产品×金融×AI：AI 时代的金融产品第三部分　推演一个产品English
第 23 章

代理会出错上限、确认与赔付

约定写清了，过程看得见了，书记员仍会出错：把该存进盖房账户的粮食存进了养老账户，把“卖出 2 份”执行成“卖出 20 份”，或者完全守约却判断失误。有的错误第二天就能改回来，有的一旦发生就挽回不了。没有哪一道防线万无一失，只能层层设防，让一个错误穿过所有防线的机会变得很小；书记员又快又环环相扣，一个错误会在有人发现之前迅速扩散，所以要在关键处放慢。每一步的上限决定最坏的损失，不可挽回的操作要他亲自确认。出了错，由谁来赔、赔多少，要事先写进约定；错了之后，还要把原因找出来，写回约定。

一、书记员会出错

书记员的错误有三种，性质不同。一种是执行错误：约定要卖 2 份，它卖了 20 份；要存进盖房账户，它存进了养老账户。这是书记员自己的过错。一种是越界：它在约定的边界之外冒了险，或者做了与他利益冲突的买卖。这是违约。还有一种是判断失误：它完全守约，按约定在风暴前调回了船股的比例，结果遇上了风暴。这不是谁的过错，而是约定本身承担的风险。

三种错误的后果应当由不同的人承担：执行错误与越界由部署书记员的一方，即运营者来赔，判断失误由他按约定自己承担，并且事先知道会有这种情形。分不清是哪一种，赔付就无从谈起，这也是上一步要留下“当时知道什么”与“依据哪一条”的原因之一。

新的约束只有一个：代理会出错，有些后果不可挽回。

今天的对应。投资者保护基金在券商倒闭、客户资产缺失时提供保障，但不保障证券价值的下跌。美国的证券投资者保护公司为每个账户提供最高 50 万美元的保障，其中现金最高 25 万美元，并明确说明市场损失不在保障之列。

三种错误，三种后果

点选一种错误，看一个例子、它是谁的过错、后果由谁承担，以及记录怎样分辨它。

示意：例子为虚构。

二、层层设防

一个错误要造成损失，得先穿过好几道关：约定的边界、执行前的自动检查、每一步的上限、关键操作的确认、事后的核对。每一道关都有漏洞：边界写得不全，检查有疏漏，上限设得太高，确认时他没看清，核对没抽中。只要各道关的漏洞不在同一个地方，一个错误就很难同时穿过全部；可如果几道关共用同一个漏洞，例如都依赖书记员自己的一份数据，它们就会一起失效。

今天的对应。世界卫生组织 2008 年发布的手术安全核查表，把一台手术分为三个核查时点：麻醉之前、切皮之前与病人离开手术室之前，每一时点由团队逐项确认后才能继续。

五道防线

一个错误要造成损失，得穿过五道防线。拖动每道防线漏掉错误的比例，再勾选“几道防线共用同一份数据”，看一万个错误中有多少穿过全部防线。

示意：五道防线依次为约定的边界、执行前的自动检查、每一步的上限、关键操作的确认、事后的核对（里森的瑞士奶酪模型）。

三、又快又环环相扣

人出错，往往慢慢出错，旁人来得及看见；书记员出错，一秒钟可以重复一千次。它的每一步又牵动下一步：卖出触发调整，调整触发买入，买入又改变了比例。一个错误在被人发现之前，就可能沿着这条链迅速扩散。系统的各部分连得越紧、动得越快，错误越难在中途被拦住；松一点、慢一点的地方，错误才有被截住的机会。

美国证券交易委员会 2013 年的处罚令记述了一起事故：2012 年 8 月 1 日，美国一家做市商在部署新的交易软件时，八台服务器中有一台没有更新，一段多年不用的旧代码被重新触发；45 分钟里，它向市场发出数以百万计的订单，在 154 只股票上成交 400 多万笔，最终亏损超过 4.6 亿美元。处罚令认定，它缺少足够的控制来限制市场准入的风险，这是该规则下的第一起执法案件。

今天的对应。市场准入规则要求券商在委托进入市场之前设置信用与资本的阈值，拦截错误的委托。

快而紧，错误来不及拦

一个出错的书记员每秒发出 100 笔错误的委托。拖动发现错误所需的时间，再打开两种放慢的办法，看被发出的错误委托有多少。

示意：每笔错误委托平均造成 0.01 份的损失。2012 年美国一家做市商的事故中，错误持续了约 45 分钟（美国证券交易委员会，2013）；本图的时间单位为分钟。

四、上限决定最坏的损失

既然错误免不了，就要先算清最坏会怎样。一次出错最多能动用多少粮食，取决于这一步被允许动用多少；一天之内出错最多能累积到多少，取决于一天的总限额。把每一步、每一天、每本账都设上上限，例如每一步不超过家产的 2%、每天累计不超过 5%，最坏的损失就从“全部家产”变成了一个事先知道的数目。上限不必很低，只要它与这件事本来需要的数额相称：每月定投 2 份，就不必允许一次买 20 份。

今天的对应。银行卡与网上支付通常设有单笔与每日的交易限额，超过限额要另行验证。

上限决定最坏的损失

书记员一年出错 20 次，每次出错的损失大小不一，偶尔很大。依次加上三层上限，看一年的总损失与最坏的一次损失。

示意：二十次出错的损失按家产的百分比计，多数在 1% 以下，偶有一次很大；第 13 与第 14 次发生在同一天。纵轴最高画到 30%。

五、确认与放慢

不可挽回的操作，例如把粮食转出粮仓、提前动用盖房的钱、修改约定，要他亲自确认。可是他在第二十次确认时，已经不看内容了。确认要起作用，就要少而有分量：只在不可挽回的操作上要求确认，确认时摆出这一步的后果，而不只是一个“同意”的按钮；数额很大的，确认之后再等一段时间才执行，给他与书记员反悔的余地。

今天的对应。中国人民银行 2016 年的通知规定，个人通过自助柜员机向他人转账，发卡行在受理 24 小时后才办理资金转账，在此期间个人可以申请撤销。

确认要少而有分量

一年里有 4 次不可挽回的操作，其中 1 次实际上是错的。切换两种确认方式，看他一年被要求确认几次、是否认真看了，以及那一次错误是否被拦住。

示意：他一年只能认真看大约 12 次确认；认真看时，摆出后果的确认有九成能让他发现错误，只有“同意”按钮的只有三成。延迟一天期间，书记员的异常检查还能再拦住一半没被他发现的错误（阿罗与费希尔、亨利所说的保留余地的价值）。

六、谁来赔

上限与确认让错误变小、变少，却不能让它消失。出了错，赔付的规则要事先写清：执行错误与越界，由运营者全额赔付：只要记录显示书记员违反了约定或执行有误，就不要求他证明过错在谁；判断失误，按约定由他自己承担，但书记员要在约定时就告诉他，这类损失可能有多大。运营者为此投保，把偶然的大额赔付变成每年确定的成本。

今天的对应。美国金融业监管局为投资者与券商之间的纠纷提供仲裁程序。

谁来赔

四种损失，四种归属。点选一行，看赔付的依据与条件。

示意：赔付规则为本书推演的产品设计，不是任何现行规定的转述；“券商倒闭、资产缺失”一行参照证券投资者保护公司的保障范围。

七、错了之后

赔了钱，事情还没有完。同样的错误还会再来，除非找出它为什么会穿过所有防线：是约定写漏了，是上限设高了，还是确认时摆出的后果不够清楚。找到原因之后，要改的往往不是书记员，而是约定与防线本身；改动也要写进记录，让他知道约定为什么变了。有些错误在发生后不久还来得及撤回：明显错误的成交，可以在规定的时间内申请撤销。

今天的对应。美国金融业监管局的规则允许对价格、数量等条款存在明显错误的成交进行复核，并在符合条件时予以撤销。

错了之后的六步

把盖房账户的粮食错存进养老账户之后，书记员与运营者依次做的事。点选一步查看细节。

示意：例子为虚构。

八、防线之下的十年：文明模拟器第二十三版

模拟器解锁了“上限、确认与赔付”。十年里，书记员会犯执行错误与越界两类错误；判断失误属于约定承担的市场风险，不计在内。可以打开或关掉每一步与每一天的上限、不可挽回操作的确认与延迟、运营者的赔付，调整书记员出错的频率，看十年里出错造成的损失、其中由他自己承担的部分，以及他为此多付的费用与被要求确认的次数。

文明模拟器 · 第 23 章：防线之下的十年

十年里书记员会犯执行错误与越界两类错误，其中一部分发生在不可挽回的操作上。打开或关掉三条规则，调整出错的频率，看十年里出错造成的损失、其中他自己吞下的部分，以及他为此付出的确认与费用。

产品：承诺什么产品：委托参数与授权产品：过程记录产品：上限、确认与赔付信任的建立路径 · 第 24 章

示意模型：图中为十年的期望值，损失以家产的百分比计。基准频率下，执行错误每年 2 次，九成八损失约 0.2%，其余的约 10%；越界每年 0.3 次，平均损失 2%。有上限时，单次执行错误的损失不超过 2%，越界损失减半。两类错误中两成发生在不可挽回的操作上，确认与延迟能拦住其中八成。运营者赔付时，执行错误与越界的损失全部赔付，赔付与保险的成本按 1.2 倍计入他每年的费用。判断失误属于约定承担的市场风险，不在图中。

九、这一步留下的问题

防线、上限与赔付让错误的后果变得可控，但还有几个问题没有解决：

  1. 刚开始的时候。一个刚开张、还没有记录的书记员，他凭什么开始信任？
  2. 信任多少。守约的记录积累起来之后，授权可以放宽多少、放宽得多快？
  3. 出错之后的信任。一次错误之后，信任是归零，还是只退一步？
  4. 整个产品。承诺、约定、记录、防线与赔付，合在一起是一个怎样的产品？

这一步留下的问题

错误的后果变得可控之后，仍未解决的四个问题。点选一个问题，看它隐含的假设。

防线之下上限、确认与赔付

十、对产品的含义

以代理为核心的理财产品，第四个要长出的部分是“上限、确认与赔付”。由此得到三条含义。第一，按错误的种类分配后果：执行错误与越界由运营者赔付并投保，判断失误由用户按约定承担，并在约定时说清它可能有多大；记录决定每一次错误属于哪一种。第二，层层设防而不依赖任何一道：约定边界、执行前检查、每一步与每一天的上限、不可挽回操作的确认与延迟、事后核对，各道防线尽量彼此独立。第三，在快的地方刻意放慢：上限与延迟让错误在扩散之前被截住；错了之后找出原因，改的是约定与防线，并告诉用户为什么改。

本章小结：代理会出错

四条结论，各自对应本章的一个机制。

三种错误后果按种类分配

执行错误与越界由运营者赔，判断失误按约定由用户承担，记录决定是哪一种。

瑞士奶酪模型层层设防，彼此独立

没有哪一道防线万无一失，共用漏洞的防线会一起失效。

正常事故快的地方刻意放慢

上限、异常自动停止与延迟，让错误在扩散之前被截住。

重跑：不可逆与替代责任少而有分量的确认，事先写清的赔付

只确认不可挽回的操作并摆出后果；运营者投保，赔付不以用户举证为前提。

参考文献