AI Agent 从“给建议”走到“做决定”，审批是绕不开的一关。
21 世纪经济报道在对中科紫东太初 CTO 张家俊、红松集团首席运营官丘晖、中国银河证券计算机首席分析师吴砚靖的采访中，将这一变化概括为从“智商竞争”转向“生产力竞争”。模型能不能回答问题，已经不是企业唯一关心的事。安全性、专业性和商业化能力，决定了 Agent 能否真正进入经营环节。
审批正好把这些问题集中到了一起。
让 Agent 查询指标、整理明细或创建待办，出错后通常还能重跑。把“通过”和“驳回”的权限交出去，后果会直接落到采购、财务和合规流程上。此时最需要提防的，往往不是一句回答里的幻觉，而是整套系统如何传递权限、记录错误和识别关联申请。
每个 Agent 都没越权，整条链却可能跑偏
企业审批很少只靠一个 Agent 完成全部工作。一种常见思路是拆分任务：申请环节由一个 Agent 处理，审批交给企业审批服务，任务完成后再由 Verifier Agent 验收。知乎文章《深入浅出完整解析 AI Agent（AI 智能体）的核心基础知识》也提到了这种平台化方向。
拆开之后，职责更清楚，但审计难度也会上升。
例如，申请 Agent 可以整理理由、补充预算科目，再把加工后的内容交给审批环节。如果审批 Agent 只看到整理结果，Verifier Agent 也只检查最终输出，那么原始申请与最终材料之间发生了什么，就可能成为盲区。
这里未必存在直接越权。申请 Agent 有权整理材料，审批 Agent 有权作出判断，Verifier Agent 也完成了验收。问题在于，三个环节共同处理后，审批依据可能已经偏离申请人的原始表达。
控制这类风险，关键是保留完整链路：
- 保存未经改写的原始申请；
- 记录每个 Agent 对字段和附件做过的修改；
- 让 Verifier Agent 同时检查原始输入、处理中间记录和最终结果；
- 不让验收环节只看一份已经整理好的审批结论。
Verifier Agent 的价值不只是再判断一次“批得对不对”，还要回答一个更基础的问题：这份结论究竟是怎样产生的。
误拒容易被人救回来，也容易从记录里消失
企业部署审批 Agent 时，通常更担心误批。毕竟，一笔不合规申请被自动放行，很容易在审计中暴露。
误拒的处理路径不同。合法申请被驳回后，申请人往往会补材料、发起申诉，或者直接找负责人重新审批。业务最后继续推进，表面上看系统没有造成严重后果。但如果人工补救没有被标记为一次 Agent 判断错误，这个问题就不会进入评估数据。
结果是：误批会留下清晰的审计记录，误拒却可能被日常沟通吞掉。
在采购、维修等有时效要求的流程里，拒绝也不等于没有成本。知识库没有及时更新、ERP 信息尚未同步、供应商名称不一致，或者规则版本落后，都可能让材料齐全的申请触发旧规则。Agent 给出的理由看似合规，依据却已经过期。
因此，人工复核不能只盯着自动通过的申请。被拒绝的申请也要进入监控范围，尤其应记录以下信息：
- 申请被拒后是否改由人工通过；
- 人工是否推翻了 Agent 的判断；
- 错误来自规则、数据同步还是材料识别；
- 同一拒绝原因是否反复出现。
如果企业只统计 Agent 自动处理了多少申请，却不统计多少拒绝后来被人工改判，就很难判断自动化究竟减少了工作，还是把工作转移到了申诉环节。
单笔金额合规，不代表一组申请没有问题
金额阈值是审批系统最常见的规则之一，也很容易被拆单绕开。
假设系统只检查单笔申请，那么多笔低于阈值的采购，在规则层面都可能合规。只有把供应商、收货地址、申请人、部门和时间等信息放在一起看，系统才有机会识别这些申请是否属于同一采购意图。
Agent 的语义能力可以辅助判断，但无法替代数据条件。审批 Agent 如果只能看到当前申请，就没有足够信息发现跨申请关联；如果允许它扫描更多部门和时间范围的数据，又会扩大访问权限。
这也是审批自动化里最棘手的矛盾之一：关联识别需要更宽的数据视野，权限控制却要求每个执行环节尽量少拿数据。
21 世纪经济报道转载内容提到，智能体拥有较高权限而缺乏有效控制时，可能带来数据泄露、隐私暴露和误操作。把全公司的采购记录直接开放给实时审批 Agent，并不是稳妥的解决办法。
更可控的做法，是把实时审批和关联审计分开：
- 实时审批仍按当前申请和既定权限运行；
- 独立的审计环节对已处理申请做聚合检查；
- 系统按供应商、收货地址、申请主体等已有字段寻找关联；
- 可疑申请交给人工复核，不由审计 Agent 直接定性。
这样做会有滞后，但能避免实时审批 Agent 为了识别拆单而获得过宽的数据权限。
放开审批权前，先把控制点写进系统
企业如果准备让 Agent 参与审批，可以先检查四件事。
第一，原始申请是否完整留存。 申请内容经过补写、改写或字段映射后，仍应能追溯到最初版本。
第二，人工改判是否会回流。 人工推翻 Agent 的拒绝或通过决定，都应该成为错误记录，而不能只完成一次线下补救。
第三，金额规则是否只有单笔维度。 如果系统完全不看申请之间的关联，拆单风险就不会因为接入 Agent 自动消失。
第四，审计组件是否拥有独立权限。 Verifier Agent 和审计 Agent 不宜与执行审批的 Agent 共用同一套宽权限，也不应只检查最终结果。
审批自动化不是给模型接上一个按钮。真正困难的部分，是限制它能看什么、能改什么，并在判断出错后留下足够清楚的记录。
Agent 可以参与申请整理、规则核验和风险提示。至于是否直接放行，应该随着审计能力逐步开放。先把原始记录、人工改判和跨申请检查补齐，再谈扩大自动审批范围，会比一开始就追求无人值守稳妥得多。
