Bab 19 — Digitalisasi: Menjadikan Institusi sebagai Sistem yang Berfungsi

第十九章　数字化：让制度成为可运行的系统

本章导读　本章小结

准备选择软件，可先用19.1与19.2确认要记录和执行哪些制度事项；负责信息与实施的人，应重点读19.3；涉及通证或证券权益的设想，则必须结合19.4区分底层权利和数字表达。阅读时把每个系统功能接回一条真实责任：谁输入事实、谁有权判断、谁提供履行资源、谁处理异常。技术价值由运行结果来检验。

本章概述

共同创造的制度需要在日常经营中持续运行。不同主体的身份与关系需要准确识别，分散的贡献需要有据可查，已经明确的规则需要得到一致执行，权益与责任需要能够接续。数字化把这些相互联系的事项纳入可以追溯和核对的系统，使企业能够组织不断增加的协作，也使参与者能够了解自己的投入、权益及有关事项的处理进展。

本章从身份、关系与贡献账本出发，建立制度运行的记录基础；通过规则引擎、权益账户与审批流程，将事实连接到判断、决定和履行；通过现有系统的衔接、数据保护与审计支持，使信息能够适当使用，错误能够得到发现和纠正；再区分治理层与资本层，说明通证和证券权益的数字表达如何对应真实的制度关系。

数字化的可靠性，建立在清楚的规则、有效的授权与真实的履行之上。技术记录需要能够追溯其依据，自动执行需要保持权限边界，系统异常需要有人接续责任。不同权益应保留各自的性质与条件，参与者也应能够理解相关信息、提出异议并获得回应。企业据此选择适合自身的技术与实施范围，使系统建设服务于可信合作，支持共同创造的持续积累。

19.1 建立利益相关者身份、关系与贡献账本

贡献确认、权益设计和治理机制，需要在持续经营中被准确使用。人员会变化，合作会扩展，规则也会调整。企业需要能够查明一项投入由谁作出、发生在哪种关系中、依据什么得到确认，以及后续由谁处理。数字化首先要建立这些联系，使已经明确的制度能够持续运行。

本书所说的利益相关者身份、关系与贡献账本，是围绕参与主体、合作关系、贡献事件及其处理形成的一组相互关联的记录。它可以由不同系统共同承载，通过清楚的标识和记录规则保持联系。“账本”在这里表达的是可查阅、可接续的制度记录，不预设特定技术，也不直接等同于财务账簿、资产确认或证券登记。

建立账本，应从辨认参与主体开始。个人、企业及有关组织需要分别记录；对于参与协作或受到影响的群体，也可以按治理需要记录其范围和联系依据。群体记录用于理解共同处境与参与关系，其能否独立承担义务、取得权益或由他人代表，仍需另外核对。

同一主体需要有在相应管理范围内保持稳定的标识，使其不同关系和活动能够相互联系。姓名、联系方式或显示名称可以变化，不能单独承担持续识别的任务。不同记录疑似属于同一主体时，应先核实再关联；发生误合并时，也需要能够恢复正确联系，避免把他人的贡献和权益混入其中。

第十一章区分的主体、身份、角色与权限，在数字化中仍需保留。主体回答正在与谁建立关系，业务身份说明基于什么关系参与，角色说明在具体事项中承担什么任务，权限则说明能够采取什么行动。登录账户是使用系统的入口，不能替代上述全部判断。

美国国家标准与技术研究院的数字身份指南指出，数字身份具有具体服务情境，一个人可能拥有多个数字身份，并区分身份核验与登录认证等过程。¹⁹¹这一视角提示企业，能够识别一个账户，与能够确认真实主体、组织代表资格及业务权限，需要分别处理。

企业可以根据事项用途和误认风险，确定所需的身份核实程度。提交一般反馈、查询自身记录与代表组织确认重要安排，对身份和授权的要求可能不同。有关要求应支持准确辨认和合理使用，避免不加区分地要求所有参与者提交与当前事项无关的信息。

个人与其代表的组织，应通过明确关系连接。系统需要知道实际操作者是谁、此次以何种资格行动、代表哪个主体，以及授权覆盖哪些事项和期间。联系人可以传递信息，材料整理者可以代为提交，能够确认组织承诺的人则需要相应权限。这些行为不能仅因使用同一账户而混为一体。

关系记录应当说明关系的双方、类型、涉及事项、成立依据和有效期间。工作、消费、供货、共同开发与代表授权，可以在同一主体身上同时存在。每项关系还应保留来源和核对状态，使正式约定、当事人说明与尚待确认的联系能够被辨明。

关系也可以来自实际影响。某些主体没有直接交易，却可能受到企业活动的影响。账本可以记录有关事项、提出的主张及联系途径，为后续回应提供依据。登记受影响关系，不应被解释为有关事实和责任已经全部认定，也不应以缺少合同为由拒绝记录值得核查的问题。

关系具有时间边界。系统应能够说明某项角色何时开始、何时调整、何时结束，以及当时适用什么授权。当前角色发生变化，不应覆盖过去的有效关系。退出某项工作之后，原工作权限可以按规则结束，尚待履行的承诺及其他继续存在的关系则需要分别处理。

贡献账本围绕实际事件建立。它将第十五章的贡献确认过程落实为连续记录：谁在什么任务中提供了何种投入，发生于哪个期间，形成了什么成果或条件，以及哪些内容已经核对。企业可以按实际工作选择记录尺度，让必要事实足以支持判断，同时控制填报负担。

业务系统产生的记录，可以成为贡献事件的来源。交易、任务完成、服务反馈或资源交付，提供了不同的事实线索。是否进入贡献确认范围、需要怎样理解其作用，仍应依据经营目标和相应规则判断。活动留下了数字记录，并不意味着其已经被确认为贡献。

一项实际事件应有稳定标识，并与原有任务、交付和业务记录保持对应。来自不同部门的记录如果描述同一事项，应建立联系，防止反复导入后被当作多项投入。共同完成的成果可以关联不同参与者及其行动，保留整体成果与各方贡献之间的关系。

这种关联也需要区分组织投入与个人行动。一个组织承担合作任务，具体人员负责执行，账本可以同时说明这两层事实。后续汇总时，应明确采用什么观察范围，避免把同一成果在组织和个人层面的记录相加，误认为共同创造的成果随之增加。

贡献事件还应连接到支持判断的证据。交付材料、接收记录、过程说明和专业意见，需要能够查明来源、形成时间及所支持的事实。记录中可以保留必要材料，也可以关联能够持续查阅的原始资料；重要的是使用者能够理解结论依据什么形成。

万维网联盟的数据溯源模型，将资料、活动及有关责任主体之间的联系作为理解信息来源的基础，并支持表达资料派生与修订关系。¹⁹²本书借鉴这一思路，使贡献记录能够说明材料由谁形成、经过什么处理，以及当前结论与原有记录怎样连接。

来源清楚有助于核查，事实是否准确仍需要适当判断。系统记录的时间、确认操作和修改轨迹，可以说明信息如何进入账本；材料是否完整、身份是否对应、评价是否合理，则需要相关职责主体继续检查。账本应保存判断依据及其限度，使数字形式与事实可信程度分别得到对待。

身份、关系与贡献记录，可以通过以下内容连接起来：

账本需要保留贡献的具体含义。投入数量、观察到的成果和评价结论，应分别说明口径、单位与期间。不同性质的劳动、资源、反馈或协作，可以采用适合其任务的记录方式。一个综合分数如果被使用，也需要保留形成依据和适用范围，不能抹去原有事实及差异。

办理进展与事实核对状态应分别呈现。已登记、办理中、已告知和已作修正，说明事项处理到哪一步；已核实、待核实、有争议和资料不足，说明特定事实的证据与判断情况。按规则作出的确认决定，还应注明权限、版本和结论范围。同一事件可以部分内容已经确认，部分作用仍待观察。缺少记录或暂时无法确认，不能直接被系统归为没有贡献；存在争议，也不意味着其他独立成立的判断全部失效。

贡献账本与权益账户需要相互连接，也需要保留各自的判断。贡献记录说明有关行动及其确认情况；具体权益仍须结合既有报酬、责任、风险和适用安排形成。已确认贡献不自动等同于已经取得股权或形成应付金额。对于原有合同或其他有效安排已经成立的权益，应关联其独立依据，不能要求参与者先在新账本中重新获得贡献认可，才继续履行。

事件发生、信息登记和确认决定，可能处在不同时间。账本应分别保留这些时间，并关联当时适用的关系和规则版本。这样，事后补录可以被如实辨认，按原规则形成的判断与之后作出的调整也能够区分。新的规则版本不应自动改写历史确认结果。

记录纠正需要留下适当联系。新增材料、误认修正和确认结果调整，应说明改变了什么、依据什么、由谁处理，以及当前有效结论是什么。追溯需要与信息保护相协调，记录的保留范围和期限仍应有相应依据，不能以保存历史为由无限积累无关资料。

不同来源发生冲突时，应保留各自出处、争议内容和处理状态，再由具有相应职责的主体核对。某个系统较早保存信息，或者某份材料来自企业内部，都不足以单独决定哪项判断正确。未经核实的关联，不应通过系统汇总成为看似确定的结论。

导入历史资料时，也需要说明原有记录覆盖什么期间、采用何种标准，以及哪些部分已经确认。无法补足的材料缺口应如实标注。导入是信息整理的一步，不能把所有旧数据自动提升为经过当前程序确认的贡献，也不能以尚未完成导入为由否定已经成立的权利。

账本可以支持四大生态与六套体系的整体观察。同一主体或事件可以与资源组织、运管协同、客户使用和资本支持等环节建立联系，帮助企业理解价值如何在不同活动中形成。这些分类表达的是观察角度，同一事项被多个角度引用，仍需保留其共同来源和统计边界。

账本建设还需要明确维护责任。业务人员负责说明事件和来源，确认者负责相应判断，制度负责人依授权维护规则记录，技术人员保障记录能够可靠使用。具体分工可以结合企业规模安排，但修改系统数据的能力，不应被直接等同于改变业务结论或权益安排的权限。

记录应能够支持有关参与者了解自身关系、贡献的确认依据及待处理事项，并通过适当方式补充和纠错。管理者则需要看见任务联系、确认进展和尚未接续的责任。不同使用目的可以对应不同信息范围，使账本既支持沟通，也尊重有关主体的信息边界。

企业可以先围绕一类明确的贡献事项，整理所需主体、关系、事件和证据，检验记录是否能够连接到确认与后续处理。已有资料能够提供的内容，应尽量关联使用；确有必要的缺口，再补充采集。建设进度应结合准确性、处理负担和实际用途判断，而不能只看登记人数或数据总量。

身份准确对应主体，关系保留具体依据，贡献能够追溯到事件与确认，共同构成制度运行的记录基础。企业据此可以接续责任、说明决定，并通过规则引擎、权益账户与审批流程，将可信记录连接到具体行动。

19.2 用规则引擎、权益账户与审批流程执行制度

身份、关系与贡献账本，为制度提供可以追溯的事实基础。企业还需要将这些事实连接到具体处理：哪些条件已经满足，应当形成什么安排，谁负责判断，以及怎样完成履行。规则引擎、权益账户与审批流程共同承担这一任务，使日常经营中的记录能够进入持续运行的制度。

规则引擎按照明确条件处理输入，形成计算或判断结果；权益账户记录有关主体取得、行使和调整权益的具体情况；审批流程则把需要人工判断或授权确认的事项交给相应职责主体。三者通过同一事项及其依据相互连接，使处理过程能够解释，也使后续责任能够接续。

系统执行应以已经成立的制度依据为起点。哪些规则经过适当程序制定，适用于哪些主体和期间，允许自动处理什么，哪些事项需要另行确认，都应在配置之前明确。技术人员可以帮助把规则表达清楚，配置能力本身不构成新增承诺或改变他人权益的授权。

一项可以执行的规则，需要说明触发事项、必要事实、适用条件、处理办法和输出结果。涉及数量计算时，还应明确单位、统计期间、上下限及重复取得的安排。含义尚不清楚的条件，应回到业务和治理层面讨论，不能让系统开发者通过选择一个默认值，实际决定原本没有形成共识的合作条件。

对象管理组织的决策模型与表示法，关注如何清楚表达业务决策和业务规则，并使有关人员能够理解与讨论决策逻辑。¹⁹³这一思路对本书的启示是，规则在进入系统之前，应当能够用业务语言说明，并让有关职责人员核对条件与结果之间的联系。

规则引擎需要知道输入来自什么记录、具有什么状态，以及是否适合当前用途。已确认事实、待核实材料与估计结果，应分别处理。必要信息缺失时，可以转入补充或核对程序；不能把无法判断一律变成不符合条件，也不能默认为已经满足要求。

同一事项可能同时适用多项规则。企业需要说明它们能够并行、需要合并，还是存在优先顺序。不同制度分别回应同一投入的不同方面，可以具有各自依据；同一项给付被重复执行，则需要防止。规则之间无法按既定办法协调时，应保留冲突并交由有权主体处理。

每次运行都应能够追溯所采用的事实、规则版本和处理结果。规则修改后，应明确新版本的适用范围与生效条件，保留历史事项的原有依据。重新计算可以用于比较影响或发现错误，其结果是否改变既有安排，还需要经过相应判断，不能因程序运行完成就自动改写历史权益。

同一经济参数应维护一份有明确责任人的主记录，关联编号、名称、单位、计算基数、适用对象、批准依据与生效版本。文稿、页面和程序引用同一条记录，发生差异时查明原因并按权限处理。能够编辑后台、更新页面或部署程序，只表示具有相应操作能力，不能据此取得改变实质条件的权力。

还应分别标记设计状态、批准状态、运行状态与个人权益状态。方案已经写成，不表示已经批准；批准后仍可能等待资源或其他启用条件；系统开放也不表示每位参与者都已经取得某项权益。反过来，依据有效约定已经成立的个人权益，也不会因系统尚未开放而自动消失。这些状态可以关联查看，不能合并为一个“已上线”标记。

自动执行的范围，应与规则的清楚程度、信息可靠程度和有关授权相适应。条件明确、依据充分且已获适当授权的事项，可以按规则直接完成相应处理。涉及专业评价、重要分歧、权限例外或超出已有授权的新增承诺的事项，则需要将材料、计算结果和待判断问题交给具有相应职责的人。

人工判断也需要保留理由。审核者应能够了解系统使用了哪些信息、适用了哪些条件，以及哪些部分尚不确定。仅在界面上点击同意，不能代替实际核对。改变系统建议时，应说明事实或规则依据，使人工处理同样能够接受检查。

协议化的奖励为理解自动执行提供了一个有限参照。比特币以工作量证明等规则检验区块，符合条件的区块可包含区块补贴与交易费用；节点按共识规则验证。奖励对应被接受的区块及其协议条件，并非逐一计量每位参与者付出的全部算力后按劳分配，也不是一家企业经营剩余的分配。¹⁹⁵它说明特定可验证条件能够与数字化奖励联系起来，不能由此推出员工知识、客户反馈或伙伴信任也已有共同的客观尺度。

企业中的可编程贡献—权益配置机制，需要先解决输入含义、验证权限和权益来源，再把可形式化的部分交给系统。AI可以辅助整理证据、分类与发现异常，重要权益判断仍应能回到有效规则和可检查的依据。模型的适用范围、已知局限与人工复核职责应当明确，尤其需要检验它是否系统性遗漏某类参与者或贡献。¹⁹⁶外部事实被写入账本之后仍可能有误，算法输出也不因具有精确数字就取得最终裁决权。

权益账户承接这些判断，记录谁依据什么取得何种权益、由谁履行，以及当前能够行使什么。账户应关联具体规则、确认结果、成立时间、有效期间和后续事项。一个汇总数字可以帮助查看总体情况，每项安排的来源与条件仍需要能够展开核对。

不同性质的权益需要分别表达。资源使用条件、激励额度、经济给付与治理参与权限，可以按其实际内容设置记录方式。同一安排具有多个功能时，应保持关联，避免重复统计。账户名称或显示方式不会自动赋予其银行存款、证券或其他特定法律性质。

统一界面还需要区分信息关联与资产控制。展示某项资产、能够发出操作指令、实际保管资产与承担给付义务，可能由不同主体负责。账户应说明哪一项记录证明何种事项、谁能够操作以及谁承担责任，不把服务额度、应付报酬、未归属奖励、锁定本金和证券估值加成一个可提现总余额。

状态设计应对应真实的制度进展。尚待满足取得条件，与权益已经成立但尚未到履行时间，需要区别；已经到期等待办理，与实际完成履行，也需要区别。内部登记或审批延迟，不应把原有依据已经成立的权益长期显示为尚未取得，更不能因此增加新的取得条件。

对能够累计的同类权益，应分别记录本期新增、已使用、待履行及有依据的调整，并能追溯到具体批次。期限、用途或条件不同的安排，即使单位相同，也应保留差异。参与权限则应随其职责、范围与有效期间管理，不宜仅以一个可累加余额表示。

账户还应连接真实的履行能力。新增激励或合作承诺形成之前，需要核对资金、服务、资源和授权额度，说明相关安排将占用什么。多项制度共同使用同一资源时，应检查总体承诺，避免各自显示尚有空间，合计却已经超出可承担范围。

预算控制与已有义务必须分别处理。资金不足可以触发风险报告、资源协调及必要的后续安排，但不能单凭系统中的预算余额，取消已经成立的权利或掩盖到期未履行的事项。新增安排如何控制，既有承诺如何继续处理，应各有明确责任。

审批流程将需要判断的事项交给能够承担责任的主体。每个节点应说明要检查什么、依据何种权限作出什么决定，以及处理完成后交给谁。提出方案、核对事实、审议条件、批准承诺和组织履行，可以形成不同任务，流程应使这些任务能够辨认和衔接。

业务流程模型与表示法区分由人员借助软件完成的任务，以及通过服务或自动化应用完成的任务。¹⁹⁴这一划分有助于企业安排人工与系统的配合。本书关注的是每项判断和行动怎样落实到责任主体，具体流程形式应服从任务需要。

节点数量应与事项复杂程度和风险相适应。重复审查相同内容，会增加等待而未必增加有效判断。企业可以简化已有明确授权的日常办理，对涉及自身利益、重要例外或较大影响的事项安排适当独立复核，并保证审核者能够取得必要材料。

流程中的人员与权限需要保持有效。人员离任、授权到期或需要回避时，应按程序转交适当主体。代办、代理审批与重新授权，应分别说明依据，不能仅因系统能够转发任务，就推定接收者已经获得相应决定权。

等待和退回也需要有明确含义。需要补充什么、由谁补充、何时再次处理，应让有关人员能够了解。超过预计期限时，应进入提醒和协调；只有在已有有效规则明确允许的情形下，才可采用相应的自动处理方式。系统不能自行把无人回应解释为批准、拒绝或权利终止。

审批的目的，还需要与权益成立依据相匹配。规则批准确定适用条件，预算批准确定资源安排，付款核对组织履行已经成立的义务，三者分别留下依据。可以简化在有效规则及授权内反复发生的办理；已经有效授权形成的决定，应由承担主体接续执行。发现影响执行的新事实时，可以按程序复核，却不能在结果形成之后追加没有边界的自由否决，也不能把无争议的应付事项反复提交表决，重新决定是否承认。

制度执行可以围绕以下环节检查：

这些环节可以根据权益性质组合使用。已经依据有效安排成立的权益，可以直接进入相应的履行管理；需要进一步判断才能取得的安排，则应保留其条件。流程顺序应反映真实制度关系，不能要求所有权益重新经历一套相同的取得程序。

兑现需要有实际完成的依据。支付指令发出、服务任务分配或权限配置提交，分别表示启动了某项行动；是否已经收到给付、获得可使用的服务或能够参与有关事项，需要继续核对。部分完成、执行失败和仍待处理的内容，应分别显示并落实接续责任。

系统还需要防止重复执行。同一事项因补录、重试或不同渠道再次进入时，应能够识别已有处理，避免重复增加账户记录、重复付款或重复扣减额度。对可能同时占用同一资源的请求，应协调可用量及已安排的使用，保证记录与实际承诺相符。

执行中断时，应保留已经完成的步骤及其依据，明确尚未完成什么。恢复运行之前，需要核对外部行动是否已经发生，避免因未收到回执就再次给付。需要人工接续的，应有负责主体、办理依据和结果回填，使技术异常不会使承诺失去处理去向。

更正应区分计算错误、事实更新和制度调整。前两类需要核对原有依据及受影响事项；改变权益条件或责任分配，则应进入相应治理程序。已经完成的支付、服务或参与行为，不能通过删除账户记录视为从未发生。补足、追回或其他后续处理，都应依据具体事实、权限和适用安排另行落实。

暂停和限制也应对应明确事项。出现争议或异常时，可以依权限暂缓相关处理，并说明原因、范围及复查时间；其他独立成立且应当履行的事项，应继续获得适当处理。参与者需要能够了解自己处于什么状态，以及通过什么途径提出异议。

规则上线和修改之前，应检验系统结果与已批准制度是否一致。正常办理、材料缺失、重复提交、规则重叠、部分兑现和更正等情况，都应纳入核对。发现差异时，应辨明是制度含义尚未明确，还是配置与执行存在错误，再由相应主体处理。

运行评价应关注条件判断是否准确、等待是否合理、承诺是否实际履行，以及异常能否得到纠正。规则引擎、权益账户与审批流程由此连接事实、判断和行动；与已有业务及财务系统的衔接，则使履行结果能够继续得到核对。

19.3 连接现有企业系统，保护数据并支持审计

利益相关者的投入与企业的履行，发生在持续经营的各个环节。客户关系、资源交付、人员协作、合同审批和资金收付，已经由不同部门和系统记录。资本治理需要把这些记录连接到贡献确认、权益安排与责任检验，使共同创造的过程能够被连续理解。

这种连接可以建立在企业现有的客户关系管理（CRM）、企业资源计划（ERP）、人力资源（HR）、办公自动化（OA）和财务等系统之上。各类系统继续承担相应业务职责，治理系统则围绕参与主体和具体事项，关联事实、规则、决定与履行。建设的重点，是让信息能够支持一致而可靠的处理，并明确其使用边界。

连接之前，企业应先梳理一项治理安排实际需要哪些信息。每类信息在哪里形成，由谁维护，用于什么判断，会传递给谁，以及后续结果怎样返回，都需要说清楚。这样形成的数据流转图，也是一张责任地图：它说明各部门在共同处理一项承诺时，分别提供什么、核对什么和回应什么。

信息来源应按具体事项确定。业务记录、合同约定、履行凭据和贡献评价，各有其形成过程与适用范围。企业可以明确日常核对时采用的来源及维护责任，同时保留质疑和纠正途径。被指定为主要来源的系统仍可能出错，来源分工不能替代事实检验。

不同系统之间还需要形成共同口径。同一主体的标识、同一事件的编号、数量单位、统计期间及处理状态，应能够对应。名称相同的字段未必表达相同事实；业务中的完成状态，也可能只说明其中一个环节已经结束。接口连接时，应记录字段含义和转换依据，避免信息传递成功，判断含义却发生变化。

业务状态与治理状态应通过规则建立联系。原系统中的成交、交付、核验和付款，可以支持不同判断，进入治理系统后仍需保留原意。贡献确认结果也应与具体权益依据分别记录。连接设计应保留各类状态的适用范围，说明它们分别支持哪一步治理判断。

信息传递可以根据事项需要采用及时更新或定期交换。重要的是明确更新频率、最近成功时间、覆盖期间和待补内容。暂时没有收到记录，应显示为信息尚未到达或尚待核对，不能被直接解释为没有贡献、没有义务或已经完成处理。

涉及交易与结算时，持续对账应把订单约定、实际履约、结算结果和资金收付联系起来，并关联贡献确认及具体权益依据。核对哪些业务已经履行、款项由谁收付以及记录支持何种确认或给付时，应保留分次履约、合并结算、退款和跨期处理等关系，不要求各类记录数量或状态始终一一相等。对遗漏、重复、错配和未更新事项，应落实差异处理责任并更正受影响记录。汇总金额相符，还需核对参与者与明细；资金到账和账目相符，均不能代替贡献评价或权益成立依据。³¹⁶

原始记录更正后，应能识别哪些确认、账户和报告使用过它，将变化传递给有关职责主体。需要重新判断的事项，应按原有依据与更正程序处理。系统之间相互写入信息时，也应明确谁能够修改什么，防止一次纠正被反复覆盖，或被循环接收为新的事项。

企业可以围绕以下内容检查系统连接是否充分：

数据保护应从确定用途时开始。企业需要明确，哪些资料确实用于识别主体、确认贡献、履行安排或处理争议，所需范围和保留时间是什么。可以通过关联原有记录完成的判断，应减少重复采集；能够使用必要部分完成的任务，应控制整份材料的复制和传播。

美国国家标准与技术研究院的《隐私框架》将隐私风险放在数据处理的全过程中理解，并指出，即使系统按照设计运行，处理方式本身也可能对个人造成不利影响。¹⁹⁷对利益相关者资本治理而言，这意味着保护参与者既要关注信息是否泄露，也要检查数据被用于何种评价、决定和关系安排。

贡献记录应服务于明确的合作事项。企业不应仅因具备采集能力，就持续记录参与者与任务无关的生活、交往和行为；也不应将用于服务或申诉的材料，未经适当依据转用于不相关的评价。新增用途时，应重新判断必要性、影响和适用条件，履行相应告知、授权或其他必要程序。

这种判断还需要考虑参与者的实际选择空间。依赖企业获得工作、业务或基本服务的人，可能难以拒绝额外的数据要求。不能仅凭一个勾选动作就认定全部使用安排已经合理。对可选择的数据用途，应说明拒绝的实际影响，避免把无关的信息提供变成取得原有权益的附加条件。

访问范围应落实到具体任务。查看、修改、审批、导出和向外共享，是不同的行为，应分别确定权限。有关人员只应取得完成职责所需的信息，调岗、离任或授权变化后及时调整。技术维护权限、代表资格和业务决定权限，也需要保持区别。

同一平台服务多个企业时，各企业及其合作事项的数据，应保持明确的访问边界。同一参与者拥有多种身份，也不意味着其所有记录都应向每个部门开放。企业之间的协作，需要说明共享目的、接收主体和允许用途，不能依靠共用平台形成事实上的无限共享。

治理透明度可以通过适合对象的信息范围实现。参与者应能够了解自身记录的来源、使用情况和处理依据，并获得提出纠正与异议的途径；监督主体应取得履职所需材料；面向更广泛群体的说明，则可以提供规则、汇总结果及必要解释。减少直接识别信息后，仍需检查资料组合是否会暴露个人或合作方的敏感情况。

采用公开账本时，还要判断信息传播、关联识别及后续纠正的影响。能够证明一项确认有依据，不要求把全部个人资料、保密证据和未核实指控永久公开。必要摘要、经核对的证明及受控查阅可以配合使用，使透明度服务理解和监督。

保留与清理需要结合记录用途、承诺期限、争议处理和适用要求制定。已经没有相应依据的资料，应按程序删除或作适当处理；仍需保留的资料，应限制用途并明确复查条件。业务副本、导出文件、备份和外部接收方也应纳入安排，不能只清理主界面中的一条记录。

数据更正、访问权限终止与实体权益，应分别判断。参与者不再使用平台，不意味着企业尚未履行的承诺随之消失；依法依约需要继续保存的资料，也不应因此继续用于无关分析。系统需要保留必要的办理途径，使数据管理服务于准确履行和适当保护。

委托外部服务商连接、保存或分析数据时，应明确处理目的、服务范围、访问权限、转交限制及异常响应责任。企业还应确认服务结束后怎样取回必要记录、停止访问并处理留存副本。由外部平台实施技术操作，仍需要企业内部有能够持续管理相关安排的责任主体。

安全措施应与数据敏感程度和制度运行需要相适应。传输与存储保护、重要操作的身份核验、访问隔离、备份和恢复，都需要落实到具体安排并定期检查。测试和培训环境也应控制真实资料使用，避免正式系统受到保护，复制出的材料却失去管理。

关键系统启用或重大升级前，应按其影响安排与实施工作适当分离的检查，核对规则与程序是否一致、外部输入是否可靠、资产操作是否获授权，以及异常时能否暂停、恢复和更正。涉及重要资产控制时，可以配置相互独立的操作确认和必要等待期。检查结论应对应具体版本及范围，不能代替权益来源核对，也不能被表述为不存在风险的保证。

备份应能够恢复可用的制度记录，包括必要的关联、规则版本和处理状态。恢复后，还需要与业务及外部履行结果核对，确认哪些义务已经完成、哪些仍待处理。技术服务恢复只是一个进展，正确接续承诺还需要业务人员参与确认。

审计支持建立在这些联系之上。本节所说的审计支持，是为有明确职责的检查与评价提供可靠材料。它可以服务于内部监督、有关复核和适当的外部审查；具体审查范围及结论，应由相应职责主体确定，软件生成一份报告本身不构成独立审计意见。

一项处理应能够从结果向前追溯：依据哪些事实，采用哪个规则版本，由谁以何种权限决定，形成什么安排，以及后来如何履行或更正。也需要从应处理的业务事项向后检查，查明其是否进入确认、是否被遗漏，以及是否存在已经到期却没有落实的义务。两个方向相互补充，才能同时检查记录中的错误与记录之外的缺口。

系统操作日志可以提供其中一部分依据。NIST的信息系统安全与隐私控制目录，要求审计记录能够说明事件类型、时间、来源、结果及有关主体，并保护审计信息免受未经授权的访问、修改和删除。¹⁹⁸企业可以据此检查关键操作是否能够追溯，同时限制日志自身包含的敏感信息。

日志还应与业务证据和制度依据相联系。系统显示某人批准过一项安排，可以说明发生了操作；权限是否有效、材料是否充分、决定是否合理，仍需进一步核查。不同系统的时间记录应能够对照，信息缺失或无法重建的部分应如实说明，不能用记录数量掩盖证据不足。

监督记录本身也需要受到监督。修改关键数据、变更规则配置、授予重要权限、批量导出和调整日志设置等行为，应按风险保留记录并安排复核。不能让同一主体既能够作出重要变更，又能够不受检查地消除相关痕迹。对异常访问和日志中断，应有负责接收和处理的人员。

检查发现的问题需要进入实际改进。企业应区分数据错误、执行偏差、授权缺陷与制度设计问题，分别落实更正、补救和规则调整，并验证受影响事项是否得到处理。审计结果的价值，在于使承诺和责任能够被重新核实，并推动发现的问题得到解决。

出现泄露、丢失或服务中断时，应及时控制影响、保留必要依据、核查受影响主体与事项，并按适用要求完成通知和补救。有关参与者应能够获得办理支持，不应因记录暂时不可用而失去查询、提出主张或寻求补救的机会。

企业可以先围绕一项明确的制度安排连接必要系统，检验资料是否准确传递、权限是否适当、结果是否能够追溯，再逐步扩展。连接的价值，应体现为减少重复填报和处理差错、及时履行承诺，以及提高解释与纠正问题的能力。

清楚的系统连接、适当的数据使用和可追溯的决定履行，使数字化能够持续支持共同创造。这些要求也适用于不同权益的数字表达；涉及通证和证券权益时，还需要进一步核对其所承载的制度关系及适用边界。

19.4 治理层与资本层：通证、证券权益及其适用边界

数字化使贡献能够记录、规则能够执行、责任能够追溯，也为不同权益的表达和流转提供了新的方式。企业由此需要进一步回答：哪些安排服务于日常共同创造，哪些安排涉及资本取得与证券持有，以及技术记录怎样与真实的权利义务保持一致。

通证是其中一种数字化载体。它可以在可编程平台上表达特定的资格、权益或价值，并按设定条件执行有关操作。国际清算银行及其支付与市场基础设施委员会的研究，将数字通证与承载它的可编程平台联系起来，讨论记录、功能与资产关系如何配合。¹⁹⁹对本书而言，选择这一载体之前，应先明确准备表达什么、由谁承认和履行。

企业可以使用通证支持资格核验、权益使用或多方协作，也可以通过已有账户和流程实现相应安排。技术选择应结合实际协作需要、运行成本、隐私保护和维护能力判断。通证能够帮助执行制度，其数量、价格或交易频率，不能直接代替共同创造的经营成果。

本书将相关制度分为治理层与资本层。治理层面向广泛的利益相关者，围绕身份、贡献、经营支持、激励和参与权限组织合作。它使参与者能够理解自己的投入怎样获得确认、可以取得什么，以及怎样参与有关事项。其运行可以先从明确的经营场景开始。

治理层中的安排应保留具体内容。服务额度、奖励条件、代表资格和监督权限，各有取得依据、有效期间与使用范围。需要持续依附于个人身份或特定职责的安排，可以限制转让。参与权限应依授权运行，不能仅以取得某种通证的数量，推定持有人拥有决定全部企业事项的权力。

资本层处理具有明确资本关系的权益及其取得、持有、履行和退出。本节重点讨论股票、债券等证券权益的数字化承载。它要求企业识别权益性质、发行或转让依据、持有人条件及有关服务职责，并按照适用制度完成相应安排。

两层可以服务于同一参与者，但需要保留不同依据。治理层可以包含经济给付，资本层也可能包含表决、知情等治理权利；员工、客户或合作伙伴可以同时是投资人。分层的目的，是使不同关系能够各自准确运行，并通过清楚的规则相互连接。

两层的分工可以从以下方面理解：

这一划分是本书的治理设计框架，并非法律上的自动分类。“治理通证”“积分”“会员权益”等名称，不能单独决定证券规则是否适用。没有采用通证形式的安排，也可能涉及证券关系。具体判断需要回到权利内容、取得方式、有关承诺及实际交易情境。

因此，设计者需要检查参与者实际提供什么、期待取得什么，以及这种预期由哪些安排形成。经营中的报酬、返利或资源使用，与投入后依赖他人经营获得回报，可能具有不同性质；有关安排也可能同时具有多种功能。不能只选取其中一个功能，就忽略整体关系。

美国证券交易委员会2026年的解释，区分数字资产本身是否属于证券，以及围绕非证券数字资产形成的安排是否构成投资合同；同时说明，数字证券不会仅因附带非金融功能就失去证券属性。²⁰⁰这一分析提示企业，性质核对应覆盖完整安排，不能以具备使用功能或参与功能，直接推定全部活动都不涉及证券规则。

核对应从方案和对外说明形成时开始。宣传的回报、资金用途、未来转换机会和流通预期，均可能影响人们对安排的理解。制度文件、界面表达与实际执行应保持一致。免费取得、限制转让或设置治理用途，都不能单独作为对整个安排作出法律结论的依据。

治理层的广泛参与也需要遵守其自身适用的要求。劳动、消费、合同、数据保护及其他相关义务，仍须结合实际关系履行。贡献在本书中形成治理意义上的资本，表达的是合作能力与长期投入的积累，不会因此自动变成法定资本、会计资产或证券。

进入证券权益的设计时，首先应说明持有人究竟取得什么。股票与债券具有不同的权利结构，同一种名称之下也可能存在不同类别和条件。收益来源、表决范围、清偿安排、转让限制及到期处理，需要依据具体文件辨认，不能用一个通证名称代替完整说明。

持有结构同样重要。发行人直接以数字形式表达自身证券，与第三方围绕其他发行人的证券设置新安排，涉及的权利对象和承担主体可能不同。美国SEC有关部门的工作人员声明区分了发行人支持的通证化与第三方通证化，并说明第三方安排可能提供间接持有权益，也可能仅提供与有关证券表现相联系的经济回报。²⁰¹

据此，企业应让参与者能够查明自己向谁主张权利，是否拥有基础证券的直接或间接权益，以及中间机构出现问题时适用何种处理。显示某家公司的名称、价格或股票代码，不足以说明持有人已经成为该公司股东。是否享有表决、分配或其他权利，应有相应依据。

证券权益的来源需要明确。企业新发行、既有持有人转让，以及中间机构另行设立的产品，不能混为同一种授予。有关方案应说明设立权限、权益数量及其对现有持有人的影响；涉及基础资产支持时，还应查明实际持有、保管和核对安排，使数字表示的份额与真实支持范围相符，避免重复计算基础资产。

通常所说的证券型通证发行（Security Token Offering，STO），描述的是以通证形式开展证券发行的安排。项目仍需识别适用的发行路径及条件。在美国，证券的要约与销售原则上需要注册或符合可用的注册豁免，通证形式本身不会改变这一要求。²⁰¹不同地区及不同路径的具体要求，应分别核对。

投资者条件也应随实际安排确定。不同发行或转让路径，对参与对象、信息提供及其他条件的要求可能不同，不能笼统地认为所有资本参与都只允许某一类投资者，也不能把企业的客户资格或贡献等级直接当作投资准入资格。参与者还需要理解资金占用、价值波动、转让限制及损失可能。

发行与后续流通需要分别安排。能够依法取得证券，不意味着能够随时向任何人转让。技术上允许发送到某个地址，也不足以说明转让条件已经满足。有关主体应按实际结构核对接收资格、适用限制、交易方式和登记要求，并如实说明退出渠道及其不确定性。

涉及证券发行服务、经纪、登记、托管或交易等职能时，应逐项确定由谁承担、需要何种资质或授权，以及服务范围是否覆盖该项活动。与一家机构建立合作关系，不等于全部职能都已具备条件。提供制度顾问、贡献数据或技术连接的主体，也应保持自身服务范围与实际行为一致。

数字化记录应与相应持有结构衔接。哪些记录用于确认持有人，链上记录与其他登记如何对应，发生不一致时由谁依据什么核对，都应明确。某些结构中，链上变化直接进入有效登记；另一些结构中，还需要指定主体完成后续记录。系统应如实显示已经完成什么。

交易和履行还需要核对实际结果。通证转移、资金支付、权利登记和有关通知，可能是相互联系的不同事项。系统应说明各项完成条件与异常处理，避免只看到其中一步成功，就把整个交易显示为已经完成。分配、到期兑付及其他资本事项，也需要持续落实责任。

持有人的身份与技术控制能力需要分别处理。能够操作某个地址，与依法享有其中所表达的权益，并非在所有情形下都完全一致。密钥丢失、账户被冒用或记录发生争议时，应依适用结构保留身份核查、限制异常操作和恢复办理的途径，具体处理须有相应权限和依据。

可编程执行仍需接受治理。哪些条件能够自动核验，哪些依赖外部事实，谁可以修改程序、暂停异常处理或组织更正，都应提前说明。程序运行成功不自动证明外部材料真实，也不代替争议判断。需要公开验证的记录，应与身份和敏感资料保护相协调。

治理层与资本层的连接，应遵循第十七章讨论的权益转换条件。历史贡献可以成为设计资本参与方案的事实依据，但取得具体证券仍需有相应的授予、发行或转让安排。贡献得分本身不足以确立股权；依有效授予安排取得何种权益，仍需按其具体条件判断。积分增长也不构成收益或上市退出的保证。

如果方案约定未来在条件满足后授予资本权益，应说明权利来源、计算依据、决定权限、生效条件和未能完成时的处理。有关主体是否需要同意、现有持有人是否受到影响，以及原有报酬和权益怎样继续履行，都需要明确。阶段性申请资格与证券权益已经成立，应分别记录。

两层记录可以通过同一主体和具体事项关联，账户中的数量则应保留各自含义。治理积分、服务额度与证券份额，不能相加成为一个笼统的资本余额。发生转换或新增授予时，应记录原安排的处理、新权益的成立及剩余义务，防止原有权益已经扣除而目标权益尚未落实。

治理账本与资本层的连接，还应保留共同的权益识别关系。贡献记录说明依据，资本层记录说明具体证券及其持有或转移状态；托管、登记及其他相关记录各自承担对应职能。核对时应能够追踪同一项权益在不同载体中的对应关系，并区分实际底层权利与对另一主体的合同请求。发行、托管或交易机构的记录不能由内部积分余额推定；同一股份在不同系统中的显示，也不能作为多份独立资本权益累计。

资本工具能够在适当条件下支持企业再投入，其实际价值仍取决于业务、收益和治理能力。企业应以真实经营需要安排融资及长期激励，核对资金用途与持续履行能力。通证价格上涨或市场交易活跃，不能单独证明参与者的贡献已经得到合理回应，也不能代替真实的产品与服务价值。

治理层与资本层的分工，使广泛合作与具体资本参与能够各有依据地展开。企业可以先把贡献、权益和责任组织清楚，在符合条件时进一步连接资本工具。数字化使这些制度关系获得持续执行的支持；第五篇将进一步讨论，企业如何从一个经营场景开始，把可信制度转化为共同成长的实际条件。

图 F06｜治理层与资本层：记录可以连接，权利分别成立

治理层组织广泛合作，资本层处理具体资本权益。层间通过同一主体、事项与贡献资料关联；具体权利从有效来源和适用程序成立，不由贡献、积分或通证名称自动生成。

读图边界：制度分层不替代对完整安排的法律性质判断；治理层也有自身适用义务。 读图边界：通证是数字载体；底层权益、发行或转让、登记及实际履行分别核对。

本章小结

数字化把身份、事实、规则、权益与责任连接为能够追溯的运行过程。其作用取决于输入可靠、规则明确、授权有效以及履行资源真实存在。

自动化能够提高执行能力，也会扩大错误规则的影响。制度先要说清应当发生什么，再让系统帮助它准确发生，并为纠错保留可用通道。