合规义务包括哪些

很多合规岗第一次被要求交一份「公司要遵守哪些义务」的清单时，会直接去抄法规目录，结果几十页条文堆在一起，业务看不懂、执行落不了地。这篇不列具体法条，只给分类框架和搭建顺序：按来源分层、按对象分块、按触发条件挂时间点，最后落到一张能逐项打勾的表上。

先按来源分层，别把义务混成一锅粥

很多人一上来就把「合规义务」当成一张清单，从法规里扒条文，结果越扒越乱。更实用的做法是先分层：把义务按来源分成几层，每层单独记，最后再合并去重。分层的意义在于——你能一眼看出哪条是硬性的、哪条只是内部要求，也能看出自己到底该看哪几层。

分层之后要做一件关键动作：给每条义务标注「谁提的」和「罚则是什么」。有明确行政处罚、民事赔偿或合同违约责任的，才是硬义务；只在文件里写了「应当」但没有任何责任条款的，更接近管理要求，可以晚一步做，但不能当作没有。这个标注决定了后续排期和资源投放的优先级——把资源压在没罚则的条目上，是最常见的浪费。

1. 建一张四层台账表格四列：义务描述、来源层级、提出方、罚则。先把能想到的全部填进去，不判断对错。
2. 逐条问两个问题「这条是谁要求的？」「不做会怎样？」答不出提出方的，大概率是被误传的要求；答不出后果的，标为管理要求。
3. 判断适用范围按行业、经营地域、业务模式（是否有用户数据、是否跨境、是否有实体产品）逐层筛，不适用的层级明确写「不适用」并注明理由。
4. 合并同一件事的多层要求同一件事在法规和合同里都有时，按更严的那条执行，把另一条作为来源备注，避免重复列两条。

适用范围这件事没有通用答案。一家只在本地做线下服务的五人小团队，可能第二层和跨境相关的部分基本不适用；而同一行业的公司一旦开了海外站点、或接了境外客户的合同，第三层和属地要求立刻变重。所以梳理完四层后，建议每年至少复核一次，业务模式变了，适用层级也会变。要对照各家模型与工具时，可到 核对；涉及 API 与模型资料的口径，去 看当时的说明。想了解本站对中转服务的检测方式，可参考 的检测维度。

再按管理对象分块，让每个部门认领自己的那一段

把合规义务按部门切块，比按法规条文堆在一起好用得多。条文是给外部看的，分块是给自己人干活的。切块的核心不是分类学，而是让每个部门一眼看到：这条归我，我要做什么，做完留什么，出问题谁签字。三件事缺一件，这块就不算落地。

这张表最容易被忽视的是后两列。很多团队只把「要做什么」列全，检查时被问证据在哪、谁批的，就只能现场翻聊天记录。签字不是形式，它让责任在组织里可追溯，也让人在做事前多停一秒。如果某块暂时没有专职负责人，也要指定一个代签人，并把代签规则写下来。

• 先列动作：把这块所有事情写成动词开头的短句，不要写「遵守相关法规」这类没法执行的话
• 再倒推证据：每个动作问一句「做完会自然留下什么」，留不下的就补一个记录动作
• 最后定签字：签的是这块的最终责任人，不是每张单子都要他亲自填

1. 归属有争议时看原始记录来源拿不准一条义务归哪个部门，先别问谁被检查，先问这条最源头的记录由谁产生。考勤表是人力排的，就归人力；用工成本分摊是财务算的，就归财务。按记录来源分，比按被查压力分更稳定，也不容易互相推。
2. 跨部门条目做双签有的条目天然横跨两块，比如薪酬既在用工也在财务。处理方式是主责部门签字加会签部门签字，会签只对各自专业口径负责，不替主责背锅。
3. 每季度做一次归属复核人员、业务线一变，原来的归属可能就错了。固定周期过一遍分块表，只改动的行，不改动的行留痕，避免整表重写带来的执行断层。
4. 把分块表落到岗位而不是部门部门是一个筐，筐里的人会换。落岗时写清岗位名和当前在岗人，人员变动时只需替换名字，不用重谈整块义务。

分块表做完只是起点，真正起作用的是它和具体数字、具体版本的对齐。各块涉及的价格口径、产品资料、检测要求会变，写完表后去站内核对当时的资料更稳妥，路径见下方。义务清单和分块表建议放在同一份文件里，改一处就同步改另一处，别让两套内容互相打架。

把义务挂上触发条件，静态清单才能变成日程

很多人整理合规义务，第一步就是把法规里提到的动作抄成一张清单：要做什么、谁负责。清单本身没错，但它只能证明你想过这件事，证明不了你真的在做。问题在于清单是静态的，而义务是有时间属性的——有的每天都要动，有的只在特定事情发生时才被激活。把这两类混在一张表里，结果就是日常的没人盯、事件型的没人记得。

持续型义务

按固定节奏反复发生的动作，比如台账更新、定期申报、周期性自查，忘一天就是一天的问题。

事件型义务

平时不存在，某个业务动作或某个意外发生时才被触发，比如新签合同、上新业务、被投诉、出事故。

触发点

让义务从纸面变成待办的那个具体事件或时间节点，写不清楚义务就等于没有主人。

真正有用的做法是给每条义务挂上三样东西：频率或触发点、留存年限、复核人。频率决定它什么时候出现在日程里，留存年限决定相关材料要放多久，复核人决定谁在到期时被追责。这三样缺一个，义务就会退化成一句口号。挂完之后，你的表格自然就有了时间维度，而不是一份一次性汇总文档。

这张表只给结构，具体频率、年限、负责岗位各行业差别很大，别照抄别人的数字，到站内指引页面按自己所属行业和规模去核对。 里有按行业分类的整理口径，先看清自己落在哪一类，再填表。要提醒的是，事件型义务最容易漏，因为它不像日常台账那样天天出现，没人提醒就真没人想起。什么情况下这套结构不适用？纯个人事务、没有对外业务动作的小团队，硬套会显得笨重，可以只保留台账和事故两条。

1. 立项口任何新项目在正式立项评审时，加一栏「这件事会不会引出新的合规义务」，填不出内容就别往下走，评审记录留档。
2. 采购口采购申请提交前问一句供应商是否涉及数据处理或资质要求，涉及就转合规审核口过一遍，不涉及也在申请单上勾选说明。
3. 招聘口新增岗位或外包用工时确认是否涉及特殊资质或背景要求，把结论写进用工审批，别等入职后再补。
4. 上线口功能或业务正式上线前做一次检查，确认前面三个口子里提到的义务有没有落到具体的人和日期上，没落地的写进待办并指定复核人。

落到一张能打勾的表：字段怎么定

别一上来就追求大而全的模板，先定几个能长期填得下去的字段。判断标准很简单：这个字段是不是每次复核都要看？是不是能直接对应到某个岗位和某份材料？如果答案是否，就先别放进主表。

• 每行开头放内部编号，摘要后面跟原始文件编号，正文一个字都不抄进表里
• 一行只写一条义务，宁可多几行也别把几条揉在一起
• 状态列只留几个固定取值，比如待办、进行中、已闭环、已失效，别自由发挥
• 表里涉及对外承诺的行，单独加一列标记，改动前先走一遍合同比对
• 表头一旦定下来就别频繁改，字段变了老数据就对不上了

1. 先跑一遍存量义务把现有的合同、许可、内部制度翻一遍，能对上字段的就填，对不上的先挂空，别为了填满编内容
2. 给每行定责任岗位逐个确认谁日常执行、谁负责留痕，两边不是同一个人的，都写进表里
3. 按季度过状态列固定时间点拉一次表，逐行问三件事：还生效吗、责任岗位变了吗、证据还在吗
4. 变更留痕新增、失效、换责任岗位，都写一句变更原因和生效时间，不要直接覆盖旧内容

复核频率别照搬别人的做法，看义务本身的触发方式：周期性的跟着周期走，事件驱动的一旦触发就更新，纯一次性的只在变更时动。涉及对外承诺的行，改动前先确认不与你已签的合同冲突，拿不准就先去站内的条款核对页面比对原文，再决定是改表还是改承诺。

几个常见误判，以及什么情况下这套框架不适用

最常见的误判，是把「法律风险」和「合规义务」当成同一件事来列。法律风险是可能发生的坏结果，比如被罚、被起诉、被下架；合规义务是你主动要做到的动作，比如备案、留档、签协议、定期自查。两者混在一张清单里，就会出现「怕被罚」这种没有对应动作的条目，清单越写越长，最后没人认领。

第二个误判是照着去年检查过的项目抄一遍就当完整清单。检查项目反映的是当时被抽查到的那部分，不是义务全集。业务一旦新增，比如上线了新的收款方式、开始做海外用户、接了第三方数据接口，义务范围就变了。建议在新业务上线前单独补一轮义务识别，先问三个问题：涉及哪些主体、动到哪些数据、对谁负有什么责任。

1. 先把结果和动作分栏左栏写担心发生的事，右栏写为避免它必须持续做的事。右栏为空的行，要么补动作，要么删掉。
2. 用新业务做一次对照把最近新增的业务或渠道单独拎出来，逐条比对现有义务清单，看有没有没人负责的空白项。
3. 给每条义务指定人和周期没有负责人和复查频率的义务等于没写，识别完立刻补上这两列。
4. 先小范围跑一轮再全量铺开挑一条义务试跑一个周期，确认可执行再复制到其他条目，避免一次性重写整份清单。

那这套按层级拆分义务的框架，什么时候不适用？它更适合有一定规模、业务流程相对固定、且需要向外部证明自己管得住的企业。判断标准不是人数本身，而是「有没有稳定的流程和明确的岗位分工」。如果业务模式经常变、每次变更都重新分类一遍，分类本身的维护成本会超过它带来的收益。

• 几个人的小团队、业务单一：不必硬套多层分类，按用工、财务、数据三块起步更实用
• 每个板块只写必须做到的动作和负责人，够覆盖日常就停
• 业务快速切换、流程每月都改：先维护一份最小义务清单，等流程稳定再细化
• 有外部审计或大客户合规要求：分类层级可以保留，因为对方要看你的结构
• 拿不准某条要不要列：先问「不做会不会有人来问」，会就列，不会就暂时不列

需要提醒的是，以上都是判断思路，不是免罚理由。规模小不代表某些法定义务可以不做，只是清单的精细度可以降低。哪些义务属于必须履行的硬性要求，以及对当前监管口径的判断，建议到 核对站内整理的最新资料，再决定自己这版清单要列到多细。