合规义务和合规风险有什么关系

刚接手合规的同事最常卡在一件事上：法规条文列了一堆义务，风险清单又列了一堆风险，两边各看各的，对不上号。结果要么漏项，要么把风险写成了义务。这篇给一张对应关系的读法：义务是「该做什么」，风险是「没做到会怎样」，中间靠触发条件和后果连起来。看完能自己动手把一份义务清单翻译成风险条目，并知道什么情况下这套对应不成立。

刚接手合规的同事最常卡在一件事上：法规条文列了一堆义务，风险清单又列了一堆风险，两边各看各的，对不上号。结果要么漏项，要么把风险写成了义务。其实这两者是一条线的两端：义务是「该做什么」，风险是「没做到会怎样」，中间靠触发条件和后果连起来。把这条线理顺，一份义务清单就能翻译成可评估、可排序的风险条目。

下面按五步讲：先分清义务和风险的区别，再讲怎么拆对应关系，然后说清一条义务对多条风险是常态，接着讲什么情况下这套对应不成立，最后给一套新人能直接上手自查的做法。

先分清：合规义务是「要求」，不是「风险」

合规义务来自外部规范加内部承诺，是应当做的事项；合规风险是不做或做偏之后可能落到自己头上的不利后果。两者的主语和时态都不同：义务说的是「谁必须做什么」，风险说的是「万一没做，谁会被怎样」。把它们写成一回事，后面就没法评估和排序。

• 新人最常犯的错：把义务原文抄进风险清单，读起来像规定，实际没法评估、没法排优先级
• 判断口径：一条写得好的风险条目，应该能回答「谁、在什么场景下、因为漏了哪条义务、会导致什么」
• 义务讲的是应该状态，风险讲的是偏离之后的结果，写的时候主语和触发条件必须明确，否则后面无从检查

对应关系怎么拆：三步把义务翻成风险

拆对应关系不是靠感觉，而是固定走三步：先定位义务来源，再补触发条件，最后写后果与暴露面。三步走完，一条义务就变成一条或多条能打分的风险条目。下面这张表是中间过程的对照样式，字段可以按团队规模增减。

1. 定位义务来源把每条义务标出来源：法律、监管文件、行业标准、合同承诺、自己公开的条款。来源不同，后果类型也不同，这一步决定后面往哪个方向评估。
2. 补触发条件写清义务在什么业务动作里会被触发。没有触发的义务通常不产生现实风险，可以标记为待定，而不是硬编一条风险。
3. 写后果与暴露面后果分监管处罚、民事索赔、合同违约、商誉与业务中断几类；暴露面是受影响的人数、金额区间、地域范围。严重度按这两项综合评，不按条款位置评。

一条义务对多条风险，是常态不是例外

很多新人以为义务和风险应该一一对应，看到一条义务对应三个风险就怀疑写错了。其实同一项义务可能同时生成运营风险和监管风险：数据处理类义务没落实，既可能在检查时被问，也可能被用户投诉。反过来，同一个风险也可能由多条义务失守共同造成，所以风险清单不能和法规条文一一对应着编号。

实操上按「场景」归并比按「条款」归并更好用：一条业务链路上把涉及的义务集中列，再看共同的风险出口。自评时先看覆盖：每项义务至少能指向一个风险条目；没有对应风险条目的义务，要么不适用，要么被漏掉了。

• 按场景归并：把同一条业务链路上的义务放在一起，看它们共同指向哪些风险出口
• 检查覆盖：每项义务至少指向一个风险条目，找不到的就标「不适用」或「待补」
• 区分主次：一条义务对应的多个风险里，按暴露面和触发频率排先后，不要平均用力

什么情况下这套对应不适用

这套对应关系不是什么时候都能用。硬套会误导资源投入方向，下面几种情况要先标出来，再决定怎么处理。

• 义务本身还没生效或适用范围不明确时，先标记待定，硬套风险会让团队把精力花在还没落地的事上
• 纯技术标准类义务未必直接对应法律后果，但会通过客户审核、招投标资格变成商业风险，归类时要换一栏
• 业务尚未开展、数据尚未收集时，触发条件不成立，此时风险应记为零暴露，而不是记成低风险
• 已经外包给第三方的环节，义务不转移，风险会以连带责任形式回来；这条如果没写进去，整张对应表会失真

落地：新人怎么用它做一次自查

先把当前义务清单拿出来，按季度做一次对照检查，而不是等出问题才翻。检查的核心是问：这条义务现在有没有业务动作在触发它？有触发的补风险条目并写严重度，没有触发的标待定。

维护字段不必贪多，但有两个不能省：触发场景和责任人。这两个缺了，整条记录就废了。更新结果和变更记录要留档，检查或审计时能说明「什么时候发现的、什么时候改的」。篇幅和字段规范也不用照搬大企业版本，一家 5 人小团队用一页表也能跑通，关键在持续更新而不是表做得多漂亮。