监管处罚案例里的系统教训

学习合规最快的办法不是读法条，是读处罚决定书。证监会和地方证监局的处罚通报是公开的，每年几十份，把"内控不完善"这类抽象表述拆开看，底下的事实描述几乎是系统缺陷的清单。这篇挑五类最高频的根因做复盘，每类对应一条可以直接落到工程上的要求。

一、系统故障：没有监控的瘫痪不算事故，算"未报告"

通报里反复出现的句式是"公司集中交易系统于 X 日 X 时至 X 时中断，未能及时向监管报告"。注意处罚的落点不是"系统中断"本身——大型系统谁没宕过机——而是两个附加事实：中断持续数小时无感知（靠客户打爆客服电话才发现），以及事后未及时报告（压着不报，被监管从其他渠道得知）。

翻译过来是两条工程要求。监控覆盖要到"业务能感知"的粒度：进程活着、接口能连都不等于系统正常，必须有端到端的合成委托——模拟客户端每 30 秒下一笔探测单（走全链路，回报后自动撤掉），探针失败即告警。这个探针本身挂掉也要被发现，否则探针静默等于系统静默。其次是事故上报要有明确门槛和免罚预期：内部 SOP 写清"中断超过 N 分钟必须报告"，并且组织上要让一线员工相信"报了不罚、瞒了重罚"——瞒报在监管量刑里是加重情节，通报里"未及时报告"和"情节恶劣"几乎总是同现。

二、清算差错：对账不平被人行/客户先发现

另一类高频处罚是"清算差错导致客户资金被多扣/少扣"。事实还原后几乎都是同一个剧本：日终对账差异存在，被挂账处理（《对账体系》的挂账机制），但挂账没有时效管控，一挂几周，最后是银行或客户投诉才发现。处罚表述一般是"客户资金管理存在漏洞、对账制度执行不到位"。

对应的工程要求：挂账必须有账龄管理和升级机制。差异挂账是止血不是结案——超过 T+1 未追平的差异自动升级到处置队列，超过一周升级到部门负责人。挂账余额本身就是监控指标，趋势异常（单日挂账金额陡增）要先于个案被发现。更进一步，差错处理的复盘要区分"操作差错"和"系统缺陷"：如果是系统算错了费，修这一笔没用，同类型的存量数据要批量追溯——通报里有案例就是同类差错重复发生数月，因为每次只手工修了投诉的那一笔。

三、适当性拦截只做在前端

"向风险承受能力不匹配的客户销售产品"是适当性处罚的标准事实。技术还原后常见两种形态：匹配校验只做了 APP 前端，客户用旧版本客户端或 API 直接下单绕过；或者测评到期后服务端校验缺失，只在前端弹了重测提示。两种都是"看起来做了，实际没拦"。

这类案例的教训在《适当性管理》里已经展开，处罚通报只是给了一个量化视角：一旦被认定，处罚金额之外还有更贵的东西——同批次销售的全部客户都要回溯核查，理财产品可能触发批量投诉和赔付，后续几年的现场检查都会被"重点关注"。拦截逻辑做在服务端、每个委托入口都过闸，成本远低于事后补救的一个零头。

四、权限与变更：万能账号和未评审的上线

"某营业部员工利用系统权限违规查询客户信息并牟利"——通报里这类案例的共性是权限收敛形同虚设：账号长期不回收（调岗离职未禁用）、权限申请一次到位永久有效（没有再评审）、查询和导出没有阈值告警（一次性拉走数万条客户数据，系统无感知）。

对应的工程清单：账号与 HR 系统联动，离职/调岗自动触发权限回收（这是自动化收益最高的一个点，纯靠制度必漏）；高权限账号定期重认证；批量查询和导出的行数阈值加审批加水印（《投资者信息保护》的三件套）。变更侧对应的是"系统参数配置错误导致"类通报：新业务上线未经充分测试、参数改完没有复核、回滚方案不存在。变更管理的三件套——评审记录、灰度方案、回滚预案——在监管语境里不是流程洁癖，是"可证明的谨慎"。

五、留痕缺失：说不清就按没做算

最后一类最耐人寻味：很多处罚的加重情节不是"做了错事"，而是"拿不出证据证明做了对的事"。双录缺失、日志留存期不足、审计记录可以被修改——这些都出现在"内控有效性不足"的认定里。监管的逻辑很直接：无法验证的控制等于不存在。

这解释了为什么《审计日志》的哈希链、《适当性管理》的证据关联、《合规报表》的口径版本这些"平时纯成本"的设施，在处罚语境里是减刑材料。现场检查时能当场调出一笔交易的完整证据链（委托日志、风控判定及参数版本、双录、清算流水），和调不出来的公司，在"是否勤勉尽责"的认定上是两个世界。

一张对照表

把这六条做完，挡不住故意作恶，但能把"能力问题"和"态度问题"区分开——监管处罚的力度，很大程度就压在这两者的区分上。