工具目标：同时审计“看见问题”与“还能改变”
本流程用于AI方案评审、软件发布、采购、建设工程、公共政策、课程改革和高风险自动化。它不减少必要复核，而是在复核期间追踪焦点方案新增的专用依赖、替代路径的衰减，以及合格异议到来时真实可用的改道能力。
交付物包括焦点与替代路径表、依赖冻结规则、反事实承载力曲线、中间状态可见性图、最小事件日志、能力档案和责任回放。传统签到、批注与批准日志继续保留，但不得单独证明有效控制。
法定审批、紧急处置和专业授权仍优先适用。工具不能为了维护备选而延误即时安全行动，也不能把所有不确定性无限期悬置。
第一步：定义焦点方案与合格替代
焦点方案是当前获得主要工程、预算或组织注意的路径。替代方案必须达到最小资格：能够回应同一目标，不违反硬约束，有初步证据，可指定承接角色，并能在决策窗口内继续成熟。
不要把头脑风暴清单全部算成替代。每条候选标记证据状态、负责人、资源需求、转换成本和最迟启动时点。缺少三项以上的只列为想法库，不进入承载力计算。
评审组与执行组共同确认清单，防止评审者写出执行团队根本无法承接的纸面备选。受影响者可以提出遗漏路径，排除时须记录理由。
第二步：写出核心承诺与硬约束
用一页说明此次复核究竟保护什么：安全、公平、合规、性能、预算、可解释性或用户权利。把不可交易的硬约束与可调权重分开，避免焦点方案把自身特点伪装成项目目标。
例如采购目标是满足业务与安全，不是购买某个已熟悉品牌；模型审核目标是控制风险并维持任务效用，不是让现有模型顺利上线。目标写错，所有替代都会因“不像焦点方案”而被排除。
每次目标改变留下版本、授权者、证据和影响。评审期间不得为保住焦点方案临时倒写标准。
第三步：建立五维承载力卡
每条非焦点路径按五维记录：证据充分度E、承接权限A、资源可用度R、转换成本可承担度C、剩余时间T。采用0至4级并附证据，不计算未经校准的华丽总分。
任一关键维度为0时，路径标记“当前不可执行”；为1时进入红色维护；全部不低于2才算可承接。不同领域可调整门槛，但必须在观察结果前确定。
评分由至少两种角色完成，分歧进入未确认项。不能因最后成功或失败倒推早期分数。
第四步：识别专用依赖
列出会让焦点方案更难替换的动作：专属合同、不可兼容接口、唯一测试资源、培训材料、公开发布时间、数据迁移、法规申报、人员转岗和下游承诺。
给每项标记可逆性、撤销成本、排他程度和生效时间。共用研究、可复用原型与开放接口通常不必冻结；只服务焦点方案且挤走替代路径的依赖进入控制清单。
每个部门不得只报告自己的成本。一个小接口修改可能使另一路径彻底失去进入资格，跨部门影响需要由架构或项目治理角色汇总。
第五步：设置依赖冻结窗
从正式复核开始到关键结论形成，焦点方案不得新增高排他、难撤销的专用依赖；至少一条合格替代获得最低维护资源。冻结范围、开始、结束和例外批准人提前公布。
冻结不是停止所有工作。可逆探索、共同基础设施、安全修复和不排挤替代的准备可以继续。紧急例外须说明不做的后果、投入会关闭哪些路径及恢复方案。
冻结窗到期仍无结论时，不自动解冻。治理组重新评估风险、成本和承载力，作出延长、缩小或显式接受锁定的决定。
第六步：拆分“继续评审”与“允许投入”
工作流中建立两个独立状态。继续评审只表示证据仍在收集；允许投入才授权下游新增依赖。任何界面、邮件和仪表板不得把二者合成“审核中，可继续”。
下游收到状态时必须能看见适用范围、有效期与禁止动作。文档里写“仅供评审”但实际系统仍自动开工，不算拆分成功。
随机访谈采购、工程和运营人员，问他们如何理解每个状态。若多数人仍把“未否决”理解为许可，应修订流程与权限，而不只是加强宣传。
第七步：绘制中间状态可见性图
记录每次评审状态向谁可见、通过什么渠道、会触发什么自动或非正式动作。包括项目看板、群消息、预算预留、工单、接口分支和供应商沟通。
区分评审组内私密、特定下游可见和全组织公开。并非越透明越好；透明要与语义边界和动作权限配套，否则会把临时状态变成合法性接力。
发现某个状态被下游当作投入信号时，记录真实执行面，不以制度文本声称“没有授权”关闭问题。
第八步：建立最小事件日志
日志至少记录：review_id、轮次、状态变化、可见对象、焦点依赖新增、替代维护或撤回、异议产生、异议资格、路径承载力变更、正式批准、执行与损害事件。
每条变更带时间、责任角色、证据链接和前后状态。日志用于重建路径，不记录无关私人信息，也不把浏览页面等同于完成复核。
系统事件与人工事件使用同一时间轴。只有这样才能看见某次异议前后，合同、代码和预算如何变化。
第九步：设置承载力警戒线
当最强替代路径任何关键维度降至1、最迟启动时点临近、转换成本超过预设比例或唯一承接人退出时，自动通知复核负责人和依赖拥有者。
警报必须附带可行动选项：补证据、补资源、延长窗口、冻结某项依赖、明确接受锁定或停止项目。只有红灯而无权限会制造新的责任痕迹，不会恢复控制。
连续两次警报未处理，项目不得自动维持绿色状态；治理层需签署显式风险接受，并说明谁承担恢复义务。
第十步：把异议成本从个人移回项目
提出合格异议的人不承担全部重做成本。预算中预留修订金与测试容量，评审时间计入项目计划，不把延迟自动归责于最后提出问题者。
若异议到来时改道昂贵，复盘成本何时形成、由哪些依赖决定。不能用当前高成本证明早期不应提出异议。
绩效中禁止将合理升级、暂停和揭示路径死亡作为“拖慢交付”。故意阻挠与证据充分的异议分别处理。
第十一步：运行公开—私密状态对照
在低风险、可重复项目中，将内容与时长相同的中间评审分别设为评审组内可见、下游公开和普通进度通知。观察专用依赖增长、替代维护、晚期切换率和团队理解。
若公开组显著更快锁定，支持临时合法性接力；若三组等效，转查时间、疲劳和重复暴露。对照不应隐藏法定必须公开的信息。
结果用于校准状态设计，不用于惩罚某个提前准备的员工。员工通常是在响应系统给出的实际信号。
第十二步：分开认识增益、控制证据和实际控制
仪表板设置三栏。认识增益记录发现的有效问题、证据质量与不确定性；控制证据记录轮次、异议、签名和回执；实际控制记录合格替代数量、承载力、切换成功和剩余窗口。
禁止把三栏汇总成一个“监督成熟度”总分。可能出现认识与证据上升、实际控制下降，这正是需要暴露的状态。
月报用方向组合说明，例如“识错率上升、轨迹增厚、承载力下降”，而非只宣布审核完成率。
第十三步：做一次合格异议演练
向评审组注入一条证据充分、可能推翻焦点方案的模拟异议，不提前告知执行团队。观察是否有人接收、能否调用替代、需要几次升级、是否在期限内完成可逆切换。
演练不真正改变高风险生产，也不欺骗外部对象。使用沙箱、演练合同和隔离资源。结果只评价流程，不给个人排名。
若团队能识别异议却无法改道，训练“更认真审核”无效，应修复承载力；若路径可用却无人识别，再改善认识能力。
第十四步：维护一条最小替代路径
不要求为每种可能保留完整项目。选择最有资格的一条替代，维护关键证据、兼容接口、少量测试、负责人和启动说明，使其不因等待而死亡。
维护成本定期与风险比较。低风险、极易逆转项目可以不保留；高影响且锁定迅速的项目应投入更多。依据在项目开始前写入风险分级。
替代路径若因新证据失去资格，可有理由退役并选择下一条，不能为满足指标维护僵尸方案。
第十五步：生成能力档案
每个关键评审时点生成一页快照：当时知道什么、轨迹有什么、仍能做什么。列出最强替代的五维状态、路径衰减事件、可恢复与不可恢复节点、未确认项。
档案不声称给出精确因果责任。它为事后盲评提供比“谁签字”更完整的材料，也为项目中途提供预警。
编码一致率达不到预设门槛时，报告分歧并改进手册；不能把主观回忆包装成客观曲线。
第十六步：按边际影响回放责任
事故或重大偏差后，先重建每个角色对可行动空间的影响，再讨论处分。谁有职责、权限、知识与资源，谁的动作使替代路径衰减或恢复，分别记录。
最后签字者可能承担选择责任，但不自动承担采购锁定、架构排除和资源撤回责任。反之，上游角色也不能因没有最终签字而免除影响。
能力档案只用于匹配责任与修复，不成为对提出异议者的武器。访问权限、保留期和申诉机制预先规定。
第十七步：审计冻结机制的反噬
冻结窗、例外审批、承接人和能力档案本身会增加状态与复杂性。每季度检查是否造成信息贫乏、紧急响应延迟、备用资源闲置或新的形式主义。
若治理成本超过风险收益，缩小冻结范围、降低记录粒度或改用抽样。不得为了维护工具而维护工具。
比较有无工具时的真实切换率、损害、时间与工作量，而不是只统计表格完成度。
第十八步：给状态设置语义服务级别
每个中间状态写明最迟复核时间、允许动作、禁止动作、自动失效条件和升级联系人。例如“证据补充中”七日有效，只允许共用测试，不允许签署排他合同；超时自动转治理复核，不能静默保持。
状态名称采用动作语言，不用“基本通过”“原则认可”这类容易被下游扩大解释的词。确需表达概率时，同时显示不可据此启动的动作。
每季度抽样状态到实际行为的映射。若同一状态在部门间触发不同动作，先修权限与接口，再讨论员工理解。
第十九步：运行路径锁定红队
红队假设焦点方案存在重大错误，尝试找出哪三个依赖会让组织即使知道错误也无法更换。分别从合同、技术、人员、时间和声誉角度攻击。
每个攻击给出最小修复：开放接口、保留退出条款、双轨测试、延迟公开承诺、训练第二承接人。修复按成本与恢复的承载力排序，不要求一次消除全部锁定。
红队不评价焦点方案质量，只评价未来改错的条件。这样可避免项目团队把演练理解成对方案本身的不信任。
第二十步：检查弱势意见是否更快失去路径
按提出者角色、语言、部门、合同身份和进入通道比较异议获得证据支持、承接资源与等待时间。实习生、外包人员、用户代表或少数专业意见可能形式上被记录，却更少获得维护替代的资源。
发现差异后，不保证所有意见同等投入；用统一资格标准盲化初筛，公开资源门槛，并允许对错误适用申请复核。必要时给低权力提出者独立的证据支持。
能力档案去身份化用于群体审计，个案访问受控。不得用异议频率建立“难合作人员”画像。
第二十一步：设置理论死亡与流程退出条件
若依赖冻结不能使复核强度对实际控制的方向翻转，删除“控制反转”解释；若公开与私密状态等效，删除临时合法性接力；若承载力无法可靠编码，降级为定性检查表。
若传统日志与能力档案不改变责任判断或修复资源分配，不继续扩大档案。若现有风险、变更和配置管理已提供相同能力，直接复用，不另造制度。
退出决定与保留决定同样留档，防止试点变成永久行政层。
第二十二步：两周影子运行
第一周不改变生产权限，只旁路记录状态、依赖、异议与承载力，找出数据缺口。第二周选择一个低风险项目启用有限冻结和警戒线，比较前后差异。
每天十分钟核对：今天新增了什么专用依赖，哪条替代变弱，哪个中间状态被误读。周末由评审、执行、权益或合规与一名受影响者共同看时间线。
影子期不得依据新日志处罚个人。其目标是验证字段能否从现有系统取得，判断工具是否值得进入正式流程。
第二十三步：三十、九十与一百八十天验收
三十天完成路径表、状态拆分、事件日志和一次异议演练；九十天比较至少三个项目的认识增益、轨迹与实际控制，调整冻结范围；一百八十天审计差别影响、工作量和责任材料使用。
验收会必须展示一次真实时间线：从首轮评审到正式决定，逐点说明哪条依赖增长、哪条替代衰减、警报是否触发、谁拥有恢复权限。只展示制度文件和汇总分不能通过。再随机选一名未参加工具设计的前线人员，让他在沙箱中处理同类异议；若只有项目专家会使用，能力尚未进入组织。所有未完成项给出责任人、复测日和停止条件，不能以“持续改进”无限延期。
验收至少满足：合格异议出现时有一条真实可执行路径；中间评审不自动授权专用投入；替代衰减能够被及时看见；责任材料同时说明知道什么与能做什么；提出异议不成为负面绩效。
验收结果和失败样本同步公开给相应治理范围，下一轮项目必须能调用本轮学到的冻结边界与恢复方法，而不是重新从零发现同一断点。 对重复出现却未修复的断点，治理层必须说明继续接受它的理由。
最终目标不是把每次决定保留到无限可改，而是在组织宣称“人类仍然监督”时，给这句话一个可验证含义：人的理由抵达之前，制度没有先把所有别的现实关掉；理由抵达之后，至少还有一条能够承接它的路。