合规内控风险管理三者关系

公司里同时挂着合规、内控、风险管理三块牌子时，最容易出现的场面是：同一份材料三个部门都说是自己的，出了事又都说不归自己管。这篇不讨论概念谁高谁低，而是给一套能直接对照的划分口径，说明三者在目标、对象、抓手上的差别和重叠，再补上国企央企体系下的实践背景，让你在写制度、分职责、迎接检查时知道每一步该挂在哪个名下。

公司里同时挂着合规、内控、风险管理三块牌子时，最常见的场面是：同一份材料三个部门都说是自己的，出了事又都说不归自己管。写制度的人也很头疼，一条要求到底是写在合规手册里，还是挂在内控流程上，还是丢进风险台账，全凭当时谁在场。

这篇不争概念谁高谁低，只给一套能直接对照的划分口径，说明三者在目标、对象、抓手上的差别和重叠，再补上国企央企体系里的常见做法。看完你至少能回答三个问题：这件事该挂在哪个名下、三张清单之间怎么互相索引、迎接检查时先查哪张表。

先分清三个词的落脚点：目标、对象、抓手

分不清三者，往往是因为大家在用同一个词「风险」说三件事。换个角度，把每个词拆成目标、对象、抓手三格来看，边界立刻清楚很多。下面这个对照表可以贴在工位上，写材料时随时对一眼。

三者不是并列的三层楼，而是三种视角看同一家公司。合规偏对外，看的是你答应的和外面要求的有没有做到；内控偏对内，看的是流程本身靠不靠谱；风险管理偏前后两端，事前找不确定性，事后盯处置有没有落地。

重叠的地方在哪：三个高频交叉区怎么分

完全切开是不可能的，也没必要。真正要处理的是三个高频交叉区，分不好就会出现同一件事被统计两次、两个部门互相等材料的情况。

• 合规风险：它既是合规工作的对象，也是风险管理里的一个风险类别。写清单时不要互相拷贝，建议由风险管理侧建一个风险条目，合规侧只维护依据和检查结果，两边用同一个编号串起来
• 流程控制点：一个控制点往往同时是内控措施和风险应对措施。区别在角度，内控表述说「谁在什么时候做什么」，风险表述说「这么做把哪个风险降下来了」，同一条允许两种写法，但责任岗位只能有一个
• 制度文件：三者经常合成一份文件发，这没问题。但执行层面必须能各自回答一句：这条是防违规、防跑偏，还是防不确定性。答不出来就说明这条是抄来的，趁早删掉

还有一个务实的口径：实在分不清时，先归到最主要的那一类，其他两类在备注里挂引用，别硬拆成三条独立任务。任务是给人做的，拆太细只会让执行人互相甩锅。适用边界也要说清：如果团队里三块工作本来就是一个人兼，那这套拆法可以简化成一张表。

国企央企体系下的实践背景：为什么总被放在一起讲

很多人以为三者并列是概念本身的要求，其实是两股力量推出来的：一股是监管要求，一股是企业自身管理需要。两股力量都要交材料，结果就是文件里经常并列出现，读的人自然以为它们天然是一件事。

分设模式

合规、内控、风险管理各设部门或岗位，各管一块。适合规模大、检查多的组织，但要把接口人写进制度，否则容易互相等材料

合一模式

三块合到一个部门下分岗，或干脆一人兼管。适合中小团队，效率高，但要求负责人对三套口径都熟，不然容易出现「一套说法打天下」

考核口径

不管哪种模式，考核指标必须提前说清归谁背。指标不清时，最典型的现象就是三边都在整理材料，没人对结果负责

对上汇报时，通常会被要求「一张表说清三件事」。可行的做法是按风险类别列主表，每行分别标注合规依据、控制措施、责任岗位三栏，一张表同时满足三个口。规模较小的团队没必要照搬大企业的三层架构，一个岗位兼管、一张清单打通就够了。

自查与材料准备：三张表打通一次检查

不管组织怎么设，落到纸面上就是三张表。把这三张表建好并且互相能索引，大部分检查都能应付，剩下的只是细节补齐。

1. 建规则清单列外部法规和内部制度要求，对应合规。每条给出依据出处和适用范围，验证方式：随便抽一条，能不能说出它来自哪个文件、管到哪个岗位
2. 建流程控制表列关键节点、责任人、控制动作，对应内控。验证方式：沿着一条主流程走一遍，每个节点能不能对上人和动作
3. 建风险台账列风险描述、等级、应对动作、责任人，对应风险管理。验证方式：抽一条风险，能不能指出它对应哪个控制点
4. 做交叉索引每条规则指向哪个控制点，每个控制点防的是哪条风险。答不上来就是断链，先补断链再补文字
5. 检查前自查同一件事在三张表里的描述是否一致、责任岗位是否冲突、时间口径是否统一。这三项对不上，现场很容易被追问

材料留存的要点是版本和签批时间，具体留哪些、留多久，按你所在行业的要求来，拿不准先去 检测口径与数据来源（/about） 看本站的说法边界，别直接把别家的清单模板套过来用。

最后提醒一句：三者关系不是背出来的，是用出来的。每次遇到一条新要求，先花一分钟判断它防的是违规、跑偏还是不确定性，归好类再动手写。坚持几十次以后，这套口径就变成团队共识了，也就不需要每次开会都吵一遍归属。