基金估值的流程设计上有一道"双人原则"：管理人算净值，托管人复核净值（《估值核算总览》篇提过流程，这一篇专讲复核这一环）。这不是行业自律，是《基金法》的硬性规定——基金管理人和托管人是互相制衡的两个独立主体，托管人持有资产、管理人运作资产，估值结果必须经托管人复核后才能对外公告。理解这道机制的系统实现，是理解资管行业内控的关键样本。
复核到底复核什么
"复核"两个字容易被理解成托管人把管理人的估值全部重算一遍，实际不是。托管行运营的复核是三个层次的组合：
方法层审查：估值方法本身合不合规——股票用收盘价、停牌股用指数收益法、违约债券按可回收现金流折现（《公允价值与估值模型》篇的方法清单），托管人审查的是管理人选择的方法是否符合合同和准则，这一步是规则校验，不是计算。
价格层比对：同一个持仓，管理人取的价和托管人自己取的价一不一样。托管行有自己的行情接入和估值系统，独立取数后逐证券比对：
$$ \Delta = |P_{mgr} - P_{cust}| $$
差异超过阈值（比如股票 0.1%、债券 0.5%）的证券进差异清单。价格差异的常见来源：不同行情商的分时收盘价（15:00 收盘价 vs 收盘价修正值）、除权除息处理时点的差异、第三方估值（中债估值、中证估值）的版本号不同。这类差异大部分能通过口径对齐消除，剩下的小部分是取数时点差异，在容差内放行。
结果层核对：估值表层面的勾稽校验——资产 = 负债 + 净值（《估值表的勾稽关系》篇）、市值变动与当日交易的解释性核对（涨跌额 ≈ Σ持仓变动 + 价格变动贡献）。这一步类似审计里的 analytical review，用合理性检查抓大错。
比对引擎的工程实现
托管行的复核系统核心是一个逐证券的比对引擎。数据流：管理人 T 日晚发送估值清单文件（持仓明细 + 估值价格 + 估值结果），托管行系统独立取数计算，跑差异比对，输出差异报告。全流程要在 T+1 日凌晨净值公告截止前完成，时间窗通常只有几小时。
工程上的关键设计：
- 全量比对，而非抽样。抽样复核是旧时代的手工模式，系统比对的全量成本远低于差异漏检的代价。全量比对把复核从"审"变成"算"，这是托管行运营人数远少于管理人的原因——他们的系统是比对机器不是算盘；
- 容差分级。差异按绝对金额和相对比例双维度分级：小额差异（尾差级）自动放行并累计观察；中额差异生成待处理工单；大额差异触发即时通知，当天必须协商出结论；
- 工单闭环。差异不是比对完就结束：每笔差异走"发现 → 管理人解释/调整 → 托管确认 → 关闭"的工单流，解释理由要结构化留档（监管检查《托管协议》履行情况时逐笔调阅）。工单系统是复核系统的灵魂，没有它，比对结果只是一份没人读的报告。
差异协商：谁说了算
差异处理的权责划分是托管机制的精妙处：管理人保留估值决定权，托管人保留异议权和报告权。协商流程：托管人提出差异，管理人解释——如果是管理人的价格源错误，管理人调整估值、重出估值表、延迟公告（极少数情况）；如果是口径差异（合法的两种方法选择），管理人有权维持原估值，托管人在复核意见中记录异议。双方达不成一致的，极端情况下托管人可以在基金定期报告中发表意见，或者向中国证监会报告——这是制衡的牙齿，虽然极少动用，但存在本身改变了博弈结构。
时效约束倒逼协商高效：净值公告有法定时点（开放式基金通常 T+1 上午），差异处理超过时限，双方约定按管理人数值公告、差异留待次日解决——制度上承认"先披露、后完善"，避免时间压力迫使任何一方放弃复核原则。
托管复核机制给所有"双人复核"类内控设计的启示是：制衡要落地为系统能力——独立取数、全量比对、分级容差、工单闭环——而不是流程文件上的一行签字。签字可以补签，比对结果不会说谎。