合规内控与风险管理角色区别

很多公司在搭风控体系时，会把合规、内控、风险管理三个岗位混着用，结果要么三拨人抢同一件事，要么出事时互相说「这不是我负责的」。如果你是刚接手这类岗位的人，或者要给团队定岗定责，这篇帮你把三者的判断标准、交付物和交接动作理一遍，并给出什么情况下这套分法不适用。

很多小团队在搭风控体系的时候，会把合规、内控、风险管理三个岗位当成一个意思混着用。结果往往是两种：要么三拨人抢同一件事，谁都在管、谁都管不深；要么真出了事，三方互相说「这不是我负责的」。如果你是刚接手这类岗位的人，或者正给团队定岗定责，先把这三者的边界理清，比急着写制度更省事。

下面按「各自盯什么—边界怎么划—日常怎么配合—怎么自查」四步走。每一步都给判断标准和能直接落地的小动作，你照着对照自己团队的现状就行。需要提醒的是，这套分法在中大型组织里比较顺，团队小到一两个人兼做时不完全适用，文里会专门说明。

三个岗位一句话说清各自盯什么

判断一个岗位到底归哪一类，最省事的办法不是看职级和汇报线，而是看它盯的「对象」是什么。盯外部规矩的是合规，盯内部流程的是内控，盯尚未发生的不确定性的是风险管理。同样的一个人可能身兼两职，但职责描述里最好把这三条分开写清楚。

合规

盯外部规矩有没有被遵守：法律法规、监管要求、行业规范、平台规则，交付物多是制度、台账、报备与整改记录。

内控

盯自己定的流程有没有被照着走、有没有漏洞：岗位分离、授权审批、留痕与复核，交付物是流程文档、控制点清单和测试结论。

风险管理

盯未来可能出什么事、概率多大、要不要兜：识别、评估、分级、应对方案，交付物是风险清单、评级和处置预案。

共同点

三者本质都是防损失，区别在于合规对的是外部标准，内控对的是内部流程，风险管理对的是还没发生的敞口。

这里有个常见误区：把「合规」理解成「不出事就行」。实际上合规的交付物是可被外部检查的痕迹——制度有没有、报备有没有、整改有没有闭环。内控的交付物是可被内部复核的流程——控制点有没有、谁执行、怎么留痕。风险管理的交付物是可被决策层用的判断——可能性、影响面、处置优先级。三样东西长得完全不一样，用一套模板去做必然打架。

• 看外部检查、监管问询、平台规则变动，先找合规；
• 看审批被绕过、同一人既申请又复核、流程走过场，先找内控；
• 看新业务、新市场、新系统带来的未知敞口，先找风险管理；
• 三类都不明显时，从「触发源」倒推责任人，比从岗位名称硬套更靠谱。

边界怎么划：什么情况归谁，什么情况必须联手

划边界最容易吵起来的，是那些同时涉及外部要求、内部流程和未知敞口的事。与其每次开会争论，不如先定几条归类规则：先判断触发源是什么，再定主责和协同，避免同一件事在三个人的台账里各算一遍。

1. 第一步：定触发源问一句「这件事是被谁挑起来的」。外部法规或监管检查挑起的，主责在合规；流程执行走样、审批被绕过挑起的，主责在内控；新业务、新市场、新系统挑起的未知敞口，主责在风险管理。
2. 第二步：标协同岗位主责只有一个，协同可以多个。写进台账的字段里要明确谁是主责、谁是协同，避免出现「共同负责」这种等于没人负责的写法。
3. 第三步：约定升级路径主责和协同谈不拢时，往谁那里升级、多久内必须给结论，提前写进制度。临时再找人拍板，往往拖到问题发酵。

有两类场景必须三方联手，单独任何一个岗位都盖不住。一类是新业务上线、重大合同签署，风险管理牵头评估敞口，合规给外部口径，内控把要求落成控制点；另一类是系统或数据权限变更，看着像技术问题，其实同时牵动外部合规要求、内部审批流程和未知的数据泄露敞口。

还有个高频打架点：制度写了但没人执行。合规容易认为已经把外部要求告知到位，责任在执行方；内控则会先看控制点本身是否可执行——比如要求双人复核，但团队根本没第二个人，这条控制点就是空的。谁对谁错，看的是控制点有没有可执行条件，不看谁的态度更积极。

日常怎么配合：把协作固定成节奏而不是临时喊人

三个岗位的配合最怕「出事了才想起来拉群」。可靠的做法是把协作变成固定节奏和固定字段，谁在什么时候交什么，提前定好，减少每次重新扯皮的成本。

• 建一张三方共用的风险台账，字段统一：风险描述、来源、主责岗位、协同岗位、当前状态、下次复核时间；
• 固定三个会议触点：季度风险复盘、新项目上线前的联合评估、外部检查或处罚后的整改复盘；
• 每次会议只输出结论和责任人，不做长篇汇报，避免开会变成念稿；
• 交接动作要留痕：合规把外部要求转成可执行条款，内控把条款拆成控制点，风险管理给每个控制点标出失效后的影响等级。

共用台账最关键的一条是「同一件事只有一个归类」。同一件事不能在合规台账里算合规问题、在内控台账里又算内控缺陷，否则统计数据永远是三套。先定归类规则再录数据，规则本身可以简单，但必须三方都认。

如果你想对照行业里常见的岗位描述和职责写法，可以到 /guides 里翻一翻同类团队的整理，再到 /tools 看看有没有能帮你把台账和复核节奏跑起来的现成工具。这些页面上的内容会不定期更新，具体数字和清单以当时页面为准。

照着搭之前，先用这份清单自查

定岗定责不是写完说明书就结束，过一段时间要回头验证有没有真的跑起来。下面这份清单不用一次全做完，挑你现在最缺的两三条先补，比全面铺开更有效。

• 岗位说明书里有没有写清三者的主责范围、协同关系和争议升级路径，而不是只写「负责合规相关工作」；
• 有没有一张能同时被三方读取的风险台账，且每条都有唯一主责人；
• 新业务、新系统、新合同三类场景有没有固定的联合评估入口；
• 出问题后的复盘是否区分「外部要求没跟上」「内部流程没走」「未知敞口没兜住」三种归因，而不是笼统写成「管理不到位」；
• 规模小、人力紧的团队，是否至少做到关键控制点不落在同一个人身上。

自查时最容易忽略的是第四条的归因分类。三种归因对应三种不同的改进动作：外部要求没跟上，要加强合规的信息跟进；内部流程没走，要修控制点或补培训；未知敞口没兜住，要补风险评估和预案。如果统统写成「管理不到位」，下次还会以同样的方式再出一次。