在自称技术严谨的组织中，审核员反复提出一个问题，其频繁程度令人不安。问题就是 · 这是谁决定的.
答复总按可预见的顺序出现 · 委员会决定的、上一届管理层批准的、技术团队确定的。当我追问具体是谁时，得到的是沉默。或是人员轮换。或是那位已经离职的负责人。
披着治理外衣的机构不透明性
这些答复所描述的情况有一个技术名称 · 披着治理外衣的机构不透明性。组织有政策、委员会、会议记录、报告——但关键决策背后却没有可识别的行为主体。这种不透明性很少属于腐败，几乎总是一种以集体可追溯性为代价来规避个人风险的文化性做法。无人签署，就无人担责。无人担责，就无人可被问责。
本准则展开论述准则 02 中的行为主体。DORA 将受其约束的金融实体的信息和通信技术风险的最终责任赋予管理机构；操作任务可以分配，治理责任仍然保留（第 5 条）。在另一情境中，FCA 确认了对 Barclays 前首席执行官因缺乏诚信及误导性陈述而作出的禁业决定和 1,1 百万英镑罚款（FCA，2025）。两项案件从不同层面说明了同一件事 · 组织架构图不会消解监管所赋予的责任。
签署的三种病态
病态 01 · 没有实际签署人的集体签署。文件写着由委员会批准。七名成员。无人独自承担责任。如果决策出错，代价就被分摊到无形。会议记录存在，个人责任却在制度设计中被稀释了。
病态 02 · 切断履历链条的轮换签署。决策都有签署，但签署人每六个月就更换一次。三年后，所有签署人都已不在组织中。可追溯性存在于纸面上，实际操作中却无法实现 · 关键决策的签署人已无义务作出说明，而且很可能已不记得当时的背景。
病态 03 · 项目已结束的顾问签署。外部顾问签署报告、收取费用、结束合同。三年后，当事件追溯到其建议时，合同关系早已到期。他的签署在当时是真实的，如今却只是背后没有责任义务的墨迹。
当机器作出决策时
这个十年的问题很直接 · 如果是人工智能智能体作出了技术决策，谁是可识别的责任人？理论给出的回答并不神秘 · 自动化决策的责任人，就是允许该决策自动化的人。设定阈值的人。批准部署的人。有权叫停却选择不予审视的人。人工智能可以快速决策，却不能承担责任。
澳大利亚的 Robodebt 计划将这一问题带入了公共案卷。皇家委员会记录了围绕一项自动化决策在设计、合法性、咨询和监督方面的缺陷（Robodebt，2023）。系统负责执行；使其得以运行并持续运作的决策，始终由人和机构作出。
操作规则要求为系统指定一名责任人，并保留与影响程度相称的日志 · 相关输入数据、结果、版本、已实施的控制措施、适用时的人工复核，以及干预权限。并非每项输出都需要个人签署；但每一种决策架构都需要一个可识别的责任职能。
可核验专业人士的五项信息
可识别的责任人不只是组织架构图上的一个职位 · 而是一名可核验的专业人士。五项可查询的信息定义了这样的人。
信息项 01 · 经核实的身份。可核验的姓名、已声明的职能。没有这一项，其余四项就无所依托。
信息项 02 · 有据可查的履历。署名项目、作者身份可识别的报告、注明日期且所属组织可核验的任职记录。履历以累积且可查询的署名成果来证明——而非以简历的篇幅来证明。
信息项 03 · 技术能力的时效性。最近一次正式知识更新，注明日期、主题，且深度足以胜任该角色。不能依据资历或职位名称推定能力；必须对照该职能需要作出的决策来证明能力。
信息项 04 · 实务证据。明确具体角色的项目 · 哪个组织——如涉及保密，则说明哪个行业——什么项目、有什么有据可查的结果、何时开展。
信息项 05 · 当前的伦理合规状况。在适用的隐私与保密限制范围内，已披露的相关利益冲突及可核验的背景记录。
当基础设施和密钥管理可靠时，电子签名或密码学签名可以将身份、文件和日期关联起来。但它不能替代签署人的权限或能力。首先必须有一个获授权承担责任的人，然后才能选择如何保存其签署证据。
准则检验
找出上一季度在您领导下签署的一项重要技术决策。找到签署记录，并进行三项核查。
核查一 · 签署人是否仍在组织中——或者该决策是否有书面记录的接任者，并附有移交记录和日期？预期答案 · 是，满足其中任意一种情况。
核查二 · 签署人对该决策的权限是否在决策前已有书面记录？预期答案 · 有一份日期早于签署日期的正式授权。事后重建的权限，不过是举止更体面的病态一。
核查三 · 如今能否向签署人问责 · 是否存在有效的合同义务或职能义务，要求其为该决策负责？预期答案 · 是，且有书面记录的渠道。
这三个答案可以重建责任。一个空缺本身并不能证明存在实质性缺陷，但它准确地显示了决策在何处失去了责任人，以及需要纠正什么。