07｜職責分工、風險升級、資安控制

建議職責矩陣（RACI 原則；正式職權依銀行規定）

• 客戶經理：客戶需求、關係管理、資料清單、說明與補件協調。
• KYC／AML／法遵：客戶接受、受益人、PEP／制裁、可疑活動、相關例外及法遵意見。
• 徵信／授信：信用分析、債務與曝險、還款來源、擔保評估、授信提案。
• 授權授信主管／審議委員會：依行內權限作正式決策。
• 法務／擔保／營運：契約、簽署、權利設定與撥款先決條件。
• 風管／內稽：獨立風險政策、例外監督、事後測試與問責。
• ChatGPT：提問、彙整、草稿、比較、提示升級；在每一關口均為 Assist／Support，不列為正式 A（Accountable）。

升級分級（建議）

Level 1｜一般待查核：資料缺漏或數字不一致，標記需補正與承辦。 Level 2｜風險或內規例外：重要還款能力缺口、擔保權屬疑慮、關係人及集中限制、超權限方案、法定高資產資格不明。轉授信、法遵及授權主管。 Level 3｜必須暫停相關流程：身份／實質受益人難以查證、制裁疑似命中、文件重大造假疑慮、可疑資金、重大違法徵兆、未授權存取個資。停止提供核准／撥款建議，立即提示依銀行內部規定升級專責人員。是否正式暫停交易由銀行授權人員決定。

內控規則

1. 需求訪談與正式信用審查分開；核貸與放款權限分開，符合行內核准機制。
2. 每項重要審核結論具有「資料來源、版本、負責人、日期、正式系統參照」。
3. 法規查核與行內規範的最新版管理有指定負責角色；對外資訊不直接改寫內規。
4. 維持最少必要資料與權限控管；對外分享內容採專業審核及遮蔽。
5. AI 的輸出須能由獨立審查者理解證據、假設與分歧，不可僅有黑箱總分。
6. 對涉敏感群體、國籍、年齡或身分等資訊，僅依明確適用法律及合法風險因素處理，不推定或歧視。
7. 對客戶的承諾、費用、利率、核定時間只能依核准商品文件及正式報價；不得保證准貸。

系統落差

ChatGPT Project 本身不是合規授信工作流程引擎，也不是文件保管庫或金融機構正式簽核系統。即使共享專案可使用知識文件，也不能據此推定接上內部 CRM、徵信、正式風控、制裁篩檢或契約／撥款。真正上線需由銀行資訊、資安及法遵核准整合方式與存取紀錄。

參考：https://www.bis.org/publications/202504-guidelines-principles-management-credit-risk；https://help.openai.com/en/articles/10169521-projects-in-chatgpt；https://openai.com/business-data/