AEO 高级认证拿到手那天，很多企业的关务负责人会松一口气，以为最难的过去了。真正的麻烦才开始：认证有有效期，到期要复认；标准里的内部审计条款要求企业每年至少自查一次、覆盖全部条款、留下报告和整改记录。复认时查验的人不看你的自审表做得多漂亮，他看两件事——这条标准对应的证据在哪，上一轮发现的问题后来怎么处理的。
这条线本站写过三篇，分工先说清：进出口报关单证核对管一票货的六种单证横向咬不咬得上，加工贸易手册与单耗核销管一本账册跨年纵向平不平，原产地证与自贸协定优惠管规则对不对。这三篇的对象都是单据和规则；本篇的对象换成了企业自己这套合规体系还在不在运转。前者证明你这一票做得对，后者证明你每一票都能做对。
先分清三件事：标准、内审、整改
- 标准是海关给的判据。条款、要求、证据类型都由它定，企业没有解释权。
- 内审是自己拿判据照镜子。它的产出是「哪几条不符合、证据缺在哪」，不是「我很合规」。
- 整改是唯一能让镜子里的样子变好的动作。复认时最有说服力的材料，往往是上一轮的不符合项和它的整改证据。
把这三件事混成一件，最常见的结局是：内审报告写得很干净，一条不符合都没有，复认时被抽到两个现场问题，直接被打回。一份「零不符合」的报告，在懂行的人眼里不是优秀，是没认真查。
四类标准，各自要查什么
认证标准的结构是四块：内部控制、财务状况、守法规范、贸易安全。前两块看文件和账，第三块看记录，第四块看现场。这四块的性质完全不同，用同一种方法查一定有一块是空的。
内部控制——这块的核心不是「有没有制度」，是「制度有没有被执行痕迹」。四条主线：
- 岗位与职责：关务负责人、单证复核人、报关操作人是不是三个明确的岗位，有没有书面文件写清。这里有个常见错误：把复核和操作放在同一个人身上。复核的全部意义就在于不是自己复核自己，合到一个人身上，这条标准实质上是没有的。
- 单证复核：制度里写「复核」很容易，证据是每一票都有复核痕迹——签字、系统留痕、复核时间早于申报时间。抽查时不要只看有没有签字，要看签字时间是不是批量补的。
- 会计信息：报关数据和财务数据能不能对上。出口收入、进口成本、运保费，这三类数据在关务系统和财务系统里各有一份，期间口径不一致（一个是申报月一个是记账月）就会永远对不上，而这恰恰是很多企业被问住的地方。
- 信息系统：关务系统和 ERP 之间是接口还是手工搬运；权限是不是按岗分配；历史记录能不能导出。最后一条经常被忽略，等到要看三年前的记录才发现系统只留一年。
财务状况——按认证标准里的会计指标判，具体口径以公布的原文为准，本文不抄条文。内审要做的是把连续几年的审计报告、财务报表、纳税证明按年度归齐，并核对一件事：用的是合并报表还是单体报表。这两套数经常不一样，用错了口径，自己算出来的结论和海关算出来的会差很远。至于够不够，那是认定环节的事，内审不判。
守法规范——查的是连续期间内有没有走私犯罪、走私行为，有没有因违规被行政处罚超过规定次数或金额。内审的动作很具体：把近三年所有行政处罚、稽查结论、缉私案件调出来，列成一张表。这里最容易出的事故不是「有处罚瞒着」，是「我们不知道有处罚」——分支机构被罚了总部不知道，关联企业被罚了报关主体不知道。这张表要按「主体 × 时间 × 事项 × 金额 × 是否已结案」建，跨法人主体的也要拉进来。
贸易安全——七块：场所安全、人员安全、货物安全、集装箱安全、运输工具安全、商业伙伴安全、危机管理。这一块全部要现场证据，坐在办公室里填不出来。
- 场所：围墙、门禁、照明、监控留存天数（留存多少天要能说出来，并被抽到的那一天录像真的能调出来）。
- 人员：入职背景核查记录、离职时权限与证件的回收记录。最常失分的一条是离职员工的系统账号还活着。
- 货物：装卸区是否封闭受控、进出登记、封志的领用与核销能不能对上号。
- 集装箱：空箱装货前的检查，按七点检查法逐点看并留记录。整年记录缺失是严重不符合。
- 运输工具：承运人资质、司机身份核验、轨迹留存。
- 商业伙伴：供应商、货代、报关行、仓库的合规评估与书面约定。注意这条查的是「你有没有评估和约定」，不是「他有没有犯错」。
- 危机管理：应急预案、演练记录、应急联络清单，以及联系人换岗后清单有没有更新。
内审最容易做成假账的三个地方
- 全覆盖变抽样：标准要求覆盖全部条款，实际只查了常用的十几条，剩下的统一写「不适用」。不适用要写理由，写不出理由就是没查。
- 有结论没证据：结论栏写「符合」，但拿不出对应样本。每一条「符合」背后都该挂样本编号，否则这条结论不可验证——而不可验证的结论，在复认时等于零。
- 不符合项只写「已整改」：没有动作、没有完成日期、没有复核人。这一条在复认时基本等于没整改，甚至比不写更糟，因为它证明你知道有问题但没处理。
条款自查表怎么建
一行一条款，七列就够：条款编号、要求原文、对应制度文件编号与版本、本期抽到的样本编号、上期内审结论、本期结论、证据存放位置。
七列里最关键的是要求原文。必须抄原文，不能自己概括。一概括就漏。举个典型：原文大意是「应当建立单证复核制度并有效执行」，你概括成「有复核制度」，那「有效执行」四个字就丢了——而查验恰恰只查后四个字。同理，「应当定期对商业伙伴进行评估」里的「定期」，抄下来才会逼你回答「多久算定期」。
样本要分层抽，不是随手抽三份：按业务类型（进口／出口／加工贸易／退运）× 期间（近 12 个月，每月至少 1 票）× 经办人（每个操作员至少 2 票）三层。任一层抽不到，要在报告里写明原因（例如该月无此业务）。分层抽的意义是覆盖变异，不是凑数量——只抽业务最规范的三个月，等于没抽。
不符合项三档与整改闭环
- 观察项：单点样本出问题，但制度本身在运转。期限 30 天，动作是补记录。
- 一般不符合：有制度但执行断档，例如连续三个月没有复核痕迹。期限 60 天，动作是制度修订或岗位动作调整，改完要能拿出「改后连续三个月都有痕迹」的证据。
- 严重不符合：该条标准根本没有制度，或现场控制整体失效，例如装卸区无人管控、集装箱检查记录整年缺失。这类要先停再补——暂停相关作业、补上控制、再恢复，别一边整改一边照常出货。
每条不符合项四个字段：责任人（到人名，不到部门）、完成日期、验证方式（查什么证据算改完）、复核人（不能是整改人自己）。这套逻辑和 证据包 完全一样：不是留一句「已整改」，是留能倒推回「确实改了」的过程记录。整改的动作本身可以直接接进 隐患排查治理闭环 的五态流转，不必另造一套流程。
顺便说一句归档：一条条款一个文件夹、文件名带条款编号和期间，这件事看着笨，但复认时能省掉几十个小时的翻找。编号规则可以直接套 文档归档与借阅管理 里的那一套。
Agent 能做五件，不能做三件
能做的：
- 把认证标准拆成结构化的条款表，每条挂上「需要哪类证据」的字段，并按期间生成抽样清单。
- 做跨表勾稽：报关数据对财务收入、处罚记录对守法规范条款、离职名单对系统账号清单。这类「两个名单做差集」的事，机器比人可靠得多。
- 跟踪不符合项台账：到期提醒、证据齐套校验、连续两期未整改的自动升级。
- 做版本比对：制度文件这次改了什么、影响哪几条标准、对应条款的证据要求要不要跟着改。
- 生成内审报告初稿的骨架——范围、条款清单、样本清单、不符合项清单，人只需要填结论。
不能做的：
- 不判定「符不符合」。判定要有签字的人，Agent 只能输出「本条抽到的 3 个样本中，1 个缺复核痕迹」这种事实。
- 不代替现场检查。场所、集装箱、封志这些条款，必须人到现场，Agent 最多生成检查清单和拍照要求。
- 不生成对外提交的审计报告，也不碰海关企业管理和申报系统的账号。边界和 失败升级规则 里那套一样：能自动的自动，不能自动的停下来等人。
五个坑
- 内审员审自己的岗。做单证的人审单证复核条款，结论一定是符合。交叉审是这条标准能成立的底线。
- 拿上一年的报告改日期。查验时对着业务量一看就露——去年 300 票、今年 900 票，样本数一模一样。
- 只查单证不查系统权限。离职三个月的员工账号还能登录关务系统，这是最容易失分又最容易查的一条。
- 把货代的问题写成自己的不符合项却不追。商业伙伴安全查的是评估与约定，整改动作应该是「补评估、补约定、换伙伴」，不是「写一句已通知对方」。
- 报告只写结论不写范围。没有范围声明（查了哪些条款、抽了多少样本、哪些没查及原因），整份报告的证明力会掉一半。
适合谁，落地三步
适合：已经是高级认证、要准备复认的企业；正在申请高级认证、第一次做内审的企业；有多个关区或多个分支机构、关务由不同人分头做的企业。如果只有单一出口品类、关务一个人全包，一张 Excel 也能做，但必须保证审的人不是做的人。
落地三步。第一步，把标准条款拆成一行行的表，抄原文，标出哪些条款需要现场证据——这一步最枯燥，也最值钱，做完之后你会发现过去几年的内审漏了哪些块。第二步，用近 12 个月的真实单证跑一遍分层抽样，只出「缺什么证据」的清单，不判结论，让业务部门自己去补。第三步，把不符合项接进现有的整改流程跑满一个周期，再谈自动化——顺序反了，你会先做出一套漂亮的自审表，然后继续被抽到现场问题。
AEO 内审这件事的本质，不是应付复认，是给自己装一套能自己发现问题的机制。想明白这一层，Agent 才有位置：它擅长的是把散在各处的证据串起来、把两个名单做差集、把到期的提醒推给人，而不是替你下一个「符合」的结论。
