企业合规管理与内控风控法务怎么协同

很多中小企业把合规、内控、风控、法务挂在同一个人头上，出事后才发现四件事的交付物完全不同：有人只会写制度，有人只会打官司，没人盯日常流程。更要命的是老板问「这事谁负责」，四个部门互相推。这篇把四个职能的输入输出、协作接口和常见扯皮点摊开，给一份能直接照着改的分工表。

四个职能最怕的不是没人管，而是老板问「这事谁负责」的时候四个部门互相推。合规、内控、风控、法务听起来像一回事，实际交付物完全不同：有人只会写制度，有人只会打官司，中间没人盯日常流程。中小团队最容易把四件事压在一个人身上，平时看不出问题，出事才发现每块都缺纸面记录。

下面这份分工不是让你立刻拆四个部门，而是先把「谁的输出物是什么」摊开，再看交接处怎么固定、日常怎么跑、哪些情形别硬套。看完可以拿去对着自己公司抽一件事做体检，缺哪块补哪块。

先把四个角色分清：谁的输出物是什么

判断一个职能是不是虚设，不要看有没有岗位名称，看它能不能拿出对应的纸面记录。合规对外部规则，内控对内部流程，风控对风险敞口，法务对合同与争议。任何一件事做完，都该在四个方向上留下痕迹，留不出来的那块就是空的。

• 检验办法：随便抽一件事，比如签一份软件采购合同，看四个角色分别留下什么纸面记录，哪块空白哪块就是虚设。
• 团队人数很少时不要硬拆四个岗，可以先拆「规则制定」和「执行监督」两条线，一人兼两职没问题，但不要让同一个人既审批又复核。
• 岗位说明书里要把交付物写清楚，只写「负责合规工作」等于没写，写「每季度更新一次合规清单并留档」才算数。
• 外部规则变化时先问一句：这事的输出物归谁？归合规就出制度，归内控就改流程，归法务就出意见，别含糊。

协作接口：四张表把交接固定下来

四块分工最薄的地方在交接处。制度改了流程没改、法务意见躺在邮件里没人回填、举报线索不知道进哪个口子，都是交接没固定造成的。解决办法不复杂，把下面四张表建起来，每次交接填表留痕，扯皮自然少。

制度变更交接表

合规改规则后同步告诉内控哪些控制点要跟着改，否则制度挂墙上、流程照旧跑。

风险升级表

风控发现指标越线，先判断是流程漏洞转内控，还是法律敞口转法务，不要一律开会讨论。

法律意见回填

法务出的意见回填到对应制度条款或合同范本，避免同一个问题下次再问一遍。

举报与线索分流

员工举报先进合规，涉及资金和舞弊转内控或审计，涉及外部索赔转法务，路径提前写死。

交接表不用做得很重，一页纸能说清就行。判断标准很简单：换一个人接手，只看表能不能知道下一步该找谁。如果还要打电话问才知道，说明这张表没写明白。涉及争议和留证的场景，留痕方式可以参考 /guides 里关于证据留存的做法，别只留口头结论。

日常怎么跑：节奏、议题与会前材料

联席会的频率按企业规模定，十几人的团队一个季度一次就够，业务复杂的按月。关键不在开几次，而在每次只解决「需要跨部门定的事」。常规审批和日常操作不要塞进这个会，否则会开成流水账，真正要拍板的事反而没时间。

1. 议题只放三类新增或修订的外部规则怎么落地、越线风险指标怎么处置、跨部门扯皮的归属裁决。其他事项走日常流程。
2. 会前一页纸每份材料写清现状、影响、建议动作、需要谁点头。没有这一页就不上会，能挡掉大量空转讨论。
3. 当场定责任人与时限结论必须落到具体的人和日期上，写不清就不算决议，下次重议。
4. 会后按记录回看下次开会先看上次决议执行情况，留痕记录同时也是应对外部检查时最省事的证据。

常见坑与不适用的情形

协同做不下去，多数不是能力问题，是几个固定坑反复踩。下面列的情况很常见，但都要看适用边界，不能一概而论。

• 坑一：风控做成「什么业务都不批」，业务干脆绕过流程自己干，实际风险更大；风控应该给分级方案，而不是只给否决。
• 坑二：内控和风控用两套风险口径，同一件事两个部门各说各话；先把风险分类和发生概率、影响程度的打分尺子统一。
• 坑三：法务只在出事后进场，合同、宣传物料、数据处理这些场景都没有提前过一遍。
• 坑四：合规制度写得很全但没人培训，员工根本不知道有这么个东西；制度不是发文件，是要让一线能照着做。

不适用情形也要说清：业务模式还在快速试错阶段时，不要一次性铺满控制点，先把资金、数据、资质三条红线保住，其余等业务跑通再补。反过来，一旦涉及持牌经营或强监管行业，上面这套「先松后紧」就不适用，必须按外部规则的节奏走。具体行业的监管口径差异，可以到 /guides 相应页面核对当时的表述。

判断协同是否有效，不看开了多少次会，看三件事：交接表有没有在填、联席会的决议有没有按时完成、抽查一件事能不能拿出四份记录。三件都能对上，说明分工真的落地了。