合规标准及108条问题清单

很多团队拿到一份合规自查表，逐条读完发现每条都「差不多做了」，真出事又说不清哪条没做。问题不在态度，在清单没结构：条款混在一起、没有判定口径、没人签字留痕。这篇给一套 108 条问题的分组方式、判定标准和执行顺序，你照着拆成自己公司的版本，一周内能跑完一轮。

很多团队拿到一份合规自查表，逐条读完发现每条都「差不多做了」，真出事又说不清哪条没做、哪条做了但没证据。问题不在态度，在清单没结构：条款混在一起、没有判定口径、没人签字留痕，最后填完就是一叠没人再翻的纸。

这篇给一套把 108 条问题拆开用的方法：怎么分组、怎么定判定口径、按什么顺序跑、多久跑一次。你照着改成自己公司的版本，一周内能跑完一轮，而且跑完能直接变成整改派工单。

108 条别平铺：先按四类归位

大部分自查表失效的第一个原因，是 108 条平铺成一条长列表。人的注意力撑不过二十条，读到后面就是在打勾应付。正确做法是先按四个维度归位：制度有没有写、流程有没有跑、记录有没有留、技术有没有挡。同一件事的四个侧面放在一起，填的时候脑子里是一件事，不是四道题。

归位之后，每组再按责任部门切一刀：法务、技术、业务、人事各拿一列。这样清单不再是「给合规部看的东西」，而是四张派工单，谁填哪几条一眼可见。原来一百多条读着累，现在每个人手上就是二三十条，填完还能互相验证。

每条问题后面固定留三栏：是否符合、证据在哪、谁确认。「符合」两个字谁都会写，真正有价值的是证据列和确认人。没有证据列的条目，一律按未完成算，不用商量。

判定口径先定死，否则一定吵起来

自查最容易吵起来的时刻，是两个人对同一条给出不同答案，而且都能自圆其说。根子在判定口径没提前定。四类问题各有一套口径，先写下来再开填，能省掉后面大半的返工。

• 制度类看「文件是否发布且能查到版本」，草稿、聊天记录里的截图不算，具体要保留哪些文件可以到 /guides/compliance-risk 核对。
• 流程类看「最近一次执行的时间点」，只写有流程而不写最近一次是什么时候，等于没验证。
• 技术类看「配置是否在生效环境里」，写在文档里的权限设计不算数，要去后台看实际开关状态和日志。
• 对外承诺类看「文件里的说法和线上实际做法是否一致」，不一致本身就是问题，不用等出事。

还有一类容易被忽略：条目本身的适用前提变了，但清单没更新。比如换了部署方式、接了新的供应商，原来判定「不适用」的条目可能已经变成适用。所以每次填之前，先把条目适用性过一遍，再逐条判定。

一次跑完的顺序：从高风险条目往回做

一百多条一起铺开做，很容易做着做着就散了。建议按风险从高到低排顺序，先把返工成本最大的做完，再补那些缺了不会立刻出事的。顺序错了，前面填的后面还会被推翻。

1. 先做数据与权限类涉及数据出境、个人信息、账号权限的条目优先。这几类出了问题，后面所有结论都要返工。数据出境要不要做评估，可以到 /guides/data-export 核对当时的适用条件和判断口径。
2. 再做对外承诺类用户协议、隐私政策、宣传用语与实际做法逐条对齐。不一致是最常见的翻车点，而且一旦被外部发现，解释成本很高。
3. 最后补内部管理类培训记录、岗位职责、内部制度这类缺失通常不会立刻出事，但补起来最慢，放在最后按季度推进即可。
4. 每条结论都留证据截图带日期、文件带版本号、会议记录带参会人。出纠纷时这些是唯一凭据，留证的具体做法可以看 /guides/evidence-retention。

顺序之外还有一个动作值得固定下来：每做完一组，把「不符合」和「不适用」单独拉一张表。整改派工单只发「不符合」那一张，「不适用」的留着下次复审时再确认一遍前提有没有变。

自查不是一年一次：节奏与失效判断

把 108 条按频率分档，比统一一年查一次有用得多。分档的依据是「多久会变」，不是「多久想起来查一次」。变的东西查勤一点，不变的东西查少一点。

季度必查

对外承诺、账号权限、数据流转相关条目，这些最容易随业务变化而失效

半年查

制度文件、培训记录、内部流程执行情况，变化慢但会累积

变更触发查

新上线功能、换供应商、换部署方式时，定向查受影响的那几十条，不用全跑

还有一点：同一批人连续自查，很容易变成自我确认。建议交叉复核，A 部门填完的条目，让 B 部门抽三条复查，复查不看结论看证据。查的是证据列能不能站得住，不是答案对不对。

什么情况下这套清单不适用：公司规模不到十人、没有任何对外数据处理业务的，全套 108 条会大量空转，砍到二十条以内的核心项就够了。清单是工具，不是义务，规模不到硬填反而会让人对合规整体失去耐心。