前言提示：2026年开年以来，四份核心文件密集出台，7月两次高层会议接连部署，央企内控体系建设的验收倒计时已经开启。大多数国企的制度发了、系统建了，但穿透式监管做的好不好，真正考的不是这些，是数据能不能穿下去。
“现代管理学之父”彼得·德鲁克说过：”你无法管理你不能衡量的事物。”
而对今天的国企来说，最残酷的版本是，你无法穿透你看不见的关系。
先把最新的事说了。
2026年7月31日召开党委扩大会议，部署下半年重点工作，明确提出要「坚决守住风险底线，有效发挥司库体系功能作用，切实加强穿透监管」。
这是司库体系建设和穿透式监管，第一次在国资委最高层级会议上被并列要求。
往回推一个月，7月2日国资委召开穿透式监管工作会议，据会议通报，航天科技、中国石化等在会上作经验交流。
而先行者们交出的，是一份分化严重的成绩单。
山东29户省属企业司库系统全部上线，银企直连率超90%，资金归集率提升至90%以上；吉林市国资委已经搭起市级统一穿透监管平台，制定了到2030年的五年迭代规划。
但另一边，内蒙古国资委2026年上半年的要求还停留在“启动”穿透式监管平台建设，大多数省份连山东的影子都还没摸到。
这背后的本质是国企内控的数据能力，正在被政策时钟和先行者差距同时碾压。
01、穿透式监管从定调到验收，只剩两年
把2026年开年以来的政策线走一遍，你能感受到的不是「又一轮合规运动」的节奏，是倒计时的节奏。
- 2026年1月，1号文，《关于推动中央企业加快财务数智化转型升级的指导意见》定下技术路径：2026年建成财务级数据中台，2027年升级为企业级数据中台，2028年上DRP系统，三步走，每步有验收。
- 同月，2号文，《关于加强中央企业穿透式监管的指导意见（试行）》给出顶层制度：全级次、全链条、全过程、全要素，四大穿透，覆盖十大重点监管领域。
- 3月，15号文，《关于做好2026年中央企业内部控制体系建设与监督工作有关事项的通知》把任务压到内控条线：用2年左右时间实现「全级次覆盖、全业务在线、全系统联通、全要素监管」，是带考核的硬性要求。
- 2026年1月1日，46号令正式施行，《中央企业违规经营投资责任追究实施办法》，重大决策终身问责，子企业违规向上穿透追责。
再注意7月31日会议那个表述，「有效发挥司库体系功能作用，切实加强穿透监管」。司库体系建设不是配角了，它是穿透式监管的操作载体，穿透要穿下去，得通过司库这个通道。
通道明确，时间明确，剩下的问题只有一个：通道里跑的数据，够不够。
02、能跑通基础样本，但门槛比想象中高
不是没有人在跑，但把样本摆在一起看，分化比想象中剧烈。
山东：29户省属企业司库系统全部上线，银企直连率超90%，资金归集率提升至90%以上。省属集团的资金流水基本实现实时可见。但山东是国资监管信息化走在全国前列的特例，大多数省份离这个水平还有距离。
内蒙古：自治区国资委的要求是「启动」穿透式监管平台建设，健全制度体系和监督体系。「启动」两个字说明，很多地方国资委还处在起步阶段。
青岛：建立了司库数据中台日度、月度、季度相结合的数据报送机制。日度报送，数据时效已经被提到很高的优先级。
中国电信：2026年6月在雄安主办中央企业穿透式监管与数据运营研讨会，发布星辰御风2.0，构建覆盖3.9亿市场主体的企业征信基座和包含30种深度关联关系的企业图谱。一家央企自己建了一套覆盖全量市场主体的企业数据底座，这件事本身就说明了外部数据在穿透式监管里的分量。
这些样本传达的信号很清晰：穿透式监管能跑通，但它要的不是某一个系统的升级，是一整套从数据底座到模型算法到业务流程的能力栈。先行者和后来者之间的差距，正在以加速度拉开。
03.穿透式监管准备好了的三道幻觉
跟不少国企同行交流下来，大家对准备好了的判断，普遍存在三道幻觉。
①系统建了，不等于准备好
很多企业的执行逻辑是，上线一个司库系统、监管平台搭好了、大屏能看了，就算准备好了。
但系统是容器，数据才是内容。
容器再漂亮，里面装的数据不全、不准、不新，穿透就是空转，中国电信在中央企业穿透式监管与数据运营研讨会上说过一句很到位的话：“数据底座作为穿透式监管的重要基础，其质量与贯通程度直接决定着监管效能的释放空间”。
更直白点说，很多企业的监管大屏展示的是集团内部的股权结构、财务指标、审批流程。这些数据只回答了我知道什么。
但穿透式监管要回答的是「我不知道什么」——那些藏在外部、企业自己看不到的信息。
②司库有数据，不等于能穿透
目前来说，国资委对司库的客商信息标准化已经到了字段级：客商名称、统一社会信用代码、注册资本、成立日期、企业地址、所属行业，以及按所有制维度划分的客商属性K01至K08。这些字段构成了客商主数据的骨架。
但司库数据中台里的客商数据，是企业自己填报的。
供应商入库时提交什么，司库里就存什么，供应商的注册地址变了、股东换了、被列入经营异常了、有了新的被执行案件了，这些变化不会主动同步进你的司库系统。
司库数据中台解决了内部数据标准化的问题，没有解决外部数据实时性的问题。
而穿透式监管要求的全过程穿透，技术含义就是对一个持续变化的风险图景保持实时感知。日级更新是底线，不是高线。这就是「司库穿透式监管数据能力」这个概念的由来。它不是在司库里加一个查询功能，是让司库系统具备持续获取外部企业数据、自动交叉验证、主动推送风险预警的能力。司库是内部数据的底座，外部企业数据是穿透的眼睛。
③形式合规，不等于实质风控
根据公开资料显示，上海凭安征信在解读2026年穿透式监管新动向时有个判断：大量央企的内控体系制度齐全、流程完备、台账可查，但这种模式带来一个核心矛盾——内控建设与风险防范的真实目标逐渐脱节。
形式合规导向下，大多数企业的风险监测仍依赖定期审计、专项检查和人工报送，当风险终于在三四级子公司的报表上浮现出来时，损失往往已经发生。
分水岭在于：你是在验证「流程走没走对」，还是在验证「业务有没有问题」。前者看审批记录、签字盖章，后者看交易对手真实不真实、关联关系透不透明、风险信号有没有被及时捕捉。
15号文要求的五个自动，即数据自动采集、模型自动分析、风险自动预警、核查自动派单、整改自动跟踪——指向的正是这个跃迁。要求的背后，是对数据能力的要求，不是对制度文本的要求。
04.司库是载体，但司库有边界
7月31日会议把司库体系和穿透式监管放在同一句话里，不是偶然。
司库对客商信息的字段级标准，不是档案登记，是后续所有穿透场景的「原数据」：
- 关联交易识别需要统一的客商编码；
- 虚假贸易排查需要准确的经营状态；
- 围串标识别需要清晰的股权和人员关系；
- 挂靠经营识别需要工商画像与社保年报的交叉验证。
司库体系负责把客商信息「建标准」，穿透式监管负责把客商信息「用起来」。但司库数据中台有一个先天边界，它管的是企业内部视角的数据。
客商外部画像，司库管不了：一家供应商在你的司库里显示「正常」，但它可能已经有三条被执行记录、上个月刚被列入经营异常名录、法定代表人半年内变更了三次……这些信息，供应商不会主动告诉你，你的司库系统也不会自动知道。
内部数据解决我知道什么，外部数据解决我不知道什么。
全级次穿透，听起来是组织层级的穿透，往深里看更是信息来源的穿透，从内部数据穿透到外部数据，从企业自报信息穿透到独立第三方信息。
外部数据要支撑穿透式监管实际运转，至少覆盖三层：
第一层，身份数据——这家客商到底是谁。
存续状态、注册资本与实缴落差、直接和间接股东、最终受益人、有没有代持安排、是不是空壳企业。
46号令第十四条第（九）项把「代持股权、虚假控股、控股不控权、虚假合资、挂靠经营」明确列为追责情形[8]，识别这些行为，靠的就是身份数据的多层穿透。
第二层，关系数据——谁跟谁是一伙的。
沿出资链条从一级股东穿透到最终自然人，识别金字塔结构、交叉持股、影子实控人。
46号令第七条第（五）项把「违反规定设立多层架构开展业务规避监管」列为追责情形，拆穿多层架构，靠的是关系数据沿网络往外挖的能力。
第三层，行为数据——这家客商做过什么、正在发生什么。
司法涉诉、行政处罚、经营异常、失信记录、限高消费、资产冻结、股权质押。
这一层的共同特征是持续变化，夸张的说，昨天没有失信记录，不代表今天不会被列入名单。
以上三层叠加，才能拼出完整的客商风险画像。
而这份数据画像的来源，绝大部分不掌握在企业自己手里：裁判文书在法院系统，行政处罚在监管机关，经营异常在市场监管部门，失信记录在信用中国平台。散落在不同机构的数据孤岛里，需要被系统化整合，才能构成一份可用的风险档案。
05、客商风险闭环的三道防线
司库建好了标准，外部数据接上了能力，接下来是怎么用。
穿透式监管在客商管理领域的落地，核心是构建客商风险闭环——从准入、到关联、到监控、到退出，一环扣一环。
前面讲了这么多政策压力和能力边界，现在回到最具体的场景：客商到底怎么管。
准入核验中，营业执照过了，不代表公司是干净的
现在大多数企业的客商准入流程是：供应商提交营业执照复印件，采购部门核对经营范围，入库。这套流程只回答了这家公司是否存在，没有回答这家公司有没有问题。
央企客商准入穿透式风控，意味着准入审批那个时点上，系统要能自动完成四层扫描：
主体资格：存续状态、经营范围、注册资本与实缴的落差，一家注册资本10万、实缴为0的公司要签5000万的采购合同，这个信号不需要人来判断；
控制关系：直接股东、间接股东、最终受益人、有没有代持或一致行动安排——46号令把「代持股权、虚假控股」列为追责情形，准入环节没穿透看股东结构，出了问题追责追到你头上；
空壳识别：有没有实际经营场所、有没有社保缴纳记录、工商年报与税务申报是否一致；
风险标记：有没有正在进行的诉讼、被执行案件、经营异常或失信记录，核心资产有没有被冻结查封。
关联图谱中看不见的关联，正在摧毁你的审查
这是穿透式监管里技术含量最高的环节，上市公司和央企现在的关联交易管理，核心机制是「关联方清单+申报+回避」。
这套机制的命门在于关联方清单是企业自己报的。企业不报，或者企业自己也不知道多层嵌套后的远端关联，审查就无从启动。
穿透式监管把这个问题倒过来了：不是企业告诉我谁是关联方，是我要能在数据中把隐性关联挖出来。
用知识图谱的术语说，这不是点查询，是通过子图发现，以目标企业为中心，抓取它三到五度范围内的所有关联节点，识别风险信号并量化传导路径。企查查构建了超亿条关系节点的关联图谱，覆盖股权穿透、任职关系、共同投资、疑似关系等多维度，输入任意一家企业，自动生成以它为中心的关系网络图，标注风险节点和传导路径。
两家投标方名义上没有股权关联，但法定代表人是亲兄弟、注册地址在同一个园区、共用同一个财务联系人，这些信息散落在不同数据源里，单看任何一条都不构成风险信号，被图谱串联起来，隐性关联就浮出水面了。
国资委74号文「十不准」列出了贸易上下游企业的八项特定利益关系，其中董监高任职重合和股权投资等隐性关联，是排查的深水区。
面对数万级合作商体量，传统人工排查周期以月计，遗漏率高，关联图谱把这个周期从月级人工变成秒级自动。
履约监控中，供应商签约只是监控的开始
传统合同管理关注签约前的审查，但签约时对方没有问题，不代表半年后它不会出问题。如果合同执行到一半，对方突然被列为失信被执行人、核心资产被法院查封、或者进入破产清算程序，这份合同的履行基础就坍塌了。
风险不是一个时点的状态，是一个持续变化的过程。从客商入库的第一天起，到合同履约完毕的最后一天止，全程持续监控、自动预警、闭环处置，这才是15号文「五个自动」的完整形态。
企查查的企业风险监控服务支持对指定客商的司法涉诉、行政处罚、经营异常、失信记录、资产变动持续追踪，T+0/T+1更新，风险事件自动推送。
整个过程不是让人定期去查，是让系统在风险发生的第一时间把信号推到责任人面前。
回到开头那个问题，穿透式监管来了，国企内控准备好了吗？
如果准备指的是制度文件发了、会议开了、系统建了，那大多数国企都在准备中。但如果准备指的是数据能穿下去、关联能挖出来、风险能实时预警、闭环能自动运转——坦率讲，大多数国企还没准备好。
差距不在制度，不在系统，在数据。
司库体系把内部数据标准化了，但外部这双眼睛还没睁开。
穿透式监管不是负担，是门槛。这道门槛挡住了靠隐性关联套利的玩家，也给数据能力先建起来的国企留出了更干净的竞争空间，在所有人都面临同样监管压力的背景下，谁先把穿透能力建起来，谁就先拿到船票。
两年左右的截止时间，试着从最高频的场景开始，客商准入，在审批节点上接一个API，自动调外部数据做四层扫描，这是最小可行方案，也是万里长征的第一步。
穿透式监管最终给每一家机构打的分数，不是你的系统好不好看，是你的数据能不能真正穿下去。
信息来源
[1]国务院国资委党委召开扩大会议，2026年7月31日，2026年7月31日；
[2]国务院国资委，《国务院国资委召开穿透式监管工作会议》，2026年7月2日；
[3]内蒙古自治区国资委，《内蒙古自治区国资委召开监管企业2026年上半年经济运行分析会》，2026年；
[4]国务院国资委办公厅，《关于做好2026年中央企业内部控制体系建设与监督工作有关事项的通知》（国资厅监督〔2026〕15号），2026年3月；
[5]国务院国资委，《中央企业违规经营投资责任追究实施办法》（国资委令第46号）
