董事会级 AI 商业论证：规模化前的融资关口

1. 从董事会决策开始

当 AI 提案明确请求的决策、面临风险的资本、支持价值的证据、所需控制以及进一步融资的条件时，它就成为董事会级提案。原型、供应商演示或技术基准可以为提案提供信息。但任何一项单独都不能证明公司应投入企业资本。

董事会决策可以是资助问题验证、批准限定范围部署、释放集成资金、批准规模化或停止。每项决策都需要定义明确的证据门槛。所请求的批准应包括范围、法律实体、用户群体、数据、供应商、运营负责人、控制负责人、资金、期限和下次审查日期。

本文应区分观察到的证据与预测及拟议行动。实测任务时间是证据。成本下降的预测在运营机制和现金转化发生之前只是假设。计划中的安全控制不是已实施的控制。清晰的分类使董事会能够批准有条件学习，而不将未来效益视为已实现。

2. 定义运营问题

商业论证应识别一项决策、任务或流程，其当前表现造成了重大成本、延迟、风险、收入损失或营运资金风险敞口。它应说明受影响群体、交易量、周期时间、质量、例外情况、控制措施和负责人。宽泛地希望使用 AI 并不是一个运营问题。

问题的重要性需要证据。财务部门可以核对人工成本、外部支出、返工、索赔、库存、客户流失或延迟回款。运营部门可以记录瓶颈、波动性和故障路径。风险与控制职能部门可以识别风险敞口和义务。提案应说明拟议系统可解决该问题的哪一部分。

替代方案应保持可见。流程简化、政策变更、传统软件、分析、外包、招聘或不采取行动都可能是可行路径。AI 商业论证应通过证据在与这些替代方案的比较中胜出，而不是假定技术偏好。

问题陈述应识别当前流程造成的决策延迟。当缓慢任务不会延迟客户、付款、控制或管理行动时，它可能并不重要。相对较短的任务如果位于关键路径上，也可能很有价值。这一区分可防止项目仅因某项活动的数量容易统计而选择某个用例。它将资本引向可观察的约束，并为委员会提供可衡量的干预理由。

3. 构建商业论证的构成框架

该结构连接八个要素：问题、基线、反事实、干预、采用、控制、经济性和证据关口。任何一个要素的薄弱都可能破坏价值链。模型准确率高并不能弥补数据权利缺失。高采用率不能弥补不能产生现金效应的工作流。积极预测不能弥补不可接受的法律或安全风险。

提案应展示从模型输出到人工或自动行动、运营结果和财务效果的因果序列。每个环节都需要负责人和证据。模型可能对发票进行分类，审核人可能接受该分类，经过纠正的工作流可能减少拒绝，现金日期可能改善。结果取决于完整序列。

该结构还应区分平台论证与用例论证。平台可提供可复用的数据、安全、评估和集成服务。其价值取决于使用这些服务的已批准用例。当存在可识别需求和分配政策时，董事会可为有限平台基础提供资金。应避免将每个投机性的未来用例都附加到初始回报上。平台资本和用例资本可拥有单独的关口和效益台账。

该结构还识别生命周期义务。数据准备、集成、监控、事件响应、模型变更、供应商管理和退役在启动后仍会持续。其成本和控制要求应纳入初始商业论证。

资本沿着一条相互连接的链条，从受控问题走向证据、经授权的运营和已实现价值。

表1. 董事会级 AI 提案的最低记录

每项主张都应关联到来源、负责人、决策以及下一项证据要求。

4. 确立项目边界

边界应明确纳入范围的法律实体、司法辖区、用户、客户、员工、供应商、模型、数据源和系统，还应明确排除在外的群体和接口。当规模化引入新的数据、语言、产品、法规或用户行为时，范围狭窄的原型可能造成误导性印象。

边界应与拟投入资本相匹配。不应以未经批准的企业级推广所带来的收益，来证明单一流程融资的合理性。共享平台成本和可复用能力应通过透明的政策进行分摊。董事会应了解哪些未来用例依赖该平台，哪些可以独立运行。

第三方依赖需要有明确列名的合同和权利。提案应涵盖数据使用、模型提供商、知识产权、服务水平、变更、安全、审计、可移植性、终止和过渡。实际安排需要由具备资质的人员进行审查。

5. 建立受控基线

基线是用于评估变革的当前运营和财务绩效。它需要明确的时间段、群体、源系统、排除项、调整项和负责人。衡量指标可包括任务时间、吞吐量、错误、返工、周期时间、转化率、损失、客户成果和现金。

财务应将重大成本和收益基线与管理账目或受控运营记录进行核对。节省的时间需要有效的计量方法。错误减少需要稳定的定义。收入损失需要建立客户与贡献毛利的路径。风险敞口需要采用经批准的方法，而不是通用百分比。

基线应体现变异性和细分群体。平均绩效可能掩盖高风险尾部或干预措施失效的群体。具有代表性的基线可支持测试设计及后续复制。基线薄弱时，应在释放大额资本前开展计量工作。

基线治理需要设定截止时点和更新政策。快速变化的运营可能使旧期间缺乏代表性。期间过短可能夸大季节性因素或暂时性积压。管理层应解释为何所选期间能够反映决策群体。应保留原始提取数据、转换规则和核对记录，以便后续审查者能够复现该衡量指标。该证据属于投资资产的一部分，因为它同时支持验证和已实现价值评估。

6. 定义反事实情景

反事实估算的是在没有拟议项目的情况下会发生什么。它应包括已承诺的流程改进、替代系统、招聘计划、需求、通胀、监管和正常生产率。将当前流程冻结数年，可能会在其他变化本会发生时高估 AI 的价值。

公司可根据可行性和伦理要求，采用匹配组、分阶段推广、历史对照或结构化预测。设计应记录样本选择、污染和外部变化。反事实不需要达到实验级的完美才能改善决策质量，但其局限性应清晰可见。

董事会应看到相对于该路径的增量结果。如果公司本可通过常规自动化降低处理成本，那么只有可归因于 AI 项目的额外效果才应纳入其商业论证。反事实纪律可防止为同一项改进重复付费。

反事实的不确定性应体现在价值区间中。当管理层无法确定可信的对照时，可以计算多种无项目路径，并观察决策是否仍具吸引力。若项目回报在温和的替代路径下就消失，则应设置更强的学习门槛。若项目回报在合理的反事实情景下仍为正，则其经济性论证可以更稳健，前提是其控制与执行证据支持这一点。

7. 绘制因果价值链

价值链始于输入，产生模型输出，支持行动，改变运营结果，并转化为财务价值。每一步都需要定义和证据。不改变决策的预测，其运营价值有限。改变了决策但未改善结果的，没有已证明的收益。

人的角色应明确。系统可在批准范围内推荐、起草、排定优先级或自动执行。审核人员需要培训、权限、时间和升级机制。如果控制设计需要人工审核，商业论证应包含其成本和绩效。隐藏的人工工作可能抵消表面上的生产率提升。

该链条应包含失败路径。输出错误、数据缺失、响应延迟、人工覆盖、博弈、漂移或系统中断都可能改变结果。商业论证应根据后果严重程度，展示预防、检测、响应和回退安排。

8. 设计反事实测试

测试应选择具有代表性的案例、用户、时期和运营条件。应预先定义干预措施、结果指标、控制指标和分析方法。在结果已知后再更改目标，会降低证据的可靠性。重大偏差应保留在记录中。

在可行且适当时，随机化可以改善因果证据。若不可行，则可采用分阶段推广、匹配对照、中断时间序列或专家裁决，但需说明其局限性。法律、伦理、客户和员工方面的考虑决定合适的设计。

董事会不需要单一通用方法。它需要与后果和所申请资本相称的足够有力证据。低成本内部辅助工具可采用相称的测试。影响信贷、就业、安全、受监管建议或重大客户结果的系统，通常需要更强的验证和监督。

应监测测试污染。对照组用户可能采用干预组的方法，而干预组用户可能在受测工作流之外继续使用旧工具。供应商人员可能在试点期间提供异常密集的支持。这些效应可能使观察到的结果难以在规模化时复现。测试记录应识别运营支持、偏差和并行变化，以便委员会判断该结果是否代表正常运行。

对照设计应分离出项目贡献，同时记录选择、污染和外部变化。

表 2. 反事实证据选择

方法应与决策后果、可行性和所请求资本相称。

9. 在测试前设定价值假设

每个价值假设都应明确目标群体、干预措施、预期结果、作用机制、衡量周期以及具有经济意义的最低效应。还应说明哪些证据将否定该主张。诸如“提高生产率”之类的假设过于宽泛，不足以支持资本审批。

最低效应应反映全生命周期成本和机会成本。统计上可观察到的改善仍可能在经济上不重大。反之，当严重性高且方法已获批准时，即使发生频率有限，罕见风险降低也可能具有重要意义。

应对多个假设进行优先级排序。公司应避免在测试后添加指标以寻找阳性结果。探索性发现可为未来测试提供参考，并应标明为探索性。这保留了从学习到资本投入的规范路径。

10. 在具体情境中衡量模型表现

模型表现应与运营决策相匹配。准确率、精确率、召回率、校准度、误差分布、稳健性和延迟在不同用例中的重要性可能不同。总体表现可能掩盖按细分群体、语言、时期或例外情形划分的重大失效。提案应在部署前界定验收标准。

模型表现应与相关基线进行比较，包括当前的人工方法或基于规则的方法。还应在具有代表性和不利条件下测试模型。数据、工作流程、用户或模型版本的变化可能在验证后改变结果。

技术表现只是一个证据层面。商业论证应将其与决策表现和结果表现联系起来。在受约束的流程中，模型的微小改进也可能具有很高价值。如果集成、采用或控制成本占主导，即使基准表现强劲，价值也可能很小。

阈值选择应反映不同错误的成本。错误批准和错误拒绝可能带来不同的客户、财务和法律后果。公司可对不确定情形采用单独阈值、人工复核或弃权。提案应说明这些选择所产生的数量和成本。在庞大群体中，即使总体准确率很高，仍可能产生不可接受数量的重大错误。

11. 将采用定义为工作方式的改变

当预期用户遵循已批准的工作流程，且模型输出影响既定行动时，才证明实现了采用。登录次数、许可证数量或提示次数并不能确立运营层面的采用。商业论证应衡量符合条件的案例、实际使用、覆盖、例外、完成情况和结果。

工作流程需要明确角色、权限、培训、时间和升级机制。复核人可能因为工具提供得太晚、缺乏来源证据或带来个人风险而忽略它。用户可能不加充分质疑就接受每项建议。这两种模式都可能损害价值。因此，采用指标应包括适当使用和控制质量。

变革成本包括流程重新设计、沟通、培训、支持、绩效管理以及暂时性的生产率损失。配套投资可决定 AI 是否能创造价值。OECD 关于企业采用的研究强调了数字能力、技能和组织变革的重要性，同时指出在观察到的生产率关系中存在因果推断局限。

采用证据应按角色、业务单元、案例类型和经验进行细分。一小群专家型热心用户可能使早期平均值显得很高。新用户可能需要不同的支持，而管理者可能造成不一致的期望。项目应跟踪用户为何接受、覆盖、回避或升级上报。定性证据可识别设计问题，而受控的工作流程数据可确定该行为是否广泛存在并具有经济相关性。

12. 设计人工决策权

提案应说明哪些决策仍由人工做出、哪些可在批准的限制范围内自动化，以及哪些需要升级上报。权限应遵循法律、监管、政策和风险要求。笼统的“人在回路”表述并不能界定问责。

评审人员需要获得对输出提出质疑所需的信息。来源证据、置信度、理由、局限性和替代方案可能是必要的。界面应避免制造虚假确定性。允许评审的时间应与后果相匹配。在获得授权的情况下应可以进行覆盖操作，并按相称的理由予以记录。

商业论证应包括评审人员成本、能力和绩效。将工作转移到未纳入预算的控制团队的自动化，可能只是转移成本而非降低成本。重大决策需要合格的治理设计。

决策权应包括暂停模型的权限。运营部门可能需要在故障或无法解释的性能变化期间立即启用备用方案。风险或合规部门可能需要限制特定人群。技术部门可能需要回滚版本。治理记录应显示谁可以采取行动、如何通知用户以及如何处理累积案例。这些运营权限使控制设计可执行。

13. 梳理数据就绪度

数据就绪度包括数据权利、来源、质量、代表性、及时性、安全、访问和保留。模型可以在精心整理的原型数据集上表现良好，但当源系统、定义或缺失情况发生变化时却会失败。规模化论证应使用具有代表性的生产路径。

数据图谱应识别数据源所有者、允许用途、转换、质量控制、数据血缘、接口和备用方案。敏感或受监管数据需要合格审查。供应商访问和模型提供商使用情况应记录在案。公司应知道数据是用于训练、服务改进还是跨客户目的。

数据整改成本应纳入生命周期论证。如果项目依赖新的主数据、集成或治理能力，董事会应看到该投资及任何可复用价值。在没有分摊规则的情况下，多个用例不应重复主张平台收益。

代表性应针对生产总体进行检验。历史数据可能排除新产品、客户或不利事件。标签可能反映既往政策、偏差或不一致判断。项目应记录谁创建了标签、分歧如何解决以及哪些案例仍不确定。排除缺乏支持的人群的决定可以提高可靠性，并为后续证据工作提供明确边界。

14. 建立控制证据

控制证据应涵盖治理、法律要求、隐私、安全、模型性能、人工监督、第三方、变更、监控、事件响应、备用方案和退役。政策是输入项。资金审批关口需要证据证明相关控制已针对拟议范围完成设计、实施并获接受。

NIST AI RMF 提供自愿性的治理、映射、衡量和管理职能。其核心包括界定业务价值、风险容忍度、角色、监控和退役。ISO/IEC 42001 提供 AI 管理体系标准。这些参考需要根据组织进行调整，且不能替代法律或行业特定义务。

剩余风险声明应识别控制后的风险敞口、责任接受和条件。未解决的关键问题无论预测回报如何都可能阻止规模化。董事会应避免使用加权总分掩盖强制性关口。

控制成本和控制有效性应一起评估。人工复核可以降低风险，但会消除预期的生产率增益。监控规则可能产生过多警报并变得无效。商业论证应测试完整的受控工作流，而不是不受约束的模型。当控制必要且昂贵时，公司可以重新设计用例、缩小范围或确认较低回报。

15. 治理第三方 AI

第三方系统可能在数据、模型、基础设施、知识产权、安全、服务连续性和定价方面形成依赖。提案应识别分包商、托管、模型版本、数据位置、更新权利和终止后果。采购价格只是经济论证的一部分。

尽职调查应与用途和后果相称。证据可包括架构、测试、安全、事件流程、性能、数据实践、财务能力和客户推荐。合同条款应反映实际风险，并要求由合格法律专业人士进行审查。

公司应测试可移植性和回退方案。当提示词、工作流、嵌入、集成或员工能力无法迁移时，合同退出权的价值可能有限。过渡时间和成本应纳入下行情景。

16. 计算全生命周期成本

全生命周期成本包括发现、数据、模型、软件、集成、基础设施、计算、许可证、安全、鉴证、法律审查、培训、变更、监控、事件响应、维护、供应商管理和退役。内部员工时间和并行运行在影响重大时应纳入。

成本应反映规模驱动因素，例如用户、交易、令牌、存储、延迟、支持和控制强度。可变成本可能改变高用量用途的单位经济性。定价变化和模型迁移可能影响预测。区间通常比单一金额提供更多信息。

商业论证应按决策门区分已承诺成本、可避免成本和沉没成本。这有助于停止决策并保留选择权价值，也可防止董事会因先前支出规模较大而继续推进。

全生命周期估算应包含证据本身的成本。评估数据集、独立鉴证、法律意见、控制测试和用户研究是降低不确定性或风险的投资。其价值通过更好的决策和更低的风险敞口体现，而非直接产出。董事会可评估证据成本是否与所涉资本和后果相称。这为在更高风险情形下进行更强验证提供了合理依据。

17. 构建现金转换桥

提案应将运营成果转化为增量现金。节省的时间通过避免招聘、减少外部支出、经批准的员工队伍调整、额外贡献或重新部署能力转化为价值。减少错误通过减少返工、索赔、损失或延误转化为价值。收入改善需要客户、价格、销量和利润率证据。

营运资金影响需要考虑时点和可持续性。风险降低需要采用经批准的预期损失法或资本方法，且不应被表述为确定现金。战略学习和选择权价值可与已实现现金分开列示。

财务部门应控制定义，并在可行时核对结果。现金转换桥应包括实施、税务、营运资金、融资和经常性成本。供应商毛收益不应替代公司净现金。

18. 创建收益瀑布

收益瀑布从总运营机会开始，然后剔除不符合条件的对象、采用损失、质量和控制约束、替代效应、实施、经常性成本和现金转换漏损。结果为可归属净现金区间。每项调整都需要证据或标注的管理层假设。

顺序很重要，因为多项扣减可能相互作用。采用率低可能减少业务量，同时增加支持成本。质量控制可能降低吞吐量，同时防范损失。当驱动因素相关时，模型应避免套用相互独立的百分比。

董事会应看到每一层周围的不确定性。较宽的区间可能导致更小范围的限定部署，或更高的证据要求。不应通过冗长的电子表格人为制造精确性。

该效益瀑布应与提案的现金流模型勾稽一致。如果采用率发生变化，相关许可、支持和效益量也应相应变化。如果某项质量控制增加审核人员，成本和风险降低都应随之变化。关联模型可降低某一假设仅提升效益却不承担其经济后果的可能性。敏感性分析应聚焦于少数可能改变决策的驱动因素。

这些数值为假设性的管理层假设，仅用于说明框架。

表 3。效益确认控制

每项效益都需要有可归因的机制、证据和财务处理方式。

19. 模型不确定性与下行风险

商业论证应列示采用率、绩效、时点、成本、现金转化和剩余风险的范围。仅凭基准情景可能掩盖决定融资设计的敞口。当驱动因素相互关联时，情景应采用相互一致的组合，而不是一次只改变一个变量。

下行分析应显示最大融资需求、流动性影响、运营中断、控制失效、供应商依赖和退出成本。公司应测试其能否停止、恢复或在失败中继续运营。尾部敞口可能使较小的预期收益变得不可接受。

董事会应识别哪些不确定性可通过测试降低，以及哪些风险需要控制或转移。为学习关口提供资金不同于接受未控制的敞口。每种情景仍是管理层的假设，而非预测。

20. 设立六道融资关口

关卡一确认实质性问题及决策负责人。关卡二确认基准、替代方案和反事实方案。关卡三确认技术与控制验证。关卡四确认有限范围的运营采用与成效。关卡五确认在代表性变化条件下的复制验证。关卡六授权规模化及已实现价值治理。

每个关卡都应列明证据、验收标准、资金释放、负责人、决策权限、停止条件和下一日期。顺序可根据风险和用途调整。低后果的内部工具可合并关卡。高后果系统可能要求独立保证和监管机构参与。

停止能力应具备可操作性。合同、架构和运营计划应保障该能力。如果大部分资金在验证关卡之前就已承诺，该流程提供的保护有限。

关卡证据应设有到期或复核规则。模型表现、供应商条款、监管、数据和运营流程可能在批准与发布之间发生变化。延迟执行的计划应确认其已接受的证据仍然有效。委员会可授权进行例行确认，同时保留对重大例外事项的决策权。这使有条件资金与其所依据的事实保持关联。

21. 将资金与关卡证据挂钩

首次承诺应购买成本最低且与决策相关的证据。问题衡量、数据评估或受控测试的成本可能低于企业级集成。公司应将证据成本与预期避免的损失和更优决策选择进行比较。

后续承诺可在相关证据获接受后，为生产集成、变更、控制和规模化提供资金。应急资金应通过既定授权释放，而不是自动吸收。未使用资金返还至投资组合。

商业论证应列示各关卡处的沉没、已承诺和有条件金额。这为董事会提供风险敞口时间表，并使可逆性可见。全计划净现值为正，仍可与风险调整后价值更优的分阶段路径并存。

22. 绘制资金关卡地图

关卡地图将证据成熟度与累计资金联系起来。它应展示决策，而不仅是计划进展。关卡可放行、暂缓、收窄、重新设计或停止。该地图还标明证据截止时间和决策权限。

在计划解决最大不确定性问题期间，资金曲线应保持低位。重大集成和推广支出应发生在具有代表性的采用和控制证据之后。某些平台投资可能需要更早承诺，并应披露由此产生的风险敞口。

董事会应按关卡比较计划资金与实际资金。早期超支会削弱停止选择权。反复延期可能表明验收标准薄弱，或投资论点正在恶化。

资金金额和证据评分均为假设性设定；每个关卡都需要经批准的、针对具体交易的标准。

23. 定义验证证据

验证应涵盖模型表现、数据、工作流程、人工审查、控制措施和运营后果。验证应在风险和政策要求的程度上独立于模型开发。报告应说明目的、范围、方法、数据、局限性、发现、遗留问题和验收情况。

美联储 SR 11-7 提供了银行业模型风险管理的监管指引，包括验证和治理概念。其适用性取决于机构和具体情况。处于该范围之外的公司仍可研究这些原则，但不应将其视为强制性要求。

在模型、数据、工作流程或用途发生重大变化后，应重复验证。供应商的通用基准不能替代针对公司自身的验证。资金拨付关口应说明哪些未解决问题会阻碍运营或规模化。

24. 测试受限部署

受限部署将系统置于受控运营范围内，配备有代表性的用户和真实工作流程，同时限制风险敞口。边界可包括金额、客户、地域、产品、决策类型、用户、交易量和持续时间。回退流程应保持可用。

该计划应衡量适当使用、质量、例外、事件、周期时间、运营结果和现金路径。用户应报告摩擦和变通做法。控制团队应测试监控和升级机制。管理层应避免在测试期间扩大范围而不记录变更。

结果可以支持规模化、重新设计或停止。技术上成功的测试仍可能未通过采用关口或现金关口。商业上前景良好的测试仍可能未通过关键控制关口。

受限部署应包括事件和未遂事件的记录。较小的人群可能不会产生统计上频繁的事件，但可信的失败路径仍可能具有重大影响。用户需要简单的报告渠道，并应受到保护，避免因激励因素而隐瞒例外。委员会应审查严重性、可检测性和控制响应，而不仅仅是事件数量。这为规模化设计提供了更丰富的证据。

25. 在规模化前要求复现

复现要检验结果能否经受新用户、新时段、新案例、新地点、新数据和新运营条件的考验。企业价值取决于能否超越原始团队和精选样本实现泛化。复现计划应识别规模化带来的变化。

公司应预先定义可接受的性能下降、新控制措施和支持要求。复现可能揭示绩效依赖于某一位专家、干净的数据或异常的流程纪律。这些依赖关系可以加以解决，或用于缩小范围。

复现还应检验经济性。新业务单元可能交易量较低、劳动力成本不同或整合费用更高。因此，相同的绩效可能产生较弱的回报。商业论证应按群体更新单位经济性，并避免假定技术复现就能保证财务复现。只有当部分群体同时达到价值和控制阈值时，规模化才可有选择地推进。

规模化资金应仅针对有证据支持的群体释放。新增地域、语言或受监管场景可以设置各自的关口。这可以保护价值，并避免将一个成功用例表述为企业级能力。

26. 保留架构与供应商选项

商业论证应比较自建、购买、配置、合作和混合路线。每条路线都会改变速度、成本、控制、能力、知识产权和依赖关系。公司可以使用阶段关口，将不可逆的架构选择推迟到证据更加充分时再做。

模块化可以保留更换模型、供应商或工作流的能力，也可能增加集成成本。董事会应了解哪些组件可移植、哪些为专有组件。在妥善治理的前提下，数据、评估集、提示词、接口和运营知识都可以成为战略资产。

供应商选择应遵循已批准的用途和证据要求。通用企业合同不应自动批准所有用例。模型、条款、数据处理或价格的重大变化应根据后果触发审查。

27. 整合法律与监管审查

法律与监管边界取决于司法管辖区、行业、用户、数据、决策和后果。提案应识别适用要求和具备资质的负责人。应避免在没有针对具体事实进行分析的情况下，泛泛声称某工具合规。

CBUAE 已发布指引，涉及其监管范围内的消费者保护以及负责任地采用和使用AI与机器学习。DFSA 报告称，DIFC 内生成式AI的应用日益增多，治理也在发展。组织应查阅最新官方材料，并针对自身具体事实获得合格建议。

监管证据可能改变产品范围、人工审查、记录、解释、验证和监控。这些要求是经济投入要素。审批延迟或新增控制可能改变净现值和时点。

28. 考虑员工队伍影响

AI可能改变任务设计、技能、工作量、监督和问责。商业论证应识别受影响岗位、当前工作、未来工作、培训、过渡和员工关系要求。员工队伍行动需要合格审查和经授权的管理层决策。

释放出的时间并不自动等同于节约。管理层应明确其支持的是产能、服务、质量、避免招聘、减少外部支出，还是经批准的岗位调整。现金测算应反映所选机制和时点。

员工队伍证据也会影响采用。员工能够识别技术团队遗漏的流程例外和控制需求。参与应有结构、有记录，并符合适用法律和政策。

29. 治理安全与韧性

安全设计应涵盖数据、身份、访问、模型和提示词攻击、软件供应链、日志记录、事件和恢复。提案应识别遭入侵的业务后果和后备流程。控制措施应在相关运营关口前进行测试。

英国国家网络安全中心和国际合作伙伴已发布安全AI系统开发指南。NIST 也发布了网络安全和AI风险资源。这些材料在结合架构和义务进行调整后，可为该计划提供参考。

韧性包括供应商中断、模型撤回、性能下降和连接中断。冗余、人工后备和恢复的成本应纳入商业论证。造成关键依赖的系统可能需要不同的风险偏好和回报门槛。

30. 构建董事会决策仪表盘

仪表盘应显示待决策事项、累计资本与条件性资本、基准情形、反事实情形、业绩、采用率、控制状态、净现金区间、剩余风险、关口结果和下一截止日期。它应标明数据来源日期和问责负责人。单一绿色状态可能掩盖价值路径或控制路径的失效。

董事会应同时看到水平与趋势。模型业绩可能仍高于阈值，而采用率却在下降。采用率可能上升，而现金转化仍然缺失。控制事件可能改变可接受范围。仪表盘将这些信号连接起来。

例外事项应关联至决策。每个红色或琥珀色事项都应说明风险敞口、行动、负责人、截止日期和权限。叙述应解释自上一关口以来的重大变化，而不是重复活动。

评分与数值均为假设性的管理层假设；关键关口在汇总视图之外仍然可见。

表4. 董事会融资关口仪表盘

每个状态都应关联来源证据、责任人和决策后果。

31. 界定停止和重新设计条件

停止条件可包括未能确立重要性、不可接受的绩效、权利缺失、关键控制失效、采用率低于阈值、现金转化率超出范围、成本超过上限或复现失败。这些条件应可观察，并与权限挂钩。

当问题仍然重大且证据表明存在可修复路径时，重新设计可能是合适的。范围可以收窄，工作流可以改变，数据可以改进，或者供应商可以被替换。委员会应批准修订后的成本、时间安排和证据，而不是非正式地将计划继续推进。

还应界定重启条件。已停止的计划可在出现新证据或完成整改后恢复。记录应保留此前发现的问题，以免同一个薄弱的投资论点在新名称下被反复资助。

32. 防止效益虚增

效益虚增可能源于宽泛的人群范围、冻结的基线、缺乏反事实、总收入、释放的时间、重复计算、遗漏成本或缺乏支持的复制推广。商业论证应对每项风险设置明确的检验。财务部门应负责效益政策和核对。

发起人可以因学习和有纪律的停止而获得奖励，而不仅仅是因规模扩张。否则，治理体系可能鼓励乐观假设和继续推进。决策质量应包括通过及早证伪而保住的资本。

独立质疑可以检验证据、方法和激励机制。重大推翻决定应记录原因和责任人。按效益类型和发起人分析历史偏差，可以在不假设存在不当行为的情况下改进未来的应急安排。

33. 在商业论证中使用机器辅助

机器辅助可以索引源文件、提取假设、发现不一致的数值、生成敏感性情景并监测证据。它应保持与来源的链接并披露置信度。生成的论断在重大决策前需要核实。

用于编制商业论证的工具本身在相关情况下就是一个 AI 用例。其数据、安全、模型、人工复核和记录控制应与后果相匹配。机密交易、客户和员工信息需要按获批方式处理。

董事会应收到由责任管理层提出的建议，而不是不透明的模型评分。模型可以支持计算和质疑，但不能承担信义、法定或受托责任。

34. 在批准后衡量已实现价值

已实现价值报告应在有限范围的部署阶段开始，并在规模扩大后持续进行。它应保留已批准的论证、当前预测、反事实和实际结果。差异应归因于范围、时间、绩效、采用情况、成本、市场和管理行动。

财务部门可以在可行情况下将重大现金影响与管理账目以及银行或分类账证据进行核对。运营负责人确认因果关系和持续绩效。控制负责人报告事件和剩余风险。综合视角可防止在质量或风险恶化时仍报告财务效益。

效益应有退出和复核规则。一次性节约不应变成经常性运行率。重组后基线可能发生变化。治理方法应保持足够一致，以支持学习。

35. 创建效益台账

效益台账记录每项机制、基线、反事实情景、公式、负责人、证据、成本、时点、状态和审批历史。它将总机会、经验证的运营成果、已确认的运行率和已实现现金分开。这防止不同团队以不同含义使用同一指标。

负面效益和不利影响应纳入同一台账。客户流失、质量下降、员工负担、事件成本和供应商锁定可能抵消价值。董事会应看到净结果。

变更需要版本控制。当发起人修订范围或假设时，台账应展示与已批准方案的桥接。这使已实现价值审查具有建设性并以证据为基础。

表5. 效益台账字段

该台账提供了从提案到运营证据和已实现现金的可追溯衔接。

36. 进行假设性演算示例

设想一家假设公司正在评估由 AI 辅助的合同审查工作流程。该公司每年处理 60,000 份文件。受控基线为示意性数据：每份合格文件耗时 42 分钟、6% 的重大返工，以及 USD 5.8 million 的年度内部和外部处理成本。这些数字均为假设，并不描述任何公司。

该提案预测处理时间将示意性减少 35%，返工减少 30%。假设完整的三年生命周期成本为 USD 4.6 million，包括数据、集成、许可、保证、培训、监控和退役。初步总收益估计为三年内 USD 8.2 million，尚未考虑采用率、质量、替代和现金转化。

委员会不拨付全面推广资金。其批准 USD 350,000，用于基线确认、数据权利、工作流程设计和验证。该关口要求提供具有代表性的文件、预先定义的质量、审查人员证据和安全验收。

37. 对示例应用受限部署

假设性验证显示，其在常规协议上表现可接受，但在非标准责任条款上存在重大缺陷。范围因此收窄。受限部署涵盖已界定的低风险文件，并强制进行审查和升级。委员会再拨付示意性的 USD 900,000，用于集成和受控运行。

三个月后，假设适当采用率达到 74%。在范围内，处理时间示意性下降 24%，而审查人员的例外处理工作量高于预测。未假设任何客户或法律结果。财务部门收窄了净收益区间，项目资金用于界面和培训改进。

该证据支持继续在限定范围内使用。它不支持企业级规模。非标准文档群体仍不在批准范围内。决策记录保留了这些限制。

38. 测试复制与现金转化

假设性复制新增两个业务单元、一个新的文档周期和不同的审核人员。绩效仍处于受限文档类别的预设范围内。工作流程变更后，采用率上升至示例性的83%。外部审核支出下降，而内部能力得到部分重新配置。

财务部门仅在已实现现金桥中确认减少后的外部支出和经批准的招聘规避金额。尚未转化为成本或收入的释放时间仍属于能力收益。在计入生命周期成本后，这产生 USD 2.1 million 至 USD 3.4 million 的示例性三年净现金区间。

委员会现在可以决定，这一回报、剩余风险和战略能力是否足以支持进一步扩大规模。所有数值仍为分析性假设。该示例展示的是方法，而非预测或建议。

39. 在九十天内实施该框架

第1至30天可界定治理、提案模板、收益政策、证据分类体系、关口权限和 AI 清单。财务和运营部门可选择两个进行中的案例并建立受控基线。风险、法律、隐私、安全和技术的负责人可在其职责范围内界定关键关口。

第31至60天可使用反事实、生命周期成本、采用、控制和现金路径重建这些案例。公司可测试收益台账和仪表板。用于证据管理的任何机器辅助都应获得经批准的数据和审核控制。

第61至90天可召开第一次关口委员会、记录决策、释放附条件资金并建立已实现价值报告。董事会应审查例外情况和方法局限性。下一周期应使用观察到的准确性、采用率和转化证据来校准假设。

40. 让证据成为规模化单位

AI 演示回答的是系统能否在选定条件下产生输出。董事会级商业论证回答的是，一项明确的运营变革能否在可接受的风险、成本和控制范围内创造可归属价值。这一区别决定了资本纪律。

基线和反事实建立比较。采用和工作流程证据确立运营使用。控制证据确立允许范围。生命周期经济性和现金转化确立财务价值。复制确立可支持规模化的总体范围。

资金关口使公司能够在承担企业级敞口之前先获取证据。它们保留了收窄、重新设计或停止的能力。当已实现结果更新未来假设时，组织将形成一种可重复的 AI 投资能力，并由承担责任的董事和高管治理。

参考文献

1. 美国国家标准与技术研究院，《人工智能风险管理框架 1.0》，2023年。 https://doi.org/10.6028/NIST.AI.100-1
2. 美国国家标准与技术研究院，AI RMF 核心。 https://airc.nist.gov/airmf-resources/airmf/5-sec-core/
3. 美国国家标准与技术研究院，AI RMF 操作手册。 https://airc.nist.gov/airmf-resources/playbook/
4. 美国国家标准与技术研究院，《人工智能风险管理框架：生成式人工智能概况》，2024年。 https://doi.org/10.6028/NIST.AI.600-1
5. UAE 中央银行，消费者保护与负责任采用和使用人工智能及机器学习的指引说明，2026 年。 https://rulebook.centralbank.ae/en/rulebook/guidance-note-consumer-protection-and-responsible-adoption-and-use-artificial-intelligence
6. 迪拜金融服务管理局，AI 2025 年调查：DIFC 中生成式 AI 的采用与治理，2025 年。 https://www.dfsa.ae/news/new-dfsa-ai-survey-generative-ai-adoption-has-nearly-tripled-within-difc-last-12-months-governance-continues-develop
7. OECD，《AI 在中小型企业中的采用》，2025年。 https://www.oecd.org/en/publications/ai-adoption-by-small-and-medium-sized-enterprises_426399c1-en.html
8. OECD，《人工智能在企业中的采用》，2025年。 https://www.oecd.org/en/publications/the-adoption-of-artificial-intelligence-in-firms_f9ef33c3-en.html
9. OECD，《各国 AI 采用者画像》，2023年。 https://doi.org/10.1787/0fb79bb9-en
10. 英国政府，《数字与数据效益框架》，2026年。 https://www.gov.uk/government/publications/digital-and-data-benefits-framework/digital-and-data-benefits-framework
11. 英国财政部，《绿皮书：中央政府评估与评价指南》。 https://www.gov.uk/government/publications/the-green-book-appraisal-and-evaluation-in-central-government
12. 英国政府，《管理您的人工智能项目》。 https://www.gov.uk/guidance/managing-your-artificial-intelligence-project
13. 金融稳定理事会，《人工智能对金融稳定的影响》，2024年。 https://www.fsb.org/2024/11/the-financial-stability-implications-of-artificial-intelligence/
14. 国际标准化组织，《ISO/IEC 42001 人工智能管理体系》。 https://www.iso.org/standard/81230.html
15. 国际标准化组织，《ISO 31000 风险管理》。 https://www.iso.org/iso-31000-risk-management.html
16. 美国联邦储备委员会与美国货币监理署，《模型风险管理监管指引》SR 11-7 与 OCC 2011-12.。 https://www.federalreserve.gov/supervisionreg/srletters/sr1107.htm
17. 英国国家网络安全中心，《安全AI系统开发指南》，2023年。 https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development
18. 美国国家标准与技术研究院，《网络安全框架2.0》，2024年。 https://doi.org/10.6028/NIST.CSWP.29
19. 国际财务报告准则基金会，《国际会计准则第38号——无形资产》。 https://www.ifrs.org/issued-standards/list-of-standards/ias-38-intangible-assets/
20. 国际财务报告准则基金会，《国际会计准则第36号——资产减值》。 https://www.ifrs.org/issued-standards/list-of-standards/ias-36-impairment-of-assets/
21. 国际财务报告准则基金会，《国际会计准则第7号——现金流量表》。 https://www.ifrs.org/issued-standards/list-of-standards/ias-7-statement-of-cash-flows/
22. 美国反虚假财务报告委员会下属发起人委员会，《企业风险管理框架》。 https://www.coso.org/enterprise-risk-management
23. 经济合作与发展组织，OECD AI 原则。 https://oecd.ai/en/ai-principles
24. 欧盟委员会，《可信AI伦理指南》，2019年。 https://digital-strategy.ec.europa.eu/en/library/ethics-guidelines-trustworthy-ai
25. 英国政府，AI 英国政府操作手册，2025年。 https://www.gov.uk/government/publications/ai-playbook-for-the-uk-government