公司里只要一出事，老板常问一句「这该谁管」，结果合规说是内控的事，内控说是风控的事，转一圈没人认领。问题多半不在人，而在三者的边界本来就没说清。这篇按「谁定标准、谁建流程、谁管敞口」三条线拆开，给一份能对号入座的分工表，再讲三者怎么协作、什么情况下这套分法不适用。
公司里只要一出事，老板常问一句「这该谁管」，结果合规说是内控的事，内控说是风控的事，转一圈没人认领。问题多半不在人，而在三者的边界本来就没说清。这三件事经常被当成一个部门的三块牌子，实际上它们看的是同一家公司、同一批业务，只是切入角度完全不同，混着讲就永远理不清。
这篇按「谁定标准、谁建流程、谁管敞口」三条线拆开，给一份能对号入座的分工表，再讲三者怎么串成一条闭环，最后说说什么情况下这套分法并不适用。目标不是让你回去改组架构，而是让你下次开会时能当场把主责人点出来。
一句话记住：合规管底线，内控管流程，风控管敞口
- 合规的落点
- 对外承诺与强制性规则：法律、监管要求、行业规范、公司自己签下的承诺，管的是「不能碰什么」
- 内控的落点
- 流程是否按设计运转：授权、审批、职责分离、留痕、复核，管的是「事有没有按规矩走」
- 风控的落点
- 不确定性：识别、评估、排序、应对、监控各类风险敞口，管的是「可能出多大问题、值不值得防」
- 三者的关系
- 不是并列部门而是三种视角，同一件事往往三个视角都要过一遍，看清这点就不会再纠结谁归属谁
很多扯皮其实来自把「视角」当成了「地盘」。合规关心一件事合不合法，内控关心这件事有没有按流程办，风控关心这件事万一办砸了代价多大。三句话都成立，也都不冲突，冲突的是没人规定谁的结论说了算。管理者的动作很简单：对每个高频事项，指定一个出结论的视角。
- 一个事项只能有一个主责视角，其他两个给意见，不给否决权（法规硬性要求除外）
- 主责视角负责出结论和留档，不负责执行到底
- 意见必须书面给，口头提醒不算数
- 跨视角的判断分歧，往上抬一级定，不在平级之间反复拉锯
边界对照表：把常见事项按主责方归位
| 常见事项 | 主责方 | 要交付什么 |
|---|---|---|
| 法规解读与落地、牌照资质 | 合规 | 可执行的内部要求清单 |
| 对外报送、员工行为准则 | 合规 | 口径统一的对外材料 |
| 制度与流程设计、审批权限表 | 内控 | 流程图加权限表 |
| 不相容岗位分离、单据留痕 | 内控 | 岗位对照表与留痕规则 |
| 内控自评与缺陷整改跟进 | 内控 | 缺陷台账与关闭记录 |
| 风险清单与分级、风险偏好口径 | 风控 | 分级清单与容忍度说明 |
| 重大事项风险评估、指标预警 | 风控 | 评估结论与预警规则 |
真实工作里，大部分事项是交叉地带。比如第三方尽职调查，合规看对方有没有资质与处罚记录，内控看这家供应商的准入审批有没有走完，风控看它的稳定性会不会拖累业务。交叉地带最怕的不是意见多，而是没人说清「谁出结论、谁签字、谁跟踪」，三边都以为对方在跟，最后谁都没跟。
想找现成的职责模板和工具，可以到 /ai-nav/category/ai-legal 与 /ai-nav/category/ai-enterprise 翻一遍，重点是看别人怎么把一条要求拆成具体动作，而不是照抄名称。站内这些页面的分类结构本身就能当骨架用。
三者怎么协作：一条从规则到闭环的链条
- 合规先翻译把外部规则翻成内部要求，产出「必须做什么、禁止做什么」的清单。判断标准：拿着这份清单，业务同事不用再去读原文就知道该干什么。
- 内控嵌进节点把清单落到流程节点上，明确谁审、谁批、留什么痕。判断标准：每个要求都能对应到流程图上的一个框，找不到框的就是没落地。
- 风控排优先级对每个节点估敞口，判断哪几个出事代价最大，决定检查频次和资源投在哪。判断标准：检查计划里能看出取舍，而不是所有节点一视同仁。
- 共用一套台账三者共用整改跟踪记录，问题从哪来、改到哪一步、谁验收都在同一条记录里。判断标准：随便挑一个已关闭的问题，能顺着记录找出提出方和验收方。
这条链条最容易断在第三步到第四步之间：风控排了优先级，但没有反馈给内控调整检查频次，结果高风险节点还是按老节奏抽查。管理者的检查动作是问一句——最近一次因为风险排序而改变检查计划的节点是哪个，答不上来就说明闭环没接上。
什么情况下这套分法不适用：公司规模很小、业务单一且没有强监管要求时，硬拆三个独立岗位会变成形式主义。可以让一人兼三职，但三份清单仍要分开维护，合并的只能是岗位，不能是记录。
管理者自查清单：五道题看出分工有没有失控
- 同一风险事项，能不能立刻说出唯一的主责人和唯一的验收人
- 出了监管问询或外部检查，第一份材料由谁牵头出，是否已经写进制度
- 内控发现的缺陷，有没有明确谁判定严重程度、谁跟踪到关闭
- 风险清单最后一次更新是跟着业务变化，还是只跟着年度计划
- 跨部门事项有没有「联合结论」的书面记录，还是全靠口头对齐
第五题最容易被忽略。口头对齐在业务顺利时看不出问题，一旦出现争议就变成「当时说好的」对不上「记录里写的」。所有跨部门的联合结论应当放在统一位置、可检索、带时间和参与人。整理方式可以参考 /stacks 与 /ai-nav/category/ai-note 里的组织思路，重点是让半年后的人也能查得到。
如果自查里有两题以上答不上来，不用急着改制度，先把每个高频事项的主责人和验收人写成一张表，跑一个季度再看。同时提醒一句：风险偏好、容忍度这类具体口径各家公司差异很大，不要照搬外部模板，去 /tools/speed-test 逐项核对自己家的实际约定，再决定写进制度的是哪一版。
下一步把上面那张主责表落到你手头最常出问题的三个事项上，先各写一行主责人和验收人，再对照站内的企业工具分类看有没有能直接复用的模板。→常见问题
公司小，真的需要把合规、内控、风险分开吗？
不需要拆成三个部门，但需要拆成三份清单。人可以兼任，判断角度不能合并：一个人同时拍板「这样做合不合规」和「这个流程有没有漏洞」，很容易自我说服。小团队更实际的做法是一人三帽，但每顶帽子的产出单独留痕，外部检查时能拿得出。
合规和风险管理的报告对象不一样吗？
通常不一样，这也是两者容易打架的原因。合规更贴近董事会和监管，报告口径偏「有没有踩线、有没有按要求整改」；风险管理更贴近经营层，报告口径偏「敞口有多大、要不要调整策略」。同一份材料可以共享数据，但结论的表述和汇报对象要分开设计。
怎么判断内控失效还是风险管理没做到位？
看问题的性质。如果是流程该走没走、该留痕没留痕、岗位没分离，那是内控执行层面的失效；如果是流程都按设计跑了，仍然没预判到外部变化带来的损失，那是风险识别与评估的缺口。分清哪种再谈追责，否则容易把管理设计问题当成人的态度问题。
