他把队列看板原型拉到全屏：提交时间、机构名称（可匿名编码）、申请层级L0/L1/L2、当前状态（待排期/运行中/补证/通过/未通过）、预计完成时间、以及“补证清单下载”。

“沙箱不是你们手里的一支笔，沙箱是公共设施。”林远说，“排期只按两件事：先到先服务；证据包齐全加速。不得出现任何名单优先、推荐优先、关系优先。谁提出‘优先’，就把他提案编号挂到看板上，让所有城市看清楚是谁在建闸门。”

周秘书长脸色一变：“你这话太冲。”

“冲是因为我们已经见过太多‘优先’。”林远语气仍平，“优先一旦落地，市场就会把它定价。你们说是效率，市场会把它变成门票。”

第三段：独立签名、双人保管。

这是今天的核心。林远把那张“签名权即解释权”翻过来，写下三行更具体的字：

签名只签“结果摘要”，不签“解释文本”

签名密钥不在运营方手里

小主，

签名过程留痕可审计

“签名密钥由省信息处管理没问题，但必须双人保管。”林远看向副处长联络员，“一个在住建信息处，一个在银行旁听或审计旁听。不是让银行管省里，是让省里在外部约束下管好自己。密钥可以放HSM，启用双人授权，签名动作自动留痕。运营方只能跑沙箱，不能签结果。”

何经理点头：“我们可以承担旁听确认，不介入内容，只确认留痕。”

审计联络也补一句：“审计确认的是过程，防止密钥被滥用。”

数科副总皱眉：“那我们承担运维风险，却没有签名权，责任怎么划？”

林远回答得很现实：“你们的责任是可用性与性能，签名权的责任是公信力。你们要公信力，就会想要闸门；你们要规模利润，就把可用性做好，把队列跑顺。别把两种责任绑在一起。”

第四段：验真接口、可复测抽查。

“所有标签都必须可验真。”陈毅把验真接口的原型贴出来：输入标签编号（Conform-L1@v0.1.3）返回是否有效、签名摘要、时间窗、对应测试套件版本。验真不返回细节，不泄露数据，只返回“真伪”。

“此外，抽查复测常态化。”林远补，“通过不是永久通过。标签有效期写死：比如L1有效90天，L2有效60天。期间随机抽查复测，发现‘跑一次就躺平’、发现‘代办责任席’、发现‘异常模板聚类’，直接触发复测加密与整改工单。”

咨询总监听到有效期，立刻反击：“这会增加企业负担，机构会反感，市场会抱怨。”

“抱怨是正常的。”林远看着他，“真正的合规从来不靠一次盖章。一次盖章最像门票。你们想把认证做成门票，才会讨厌有效期；你们想把能力做成标准，就会接受持续抽查。”

副处长联络员沉默了一会儿，终于把结论写在白板上，像盖章一样简短：

1）沙箱由数科公司提供基础设施，省信息处牵头治理；

2）测试用例公开判定逻辑，不公开敏感配置；

3）沙箱队列看板公开，禁止名单优先；

4）标签结果由省端密钥签名，双人保管，过程留痕；