很多公司的合规、内控、风控、法务四个词挂在同一份制度里，真出事时却没人说得清谁先动、谁签字、谁对外。你可能正卡在「制度写了但跑不起来」或者「同一件事四个部门各要一份材料」。这篇不讲概念堆叠，只给协同的边界划分、固定的流转节奏和一份可照着做的对接清单，顺带说明小团队、业务高速期等场景下这套做法哪里要打折。
很多公司的合规、内控、风控、法务四个词挂在同一份制度里，真出事时却没人说得清谁先动、谁签字、谁对外。你可能正卡在「制度写了但跑不起来」，或者同一件事四个部门各要一份材料，业务同事被来回踢皮球。这篇不讲概念堆叠，只给协同的边界划分、固定的流转节奏和一份能照着做的对接清单。
下面按「先划边界、再定节奏、然后讲处置顺序、最后说不适用场景」四步走。每一步都给可落地的动作和判断标准，你在自己公司里改制度、改表格、改会议节奏时可以直接抄。
先把四个角色的边界划清楚
边界不是靠默契，是靠写下来的定义。建议把这四句话放进制度首页，后面所有扯皮都能回到这里对一遍：合规管「规则要求是什么、我们符不符合」，内控管「流程有没有按设计跑、留没留痕」，风控管「这件事发生的概率和影响有多大」，法务管「法律上站不站得住、条款怎么写」。
- 合规
- 把外部规则翻译成内部动作，并推动落地、跟进整改。
- 内控
- 盯控制点有没有执行、有没有留痕，关注过程而不是风险大小。
- 风控
- 给风险定量级、排优先级，决定先做哪件事、容忍到什么程度。
- 法务
- 对具体行为做法律判断，负责合同条款与对外法律表达。
最容易混的是合规与法务。遇到监管口径不明时，先由合规出面对接，法务在后方给法律意见，不要两边同时对外，否则口径不一致，业务方拿到的信号会互相打架。内控和风控的关系则是：同一件事内控问「控制点做了吗」，风控问「不做的话损失多大、要不要先做别的」。
如果公司只有几个人，四个角色通常由两三个人兼。这时务必在制度里写明「谁兼哪个角色、什么议题上必须换人复核」，否则自己监督自己等于没监督。常见做法是：合规与法务可兼，内控与风控可兼，但跨这两组时要拉别人签字。
日常怎么转：固定的三个接口节点
协同能不能跑起来，看的不是开多少次会，而是有没有固定节点。把下面三个接口写进流程，日常扯皮会明显变少。
- 入口节点：业务提新做法先填一张一页纸的说明，写清做什么、涉及哪些数据、面向谁。合规初判要不要走评估，风控给风险量级，法务看有没有法律障碍，三方各写一句书面结论，不要只开会口述。
- 例会节点：联席会按月或按双周开一次，只处理三件事——新事项定级、存量问题进度、上次遗留的挂账。议题提前一天发，会上不做科普，也不允许临时塞新议题。
- 出口节点：对外签发同一份对外材料只由一个人签发。建议合规管对监管和内部制度的表述，法务管合同与法律承诺类表述，避免同一份文件两个部门各改一版。
跨部门证据要落在同一处：所有结论、意见、附件存进同一个共享目录，按事项编号归档，而不是按部门归档。这样事后复盘时能一次拿全，不用挨个部门去要。
| 节点 | 谁主要动 | 要产出什么 | 不这么做会怎样 |
|---|---|---|---|
| 入口 | 合规牵头，三方各出一句结论 | 一页纸说明加三条结论 | 业务先干后补，补不回来 |
| 例会 | 轮值主持，合规做记录 | 定级结论与挂账清单 | 重复讨论，进度没人跟 |
| 出口 | 单一签发人 | 带编号的定稿版本 | 对外两个口径 |
| 归档 | 三方共用目录 | 按事项编号的完整材料 | 复盘时证据拼不齐 |
出事时的处置顺序：谁先动、谁后动
顺序反了，就会变成先找人背锅，证据和口径都没定，后面补救成本更高。建议固定成下面这个次序，谁先谁后写进预案。
- 第一步定性质而不是定责任：由合规或风控先做事实梳理，把时间线、涉及的数据与人员列出来，这一步只记录不评价。
- 第二步由法务判断对外口径和是否触发报告义务，依据要写下来，包括依据哪一条要求、结论是什么、谁批的。
- 第三步回到内控，检查这次是哪个控制点失效，是设计漏了还是执行没做，两种情况改法完全不同。
- 全程留一份决策日志，写清每个时间点谁做了什么判断，事后复盘和对外说明都用得上。
涉及数据泄露、账号被冒用这类具体情形，泄漏排查和止损动作可以对照 Key 泄露之后的两小时（/guides/key-leak-response-runbook） 里的顺序来排，那份讲的是操作动作，和这里的分工判断配合着用：操作按那份走，分工和对外口径按这篇的次序走。
什么情况下这套协同方式不适用
没有一套机制适配所有公司。下面几种情况硬套上去，反而会拖慢业务，你需要提前知道哪里要打折。
- 业务节奏以小时计、需要当场拍板的场景，不适合等三方各写一句结论，应事先授权一个人先做、事后补记录，并把补记录的时限写死。
- 单一法域的极小团队里硬套四个角色会变成形式主义，更现实的做法是合并角色，但保留「关键动作双人确认」。
- 如果公司已经有一套跑顺的体系，不要为了对齐名词去改组织架构，先改接口和记录方式，收益更快、阻力更小。
- 涉及监管要求的口径、申报时限这类硬信息，别在内部会上凭记忆定，到 数据出境合规路径有哪些（/guides/data-export-compliance-paths） 这类站内页面核对当时的表述，再落到自家制度里。
判断该不该打折的标准很简单：如果这件事做错的后果是可控且可逆的，可以先授权后补；如果不可逆或者会被外部看到，就必须走完整流程。同行怎么处理类似问题，也可以到 指南中心（/guides） 翻一翻对照着看。
下一步把这篇里的角色定义、三个接口节点和处置次序抄成内部一页纸，先用一个真实议题跑一遍，跑通了再改制度。想看同类实操写法和清单，可以顺着站内指南中心往下翻。→常见问题
合规和内控到底谁管谁？
不是上下级关系。合规负责把外部要求翻译成该做什么，内控负责确认这些动作有没有按设计执行、有没有留痕。同一条要求上，合规出标准，内控出检查，两者互相校验但不互相替代，写进制度时最好各列一张清单。
四个部门都要同一份材料，怎么减少重复？
建一份主档，按事项编号存放原始材料，各部门的结论和意见作为附件挂在同一编号下。对外报送或内部审批时从主档里摘，不再各自找业务要一遍。关键是约定唯一编号规则和唯一存放位置，否则共享目录很快又会分裂。
小公司没有法务岗，怎么协同？
把法务职能拆成两块：日常规则判断由合规兼，涉及对外承诺、合同、诉讼风险的部分固定外包给外部律师，并约定响应时限。内部至少要保留「谁有权决定找外部律师」这一个明确入口，避免所有人都以为别人已经问过了。
