈。

Matchpoint分析。受控实施包含六个部分。第一，将委托转化为原子化认定，并配套重要性和证据规则。第二，每个来源都登记其身份、版本、范围和访问权限。第三，提取和分类产生可追溯的拟议事实，而非最终结论。第四，确定性引擎执行算术运算，可复现工具执行技术测试。第五，例外事项按照既定的关闭政策分派给责任人。第六，获授权复核人签署结论，决策记录保留依据和限制。

“不牺牲严谨性”这一表述描述的是一个控制目标，并不保证绩效结果。试点应将辅助工作流程与明确的基准进行比较，比较维度包括来源覆盖范围、引证有效性、计算保真度、未解决的例外事项、复核人员用时、实际耗时、返工和问题产出率。质量主张需要来自该试点的实测结果。交易回报仍不属于本文可获得的证据范围。

采用情况、效率与衡量差距

当前调查确立了哪些结论

毕马威 2026 年研究直接相关，因为其受访者为资深交易决策者。该调查报告了在尽职调查、估值、项目搜寻、执行、整合与合规等环节的应用情况。它还描述了经济层面的范围变化：更低的边际分析成本可使更广泛的合同审查、竞争基准分析和历史模式分析更可行 [1]。这是从业者与调查证据。它支持关于扩大覆盖范围的假设。实际执行团队仍需要衡量实际处理的数据范围、所复核的例外事项以及所达到的准确率。

该调查的采用率数字应结合其方法解读。受访者共 700 名；其中 519 名来自企业，181 名来自私募股权公司。实地调查于 2025 年 12 月 19 日至 2026 年 1 月 27 日进行。调查覆盖 20 个国家和地区及 10 个行业。受访者负责或参与 M&A 决策 [1]。因此，所报告的 56% 描述的是该样本以及调查对 agentic-AI 部署的定义。它并不能证明所有交易团队中有 56% 使用可比的工作流程。

所报告的效率发现可作为市场信号参考。它们并非交易控制认证。新闻稿称，59% 的受访者表示在竞争情报和市场分析方面获得超过 10% 的效率提升。17% 的受访者表示在估值建模与情景规划以及预算建模与跟踪方面获得超过 25% 的效率提升 [2]。已披露材料未提供针对每位受访者的独立观测基准、标准工作定义或经核实的质量调整后产出指标。因此，本文使用这些数字来推动衡量工作，而不是设定 Matchpoint 目标。

汤森路透提供了更广泛的专业服务视角。其调查以在线方式进行，涵盖 27 个国家的 1,514 名受访者，并筛选了熟悉 AI 的参与者。大多数受访者来自美国、英国和加拿大。常见应用包括研究、起草和摘要 [3]。这些任务类似于尽职调查工作流程的部分环节，尤其是初始文件审阅和报告汇总。报告的 ROI 发现表明，正式衡量可能滞后于日常使用。

四种不同的速度形式

Matchpoint 分析。尽职调查团队应区分四项量值。机器处理时间衡量用于摄取或分析既定输入所耗费的时间。审核者时间记录配置、检查、纠正和批准输出所需的人力投入。实际经过时间衡量从既定开始事件到既定完成事件的日历时间。覆盖范围扩展记录在可比预算和时间表内完成的额外来源、记录或测试。

一个工作流程可以减少机器处理时间并增加审核者时间，如果输出产生许多低价值例外。它可以减少审核者时间，同时使实际经过时间保持不变，因为管理层回复或外部确认控制关键路径。它可以在扩大总体覆盖范围的同时保持实际经过时间不变。每种结果在经济上各不相同。试点记分卡应分别记录这些结果。

衡量问题

汤森路透的研究结果将衡量问题置于实施的核心位置。在仅 18% 的受访者报告收集 ROI、40% 的受访者不知道是否进行收集的情况下，采用率统计数据只能为商业价值提供有限证据 [3]。交易团队需要与工作项目本身挂钩的衡量指标。通用员工使用次数或消耗的 token 数量并不能证明尽职调查质量。

Matchpoint 分析。主要衡量单位是认定—程序对。对于每项重大认定，团队记录预期证据、已收到的来源、已完成的程序、提出的例外、已解决的例外、审核者分钟数、完成日期和结论状态。汇总项目衡量指标由这些记录构建。这使审核者能够识别更快的报告是源于真实的工作流程改进、范围缩小，还是更低的证据门槛。

严谨在交易尽职调查中的含义

充分性、相关性和可靠性

PCAOB AS 1105 将充分性描述为审计证据的数量，将适当性描述为其相关性和可靠性 [4]。该准则还指出，证据包括支持并佐证管理层认定的信息，以及与之相矛盾的信息。这些是 PCAOB 范围内的审计要求。Matchpoint 分析。同样的区分构成了一种有用的尽职调查设计准则。

大型数据室对于重大问题可能并不充分。十个版本的内部编制市场预测，其证据价值可能低于数量更少但独立、最新且范围匹配的来源。如果遗漏了实体、期间或日记账，分类账导出文件作为文件可能完整，但作为总体却可能不完整。如果提供的修订版本与已部署代码不同，存储库扫描可以处理每个文件，却仍与生产架构无关。

Matchpoint 分析。因此，每项认定都应沿四个维度定义证据门槛：

• 覆盖范围： 哪些实体、期间、客户、产品、存储库或环境在范围内。
• 相关性： 来源和程序在多大程度上针对该认定。
• 可靠性： 来源独立性、控制、原创性、来源沿革和易被篡改程度。
• 时效性： 证据有效的日期以及导致其失效的事件。

风险加权证据

PCAOB AS 2301 将更高的评估风险与更具说服力的证据联系起来，并要求实施针对相关认定的程序 [5]。该准则还将职业怀疑描述为一种质疑心态和对证据的批判性评估。Matchpoint 分析。尽职调查工作流程可以通过一项认定风险评分来采用这一原则，该评分约束最低证据要求和复核人员资历。

高重要性认定可能要求独立来源、确定性重新计算、专家复核或直接测试。较低重要性认定可通过有记录的内部来源和合理性检查来关闭。该评分不会使判断自动化。它使预期的工作水平可见，并允许对偏离情形进行审批。

询问、提取、重新计算和重新执行

访谈陈述属于询问。对该访谈的 AI 摘要仍属于源自询问的陈述。它不会因文字流畅而成为佐证。AS 1105 指出，仅凭询问不足以在该标准范围内支持审计结论 [4]。交易委托可能适用不同门槛。其根本区分仍有价值。

重新计算检查数学准确性。重新执行独立实施程序或控制 [4]。Matchpoint 分析。FDD 应对重大勾稽关系和比率采用确定性重新计算。TDD 应在访问权限和委托允许的情况下采用可复现测试。CDD 可采用独立市场交叉验证、客户数据分析、合同证据，以及面向不同相关方的访谈。

证据图谱

Matchpoint 分析。尽职调查报告应作为证据图谱之上的视图来运作。该图谱包含以下节点：认定、来源、来源版本、提取的事实、转换、计算、测试、例外事项、结论和复核人。边记录诸如支持、反驳、派生自、经测试、取代、经复核和已关闭等关系。

这种结构支持两种形式的可追溯性。向后追溯从报告语句追溯到结论、程序、事实和来源。向前追溯从发生变更或撤回的来源开始，并识别所有受影响的事实、计算、例外事项和报告语句。传统文件夹和脚注提供部分向后追溯能力。图谱则增加了依赖关系的可见性。

证据	样本与期间	报告结果	解读边界
毕马威 M&A 调查 [1,2]	700 名资深交易决策者；20 个国家和地区；2025 年 12 月至 2026 年 1 月	56% 的受访者表示在尽职调查和估值中使用了 agentic AI	部署为自我报告；不对普遍质量或成果作出主张
毕马威 M&A 调查 [2]	同一样本	59% 的受访者报告称，在竞争情报与市场分析中实现了超过 10% 的效率提升	指标与基准因受访者而异
汤森路透 [3]	1,514 名专业人士；27 个国家；2025 年 10 月至 11 月	40% 报告全组织范围内使用生成式 AI；18% 报告进行了 ROI 衡量	广泛的专业服务样本；无法进行针对交易的推断

跨三个不同专业领域的统一运营模式

CDD、FDD 和 TDD 考察不同的认定类别。它们可以共享数据摄取、证据、例外和签核系统。共享基础设施可减少重复工作，同时保持专业边界。

通用流程

Matchpoint 分析。通用流程包含八个阶段：

1. 委托： 界定决策问题、范围、重要性、司法管辖区、依赖和排除事项。
2. 认定映射： 将问题转化为具有证据阈值的可测试陈述。
3. 来源登记： 对每个来源对象进行哈希、标识、注明日期、分类和权限设置。
4. 受控提取： 生成带有来源位置和置信度元数据的拟定事实。
5. 分析： 执行确定性计算、可复现测试和来源三角验证。
6. 例外事项分诊： 对矛盾、缺失证据、差异和未通过的测试进行排序。
7. 专家复核： 在明确指定的权限下验证方法、证据和判断。
8. 决策记录： 发布结论、局限性、未决问题及签核。

共享控制

共享控制包括按角色和交易控制访问权限；机密工作区隔离；来源哈希与版本；数据丢失控制；经批准的模型与工具清单；提示词与配置版本管理；日志；评估集；例外事项归属；留存；事件处理程序；以及人工授权。NIST 的 AI RMF 为这项工作提供了自愿性的治理、映射、衡量和管理结构 [7]。NIST 的生成式 AI 配置文件识别出虚构、隐私、信息完整性、安全性以及人类-AI 配置风险，这些风险与证据密集型工作直接相关 [8]。

不同的专业边界

共同运营模式不会合并专业责任。商业专家判断市场与客户证据是否支持投资论点。会计与交易服务专家决定收益、债务、营运资金、税务和会计事项的处理方式。技术与网络专家解读架构、安全性、交付和技术债务。法律顾问确定适用法律和法律结论。投资委员会拥有投资决策权。

商业尽职调查

断言类别

Matchpoint 分析。商业断言通常涉及市场规模与增长；细分市场定义；客户需求与转换；集中度与留存；产品差异化；定价能力；市场进入路径；竞争响应；监管敞口；以及商业预测的可信度。每项断言都需要界定范围。一项增长率若缺少地域、期间、细分市场、币种以及名义或实际口径，就是不完整的证据。

AI 非常适合用于来源发现、结构化提取、分类体系对齐、访谈编码、合同条款比较和初稿综合。它可以对齐各市场报告中的陈述，并识别定义存在差异之处。它可以对客户访谈主题进行聚类，并将每个主题关联到原始访谈记录。它可以将产品宣称与有记录的功能及合同承诺进行比较。

市场三角验证

Matchpoint 分析。市场模型应保留每个来源的定义和日期。AI 层可以将来源分类体系映射到交易分类体系，并标记未匹配的类别。确定性层执行转换和汇总。专家判断某项映射在经济上是否有效。

例如，目标公司可能将其可服务市场描述为区域企业软件。外部来源可能按行业、客户规模、部署模式或地域对收入进行分类。生成的摘要可能掩盖这些差异。证据图谱应保留这些差异。在定义无法协调一致的情况下，结论可以给出区间、情景或范围限制。

客户与收入证据

客户级数据可支持集中度、留存率、队列、交叉销售和定价分析。AI 层可以提出客户名称规范化、合同字段提取和主题编码建议。确定性计算应在有记录的规则下生成收入集中度、毛留存率和净留存率、队列桥接以及价格-销量-组合分析。

Matchpoint 分析。每项规范化建议都应保留原始值和映射规则。重大客户合并、渠道合作伙伴、经销商和过手收入需要专家复核。将相似名称分组的模型可能创建看似合理但不正确的客户族群。工作流应将不确定或高价值映射转入异常队列。

竞争与监管

竞争分析因司法管辖区而异。美国司法部（DOJ）和联邦贸易委员会（FTC）2023年合并指南提供了美国官方框架以及分析、经济和证据工具 [11]。它们并不界定每项交易的法律分析。律师应确定相关司法管辖区、申报制度和法律结论。

Matchpoint 分析。AI 可以通过构建带日期的竞争对手证据集、比较产品和定价宣称以及追溯市场份额输入来提供协助。它应标注来源出处并保留不同意见的证据。法律定性和特权决定仍由律师负责。

CDD 输出

受控的 CDD 输出包括断言、范围边界、已收到证据、方法、发现、相反证据、敏感性、局限性和复核人。报告随后可以区分经核实的历史观察、管理层估计、外部预测和 Matchpoint 情景。当投资逻辑取决于未来增长时，这种区分尤为重要。

财务尽职调查

数据沿袭与勾稽

财务尽职调查从总体控制开始。团队应识别实体、账簿、期间、币种、账户结构、合并调整，以及管理账、法定财务报表和交易明细表之间的关系。AI 可以提出字段映射建议，并识别可能的重复项或缺失期间。确定性流程应对记录计数、汇总控制字段、对输入进行哈希，并勾稽输出。

PCAOB AS 2301 规定，在审计范围内，期末实质性程序包括将财务报表与基础会计记录进行核对，以及检查重大调整 [5]。Matchpoint 分析。尽职调查工作计划可将此作为设计类比：衍生指标应连接到所提供的会计总体，且所有重大转换均应可见。

盈利质量

AI 可提取管理层提议的 EBITDA 调整，对支持性文件进行分类，并比较不同版本的叙述。它可提示某项目是否类似于非经常性成本、运行率节约、所有者费用、收入调整或会计政策差异。由专家确定调整类别、证据支持、期间、税务影响和处理方式。

Matchpoint 分析。确定性调节桥应从已定义的报告盈利指标开始，应用单独识别的调整，保留冲回项，并计算调整后指标。每项调整均连接到来源证据和复核人状态。生成的文字说明解释已计算的调节桥；它不计算调节桥。

营运资金和净债务

营运资本和净债务明细表经常包含分类判断、季节性模式、截止性问题和交易定义问题。AI 可提取合同定义并提出科目映射。确定性代码或受控电子表格逻辑应计算月度余额、正常化范围、季节性、类现金和类债务项目以及敏感性情形。

购买协议和适用会计意见决定交易定义。模型可比较条款草案和明细表。律师和财务专家批准其解释。IFRS 3 在适用时规定所收购资产和负债、商誉或廉价购买利得及相关披露的确认和计量原则 [14]。交易会计仍与尽职调查模型分离。

预测与现金转换

预测尽职调查将历史驱动因素与管理层假设相连接。AI 可将叙述性假设映射到模型输入，并标记不一致的描述。确定性分析应计算历史转换率、驱动因素桥接、敏感性和情景输出。商务团队测试需求和定价假设；财务团队测试利润率、营运资本、资本支出和现金影响。

证据层级与职业怀疑

Matchpoint 分析。财务证据层级可根据认定对直接银行或第三方确认、受控系统数据、原始合同和发票、管理层明细表、访谈和生成的摘要进行不同排序。该层级因项目而异，并应在形成结论前记录。

PCAOB 指引指出，风险越高，需要越有说服力的证据；仅靠询问不能为所引审计结论提供充分证据 [4,5]。在 FDD 背景下，实际启示是保留解释与佐证之间的区别。管理层说明可以解释差异。在约定工作计划下，可能需要来源记录、计算或独立证据来消除该差异。

技术与 AI 尽职调查

技术证据领域

Matchpoint 分析。TDD 涵盖产品架构、软件代码库、云与基础设施、网络安全、数据架构、工程与发布流程、服务韧性、第三方依赖、知识产权、许可证、技术组织和规模化成本。若目标公司开发或部署 AI，范围将扩展至模型、训练与评估数据、提示词、检索来源、评估集、安全控制、监控、供应商依赖和模型变更管理。

书面证据是必要的，但并不完整。架构图描述预期结构。配置导出和代码库证据显示已实现结构。测试和运维日志显示特定时间和环境下的观测行为。访谈解释决策和已知限制。报告应保留这些证据类别。

安全开发与供应链溯源

NIST SP 800-218A 以 AI 特定考量补充安全软件开发实践，面向模型生产者、AI 系统生产者和采购方 [9]。由 NCSC 主导的安全 AI 指南将实践组织为安全设计、开发、部署以及运营和维护。它还涵盖供应链、文档、模型与数据、日志记录和事件管理 [10]。

Matchpoint 分析。AI 目标尽职调查记录应识别模型或服务、提供商、版本、预期用途、系统组件、训练或微调状态、评估证据、检索来源、数据权利、部署环境、访问权限、监控、事件和变更流程。在访问权限允许的情况下，团队应将该清单关联到代码库、清单文件、模型卡、物料清单、配置、测试和日志。

可复现测试

AI 可以提出测试用例、解释结果并对发现进行排序。可复现测试记录应保留目标修订版本、环境、命令或流程、工具版本、输入、时间戳、原始输出、严重性规则和审核人。复现可能受到访问权限、生产安全、数据敏感性或时间的限制。报告应说明这些限制。

漏洞扫描器发现的问题本身并不能证明可利用性或业务影响。扫描结果干净也不能证明不存在漏洞。专家审查将观测结果与架构、暴露面、补偿性控制和交易重大性联系起来。

数据、隐私和网络披露

NIST 的生成式 AI 概况识别隐私和信息安全风险，包括泄露、推断以及与 AI 系统的恶意交互 [8]。NCSC 指南建议对模型、数据、基础设施和日志采取安全处理 [10]。SEC 现行的小型实体合规指南概述了美国上市公司的网络事件以及风险管理、战略和治理披露要求 [15]。其相关性取决于发行人身份和司法管辖区。

UAE 联邦个人数据框架可能与 UAE 交易或数据室相关。在本研究期间，官方立法页面对研究浏览器设有访问限制，因此本文未依据其文本提出详细法律主张 [13]。合格律师应确定联邦、自由区、行业和跨境要求。

作为投资问题的 AI 敞口

技术尽职调查现在包括目标对 AI 的敞口，既将其视为竞争力量，也视为运营依赖。普华永道对 2025 年 100 宗最大企业 M&A 交易的分析报告称，约三分之一在战略理由中提及 AI [17]。这一选定样本并不代表整个市场。它表明 AI 既可以是执行工具，也可以是尽职调查的对象。

Matchpoint 分析。投资问题至少包括四个部分：AI 是否改变客户支付意愿；它是否降低进入壁垒或差异化；目标是否依赖集中的模型或云供应商；以及目标是否对其自身的 AI 系统拥有权利、控制和证据。这些问题需要商业、技术和法律协作。

受控架构

交易数据平面

Matchpoint 分析。交易数据平面在特定交易的安全边界内存储原始来源对象和已注册衍生对象。每个对象均获得标识符、加密哈希、来源、接收日期、文件日期、实体、期间、保密类别和访问规则。新版本不会覆盖旧版本。系统记录替代关系以及受影响的结论。

敏感的个人、客户、员工、定价和技术数据，仅应在委托及适用法律允许下进入经批准的系统。公共消费类工具可能不在经批准的边界内。实施过程中应记录模型提供商的数据保留、训练使用、区域、次级处理商和访问情况。法律顾问和信息安全负责人确定可接受的配置。

数据摄取与检索

文件在允许列表下进行扫描、解析和索引。摄取管道应保留页码、单元格、记录或代码位置引用。表格提取需要特定验证，因为视觉结构可能会丢失。提示注入和恶意嵌入内容被视为输入威胁。检索仅返回经授权供该用户和该交易使用的来源。

Matchpoint 分析。生成的答案应在主张层面携带证据指针。引用整份 200 页文件对于重大结论而言可能过于粗粒度。界面应允许审核人打开确切段落、表格行、计算输入或测试记录。

确定性分析

确定性层执行算术运算、汇总、对账和既定统计分析。其应受版本控制并经过测试。输入和输出保留哈希和时间戳。重大计算具有预期总额、合理性检查和对账状态。

语言模型可以提出代码或公式逻辑。经批准的代码执行计算。专家审核方法和重大结果。此边界应对一项核心风险：流畅的解释可能使错误数字显得可信。

生成与审批

生成层根据经授权的证据和确定性输出生成草稿。提示词规定问题、证据范围、必需引用、禁止推断和输出模式。模型和配置均被记录。无依据的陈述、来源冲突和证据不足应触发例外项。

NIST 将虚构描述为看似合理但可能在事实上不准确或内部不一致的输出，并指出生成的引用可能为虚假 [8]。它还指出自动化偏见，即人们过度依赖自动化输出。因此，审核界面应在文字润色之前展示证据，并要求明确结论状态。

例外队列

Matchpoint 分析。例外项包括缺失的来源总体、勾稽失败、矛盾证据、低置信度提取、未匹配实体、重大异常值、测试失败、过期来源、权限违规以及未解决的法律或会计问题。每个例外项均具有严重程度、负责人、截止日期、状态、解决类型和证据。

允许的解决类型为已佐证、已更正、已缩小范围、已接受、已升级或未解决。报告应披露重大未解决或已接受的例外项。从界面删除例外项并不构成解决。

风险与控制映射

虚构与引用错误

生成的文本可能包含无依据的事实、逻辑或引用 [8]。控制措施包括从经批准的语料库中检索、论断级引用、来源可打开核验、确定性事实、弃答规则、评估集和审阅人签署确认。当缺少必要证据时，重大结论应默认不予通过。

范围与总体错误

看似完整的结果可能基于不完整的来源集合。控制措施包括实体-期间清单、来源计数、预期总体核对、文件哈希清单、重复检测和变更提醒。覆盖率指标以预期总体作为分母。

数值错误

语言模型可能误用算术、单位或期间。控制措施包括确定性计算、类型与单位检查、控制总计、独立重算和版本化逻辑。报告正文引用计算记录。

隐私、保密与特权

交易室包含敏感信息。控制措施包括交易隔离、最小权限、经批准的终端、保留设置、区域与传输评估、特权保护规程、经授权后的脱敏、日志和事件响应。法律顾问确定法律范围。

提示注入与恶意内容

文档和网络来源可能包含旨在重定向 AI 系统的指令。控制措施包括内容净化、数据与指令分离、工具允许列表、受限权限、输出验证和人工审阅。检索来源不获得执行权限。

模型与供应商变更

模型行为、提供商条款和组件可能发生变化。控制措施包括清单、版本或发布记录、变更时评估、经批准的替代方案、集中度评估和回滚程序。NIST 和 NCSC 的材料支持生命周期与供应链治理 [7-10]。

人类过度依赖

NIST 将自动化偏差识别为一种人类-AI 配置风险 [8]。控制措施包括审阅人培训、证据优先界面、对高风险断言进行独立检查、明确不确定性以及审计审批行为。高级审阅人应对已界定的结论类别负责。

风险	失败模式	主要控制	证据留存
虚构	无依据的事实或引用进入报告	主张级引用与复核	提示词、输出、来源位置、复核人
总体缺口	缺失主体、期间、文件或记录	预期总体核对	清单、计数、哈希、例外
数值错误	算术或单位错误	确定性计算与勾稽核对	代码或公式版本、输入、输出、校验
隐私泄露	未经授权的披露或处理	交易隔离与经批准的端点	访问日志、配置、事件记录
提示词注入	来源改变系统行为	数据与指令分离及工具约束	扫描结果、检索记录、被阻止的操作
模型漂移	行为变化会改变输出	版本化评估与变更门禁	模型版本、评估结果、审批
自动化偏差	审核人接受经润色但薄弱的证据	证据优先的审核与独立核查	审核动作、例外决策、签核

人工审核与决策权

指定授权人

Matchpoint 分析。每项重大断言都应有一名编制人、审核人和结论负责人。编制人可以操作 AI 工作流。审核人检查证据和方法。结论负责人为报告认可该陈述。在委托范围内，低风险工作可以合并角色。高风险结论可能需要独立或高级审核人。

界面中的职业怀疑

工作流应使矛盾可见。PCAOB 标准描述了支持与反驳管理层认定的证据，并将职业怀疑与批判性评估联系起来 [4,5]。Matchpoint 分析。界面应同时展示支持性证据、相反证据、未解决的缺口和来源可靠性。否则，单一生成的叙述可能压制分歧。

按输出类型划分的决策权

签核证书

Matchpoint 分析。报告发布记录应标明委托版本、来源截止时间、重大未决例外事项、模型和工具版本、计算和测试版本、复核人、审批时间和分发范围。如果数据室在截止时间后发生变化，前向追溯可识别需要更新的结论。

试点设计与衡量

自动化前的基线

试点需要采用相同工作定义的基线。团队应选择一个范围有限的模块，界定其预期来源总体、程序、输出和重要性，并衡量当前实际耗时和复核人时间。历史时间记录可能不完整或不一致。若基线依赖管理层估计，在取得实际观察结果前应标注为`假设性建模假设。`

影子模式试点

Matchpoint 分析。影子模式在经授权的常规流程之外并行运行由 AI 辅助的工作流程。辅助输出不控制实时报告。复核人比较来源覆盖、事实、计算、例外事项和结论。需要一套带标签的基准集，用于准确性和假阴性估计。

合适的首批模块包括合同字段提取、客户名称规范化、数据室清单编制、经常性调整证据索引编制或依赖关系清单。该模块应具有足够的重要性以测试控制，同时范围足够有限以便完整复核。

计量词典

阶段关口

Matchpoint 分析。试点只有在通过批准的关口后才推进。关口 1 确认数据与法律权限。关口 2 确认来源与计算控制。关口 3 确认在基准上的准确性和例外表现。关口 4 确认审核人员工作流程和事件响应准备情况。关口 5 授权对指定模块进行受控投产。关口 6 在扩大范围前审查生产证据。

试点应界定停止条件，例如未经授权的披露、重大计算偏差、无法获取证据、模型行为不稳定，或基准上的假阴性表现不可接受。停止条件是运营控制措施，需要获得本地批准。

指标	定义	最低记录要求	解读
来源覆盖	已处理的纳入范围来源 / 预期来源	清单与排除项	覆盖不等于正确
引用有效性	来源定位正确的抽样重大声明 / 抽样声明	声明样本与复核结果	按重大性层级报告
计算保真度	重新执行的重大输出与批准结果一致 / 已测试输出	测试集与容差	确定性层目标应在规定容差内精确匹配
异常精确率	已确认重大异常 / 已复核异常	标注复核集	精确率低会消耗复核人员时间
异常召回率	已发现并经确认的基准异常 / 基准异常总数	带标注的基准	基准之外仍可能存在未知问题
审核人员时间	用于设置、审核、修正和批准的人工分钟数	按断言记录时间	与机器时间分开
经过时间	完成时间戳减去定义的开始时间	开始和完成事件	识别外部等待时间
返工	审核者用于修正辅助输出的分钟数	修正日志	对提取、分析和起草返工进行分类
问题产出率	专家认可的、对决策有用的问题	问题登记册	需要明确的重要性规则

购买、自建还是外包

决策维度

运营选择取决于保密性、来源复杂性、集成、定制方法、内部工程能力、鉴证需求、供应商集中度、速度和总成本。商业数据室或尽职调查平台可能提供成熟的数据接入和协作功能。内部开发可支持专有方法和集成。服务提供商可将技术与专家审查相结合。

提供商材料可以描述能力，但不能独立证明准确性或经济价值。普华永道（PwC）的技术尽职调查服务页面是对当前领域的一种从业者描述 [18]。买方应依据其委托要求，评估实际产品、部署、控制、合同和证据。

供应商尽职调查问题

供应商尽职调查应涵盖数据保留和培训使用；租户与隔离；加密和密钥；访问管理；子处理商；区域和传输；模型与组件清单；提示与输出日志记录；版本变更；评估；事件历史；韧性；删除；导出；审计权；知识产权；责任；以及终止支持。AI 开发模型的供应商还应按照相关安全开发和供应链实践进行评估 [9,10]。

经济性论证

Matchpoint 分析。经济性论证应将实施和运营成本与审查人员时间、经济上相关时的耗时、覆盖范围扩展、避免的返工以及具有决策价值的问题产出进行比较。仅计许可成本会低估运营要求。控制设计、数据准备、专家审查、评估和变更管理属于经常性成本。

Matchpoint 实施路线图

阶段 0：委托与授权

定义交易模块、司法管辖区、数据类别、依赖程度、重要性、输出用户和决策权。获取信息安全、隐私、法律和业务约定批准。记录禁止的系统与禁止的行为。

阶段 1：断言与证据基础

创建断言映射、来源清单、证据分类法、例外类别和签核角色。为所选模块建立确定性计算或可复现测试。衡量常规基线。

第二阶段：影子试点

在没有生产权限的情况下运行辅助工作流。基于代表性来源和已知边缘案例构建带标签的评估集。审查每一项重大输出。记录引用、错误、遗漏的例外情况、审查人员用时以及返工情况。

第三阶段：受控生产

授权指定的模块、用户组、数据边界和模型版本。报告结论须经人工签核。监控质量和安全措施。保留常规回退方案。

第四阶段：跨工作流整合

在投资论点依赖共享事实之处，将 CDD、FDD 和 TDD 的论断相互关联。示例包括客户留存与收入质量；产品路线图与预测增长；云架构与毛利率；网络安全整改与净债务或价格调整。保持专家对结论的归属权。

第五阶段：投资组合学习

在遵守保密和合同要求的前提下，存储去标识化或经授权的先例结构、问题分类法和评估案例。使用一致的定义比较各委托的流程绩效。投资组合学习不应将一项交易的保密证据暴露给另一项交易。

Matchpoint 情景分析

情景状态

以下情景为 `[Matchpoint 情景分析]`。该情景仅作示例、未经核实，并不描述已观察到的 Matchpoint 委托。在作出任何商业声明前，相关数值需替换为经批准的基线和试点结果。

示例模块

假设一个中型市场收购工作流在 CDD、FDD 和 TDD 中收到 1,200 个源对象。试点选择三个范围明确的模块：客户合同字段提取；EBITDA 调整项证据索引；以及软件依赖清单。常规工作方案和重要性水平保持不变。专家保留对每项结论的归属权。

辅助工作流登记所有接收到的对象，执行受控提取，将拟议事实链接到来源位置并将例外情况分派处理。确定性代码计算客户集中度和调整桥接表。经批准的工具生成依赖清单。审查人员检查所有高重要性输出以及按规定抽取的低重要性输出样本。

示例性评分卡

决策规则

Matchpoint 分析。投产审批要求令人满意的证据质量、信息安全审批、可接受的审核人员工作量以及经过测试的事件响应。节省时间不能凌驾于未通过的质量或安全关口之上。覆盖范围扩大可以支持采用，即使实际耗时保持不变，但须以获批的经济性论证为前提。

局限性与研究议程

本文有六项重大局限。第一，最直接相关的采用和效率证据是自我报告的调查证据。它并未独立观察交易周期时间、错误、质量或回报。第二，汤森路透样本涵盖多个职业，并未将主要指标单独限定于交易尽职调查。第三，本文通过类比使用 PCAOB 审计原则；财务尽职调查（FDD）委托并非法定审计，其目标、证据门槛和依赖程度可能不同。

第四，AI 系统、供应商条款和企业控制会发生变化。一份日期为 2026 年 7 月的论文不能替代对当前供应商和配置的尽职调查。第五，法律、隐私、会计、税务、竞争和披露要求取决于相关方、交易结构和司法管辖区。本文不构成专业建议。第六，Matchpoint 运营模型和情景属于分析性提议。其生产力和质量影响需要受控试点证据。

后续研究应按尽职调查模块报告经质量调整的时间；比较全样本提取与专家抽样；构建带标注的例外基准；研究审核人员过度依赖和界面设计；衡量证据图谱维护成本；分析跨境数据室架构；并考察更早的问题可见性是否改变价格、结构、条件或交割后计划。交易回报分析将需要针对选择、市场和执行因素进行谨慎控制。

结论

AI 辅助的尽职调查已在报告的市场实践中显现。毕马威的调查表明，尽职调查和估值中已有采用，受访者也报告分析任务效率有所提升 [1,2]。汤森路透记录了专业服务领域的广泛采用，以及规模小得多的正式投资回报率衡量报告基数 [3]。二者结合支持一个需要审慎实施的议题：应如何设计和衡量该工作流程？

Matchpoint 分析。答案从断言和证据开始。登记来源总体。保留来源出处和矛盾。使用 AI 进行受控摄取、提取、比较、分诊和起草。使用确定性系统进行财务计算，并使用可复现工具进行技术测试。将不确定性和失败事项转入有明确责任人的例外队列。为结论指派专家和经授权的决策者。

由此形成的系统可以接受测试。来源覆盖率、引文有效性、计算保真度、例外处理表现、审核人员时间、实际耗时、返工和问题产出构成可衡量的记录。关于时间压缩或质量的声称随后可以建立在具名试点之上。在证据出现之前，它们仍是假设。

指标	基线	试点结果	状态
预期来源总体	`假设性建模前提`	待衡量	未声明结果
来源覆盖	待衡量	待衡量	关卡要求已核对的清单
引用有效性	待衡量	待衡量	关卡由已批准的重要性层级设定
计算保真度	待衡量	待衡量	重大结果需要确定性匹配
审核员小时数	待衡量	待衡量	包括设置和返工
已用天数	待衡量	待衡量	单独记录外部等待
已确认的重大问题	待衡量	待衡量	需要质量和相关性审查
重大未决例外事项	待衡量	待衡量	在发布时披露