合规管理办法和内部控制的区别

开会时经常出现这种场面：同一条流程问题，合规说是内控的事，内控说是风险管理的事，审计说我只是来查的，最后谁也没认领。这篇不背定义，只给一套能对着用的判断口径——五个概念各自回答什么问题、目标怎么不同、落到职责和文档上长什么样，以及哪些情况下这套划分会失灵。

开会时经常出现这种场面：同一条流程问题，合规说是内控的事，内控说是风险管理的事，审计说我只是来查的，最后谁也没认领。大家嘴里的词听着差不多，落到职责表上却谁也不认。问题不在概念难，而在于没人把「谁回答什么问题」摆到一张桌上。

这篇不背定义，只给一套能对着用的判断口径——五个概念各自回答什么问题、目标怎么不同、落到职责和文档上长什么样，以及哪些情况下这套划分会失灵。看完你可以直接拿它去开一次部门对齐会，或者改自己的制度目录。

先分清五个词各自回答的问题

最省事的记法是给每个词配一个它要回答的问题。问题的起点不同，负责的部门、留下的证据、被追问的角度就都不一样。先看这张对照表，把「起点」这一列记住，后面基本不会串。

• 合规管理的边界由外部规则划定，可以被逐条列举，义务清单就是它的抓手
• 内控的边界由流程风险划定，业务一变它就得跟着改，所以内控手册通常比合规清单更厚也更常修
• 风险管理的范围最宽，既包含合规风险，也包含经营、财务、技术、供应链等风险，识别与评估是它的前置动作
• 公司治理是结构安排，风险偏好、容忍度这类顶层口径由治理层定，执行层照此拆解
• 内部审计站在监督评价的位置，查的是前四者有没有真正做到位，而不是替它们干活

三组最容易混淆的区别，用一句话对照

概念本身不难，难的是它们共用同一批数据和同一批问题，差别只在「谁负责、以什么口径、留下什么文档」。下面用四组对照把最容易糊在一起的地方拆开。

混淆的代价通常不是工作重复，而是责任悬空：每个人都以为别人在管，出问题才发现没人管。所以别急着争谁归谁，先把每条实际动作贴上负责部门，再回头看属于哪个概念。

落到组织里：职责、文档、汇报线怎么摆

光讲概念没用，落地要看三样东西：职责表、文档栈、汇报线。三样摆对了，五个词自然各归各位；摆错了，再漂亮的概念框架也白搭。

合规侧

管义务清单、审批口径、培训与举报，留制度办法、合规义务清单、合规审查记录

内控侧

管流程图、控制点、授权矩阵与自我评价，留流程描述与控制点测试底稿

风控侧

管风险清单、评估方法与整改跟踪，留风险清单与处置台账

审计侧

管独立评价与问题闭环，留审计报告与整改进度

1. 第一步：列外部义务把手上的外部义务逐条列出来，标上对应法规或监管文件名称，作为合规侧的底账
2. 第二步：挂到控制点把每条义务对应到具体流程的控制点上，看有没有授权、审批、复核、分离这几类动作接着
3. 第三步：查评估记录看这些控制点有没有被评估过，风险清单里有没有对应条目，整改是不是有人跟
4. 第四步：查独立检查再看有没有被独立查过，也就是审计有没有出过报告、问题有没有闭环。哪一环断掉，责任就会漂到别人头上

汇报线方面，多数组织把三道防线摊开排：业务是第一道，合规与风控是第二道，审计是第三道。具体层级怎么设、谁向谁汇报，各行业差别很大，可以到站内组织架构与制度类文章里逐条比对，再对照自己公司现在的设置找差异。

什么情况下这套划分不适用

• 业务高度单一、人员极少时，划分越细越难落地，用一张合并清单比三本手册更有效
• 监管直接把某项要求写成专章时，该要求往往不分合规内控，照概念分工反而漏项，应按监管原文逐条挂责任人
• 强监管行业或上市公司，治理层与审计的独立性是被单独要求的，不能靠兼任解决，边界必须画实
• 边界只是分工工具，不是免责工具：出了事监管看的是有没有人实际做了动作、有没有留证据，而不是谁在组织图上属于哪个部门

判断到底哪种做法更合适，可以拿三条标准过一遍：关键动作有没有明确的责任人、有没有可查的证据、证据能不能被独立复现。三条都能答上，划分方式就是合适的；答不上的地方，就是下一个要补的口子。