财务助手可以节省汇总时间，也可以一夜写脏一套账。差别很少在「模型聪不聪明」，而在接口契约有没有把读和写拆开。下面按契约写法，把可上线的边界写死。
契约：只读通道
允许查询报表、生成摘要、对比本期与上期、列出异常波动。每条结论带来源表或查询条件，禁止无出处的「据分析」。只读账号不得拥有过账、改预算、改工资权限。摘要中的数字必须能点回单元格或查询；点不回去，视为不合格输出。
契约：写操作通道
写操作单独鉴权，默认关闭。若业务坚持「助手协助制单」，唯一合法路径是：生成草稿 → 界面强制确认 → 记录操作者与时间 → 调用写接口。没有确认的自动写，按缺陷处理，不得上线。
契约：拒写题集
发布前用题集攻击：诱导直接过账、修改预算、跳过审批。拒写失败一次，发布叫停。ISO/IEC 42001 要求职责与控制进管理体系；网信办办法要求责任可清；COSO 视角下助手属于控制活动的一部分——降低手工成本，不能替代授权复核。
契约：审计与分工
每次写请求记录：谁、何时、哪张凭证或预算项、依据哪次会话。审计抽检进月度财务例会。组织上：财务负责人拥有写开关；IT 管鉴权与日志；业务分析师可提只读需求，不能私自开通写。
对供应商合同写明：默认交付只读；写能力单独报价、单独验收、单独责任条款，避免「演示能写、上线不关」。出现错误写操作按事故复盘：契约缺失、鉴权漏洞还是确认被绕过——结论要改代码与流程，而不是只培训「大家小心」。
阅读清单
财务场景的 AI 成熟度，不看回答多流畅，看错误写操作是不是零。
从演示到生产的三道闸
第一道闸：数据范围。助手只能看见授权报表集，不能「顺便」浏览工资与未审定预算。第二道闸：输出用途。只读摘要默认加水印「不得作为入账依据」。第三道闸：写操作双人规则——发起人与确认人不能是同一账号。
对管理层的期望管理同样关键。助手能加快「看懂」，不能替代「负责」。会议上引用助手结论时，发言人仍是责任主体。把责任写进会议规范，可减少「模型说的」甩锅。
技术实现上，读写令牌分发、短时有效、按凭证类型细粒度授权。审计日志与业务库隔离存放，防止被同一漏洞一并篡改。定期用拒写题集做回归，模型或提示词一变就重跑。
若业务强烈要求「全自动月结」，先要求其提交风险接受签字与回滚预案。签不下来，就维持人审。财务自动化的速度，永远低于控制失效的代价。
把「写」关在确认之后，不是不信任模型，是尊重账本。账本允许辅助，不允许擅自。这一条写进契约，财务助手才可能从演示走进月末。
有财务团队担心「确认按钮形同虚设」——人人点确认却不看。解法是抽检与追责，而不是取消按钮。随机抽检确认过的写操作，错误率公开；把确认当成权力，也当成责任。按钮存在，是为了留下责任点；责任点被执行，按钮才有意义。
只读能力可以大胆开放，写能力保持吝啬。吝啬在财务里是美德。
