做了这么久的 GRC 工作，有个感受越来越强：很多任务，本质上就是一套固定的核查流程。

合同拿过来，看融资性贸易风险——关注点翻来覆去就那些。收入确认总额法还是净额法——判断维度基本固定。问题不在于"不知道该查什么"，而在于每次都得重新组织一段很长的 Prompt，把关注点、判断逻辑、输出格式重新说一遍。

这有点蠢。

所以我做了两件事：把贸易"十不准"合规核查和总额法/净额法判断封装成了 AI Agent Skills，开源在 GitHub 上。

仓库地址：https://github.com/trevanzhang/grc-skills

为什么是 Skill，不是一段 Prompt？

Prompt 和 Skill 的区别，说白了就是"随手写几句"和"把方法论固化下来"的区别。

一段 Prompt，你今天写了 500 字，明天可能写 800 字，关注点漂了，AI 的输出就不一样。GRC 工作经不起这种漂移——合规核查讲究口径一致，不能今天查三个维度、明天查五个。

而且 GRC 任务天然是材料驱动的。一份合同，要看它有没有"垫资"“融资"“固定价差"的字眼；要看物流单据、仓储单据、银行流水能不能对上；要看上下游有没有利益关系。这些不是问一句"这有没有风险"就能解决的，需要系统性地读材料、交叉验证、按清单逐项排查。

更重要的是，GRC 的输出不是闲聊。你得给出风险点、证据来源、判断依据，哪些地方有疑点、需要人工复核。这种结构化的输出，一段 Prompt 很难稳定地控制。

Skill 把触发场景、核查步骤、判断逻辑和输出格式都定死了。每次调用，口径一致、覆盖完整、输出格式统一。就像庄子说的庖丁解牛——不是力气大，是刀路熟。

技能一：贸易"十不准"核查

这个技能对的是国资委 74 号文，也就是大家常说的"十不准”。

它不是简单地问"有没有违反十不准”，而是引导 Agent 按照逐条清单往下查：

• 偏离主业开展贸易
• 上下游存在特定利益关系且缺乏商业实质
• 人为增加不必要的交易环节
• 融资性贸易
• 空转、走单
• 循环贸易
• 三流不一致
• 高风险非标仓单交易
• 代理贸易收入确认不合规
• 内控机制缺失

举个例子。查融资性贸易的时候，它会去看：

合同里有没有"垫资"“融资"“借款"“本金"“利息"这类表述？企业到底有没有控制货权？购销价差是不是固定的比例或金额？资金有没有形成闭环回流？企业有没有真正关注货物价格波动和市场风险——还是说它根本不在乎货，只在乎资金？

再比如查空转走单：

货物控制权有没有真实转移？有没有真实的物流，还是只有单据在转？采购单、运输单、结算单能不能对上？有没有上下游直接交付、企业只做通道的情况？

说实话，这类检查太适合做成 Skill 了。清单驱动、证据驱动、流程驱动——不就是 Skill 最擅长的事吗。

技能二：总额法/净额法判断

第二个技能解决的是收入确认的问题：一笔贸易业务，到底按总额法还是净额法确认收入？