合规风险评估包括以下活动

很多人被问「合规风险评估包括哪些活动」时，只能答出「识别、分析、评价」三个词，落到执行就卡壳：先做哪一步、每步产出什么文件、谁签字。这篇按执行顺序把活动拆成一件件能派活的动作，附对照表和排查顺序。适用范围是常规企业内评，涉及监管强制申报或数据出境的，走法不一样，文中会标出不适用的情况。

被问到「合规风险评估包括哪些活动」，很多人能背出识别、分析、评价三个词，真到派活时就卡住：先做哪一步、每步交出什么文件、谁签字、做完了怎么算完。这篇按执行顺序拆成五段活动，每段都写清产出物和容易漏的地方。

适用范围是常规企业内部自评，不涉及监管强制报送、跨境数据这类专项通道。如果你的场景属于后者，走法完全不同，文中会标出不适用的情况。术语口径不统一时，先到 /safety 分区对齐再动手，否则各业务线各说各话，评估表没法合并。

活动一：定范围、定口径、定责任

这一步不出报告，但决定后面所有工作有没有意义。范围没画清，后面每张表都会因为「这块算不算」来回返工。落地上就是三件事：范围、口径、责任，各自写成一页纸，开会确认后不再口头改。

• 画范围：业务线、区域、数据处理环节、第三方依赖四类各列一遍，边界写进文档；边界模糊的地方单独标注，别默认「应该不算」
• 定口径：用哪套判定标准、风险等级怎么分档、可接受线划在哪。判定表最好控制在一页，条目太多没人会照着打分
• 定责任：谁出数据、谁评估、谁复核、谁签字。小团队可以一人多岗，但复核岗不能和评估岗是同一个人
• 确认方式：三份东西发出去收书面反馈，口头同意不算数，后面扯皮时没有依据

活动二：风险识别与信息收集

识别的核心不是发问卷，是交叉验证。问卷只能拿到大家认为自己该做的事，拿不到实际怎么做的。要铺至少四路信息源，互相印证。

识别结果统一按「义务—行为—证据」三列登记：每条义务对应你们实际怎么做的、有没有留痕。中间那列对不上是流程问题，最后一列空着就是高风险，不用等分析阶段再判断。

结果落在同一张清单上，别散在多个文档。字段设计可以参考 /tools 里合规模板类工具的表头，避免自己从零造。不适用情形：业务刚起步、流程没定型时，识别结果只能当草稿，流程稳定后必须重跑一轮，不能直接沿用。

活动三：风险分析与分级

分析和识别最大的区别是要给出可追溯的打分依据。做法是把「发生可能性」和「影响程度」拆成两个维度分别打，再合成等级。合成规则写清楚，别人复核时能顺着规则倒推回去。

• 影响算三层：直接损失、整改与停工成本、声誉与资质影响。只算第一层，等级通常被压得偏低
• 现有控制措施要逐条判断是设计有效还是执行有效；写在制度里但没人执行的，等同于没有控制
• 分级结论必须能回答一句话：这条风险现在超没超可接受线。答不上来的重新打
• 高分项留原始打分记录，不要只留结果，否则下一轮无法对比变化

具体分档数字和判定阈值不要凭印象记，到 /rankings 里对应类目的说明核对当前口径，不同行业差异不小，套错口径整张表都要重做。

活动四：制定措施、责任到人、签字归档

措施最容易写成「加强管理」这种没法验收的话。每条措施至少写清五要素，缺任何一个都会烂尾：动作、责任人、完成时间、验收标准、需要的资源。

1. 拆措施能立即闭环的当天派下去；需要预算或改系统的单独列一条，挂到年度计划里，标注决策人
2. 定台账所有措施进同一张台账，字段包含状态、负责人、截止时间、验收记录，每周更新一次状态
3. 归档留证至少留四样：评估记录、清单与分级、措施台账、签字页。留证格式对齐 /safety 里审计留证的写法，避免审计时格式不认
4. 写复核节奏常规一年一轮；出现新业务、新监管要求、重大事件时触发临时重评，触发条件写进文件，不靠人记

活动五：怎么算这轮做完了

评估做完和评估好看是两件事。给自己三条自查：清单是否覆盖全部业务线、每条高风险是否有明确认领人、措施台账是否每条都有验收记录。三条有一条不满足，就是没做完。

对外输出一份给管理层看的一页纸：风险总量、超线项、需要决策的事项。完整台账作为附件，别直接甩上去。结论同步给内控、法务、审计的口径负责人，避免同一件事三套说法。不适用情形：涉及监管报送或跨境数据的，按专项路径单独走，不能套用本轮结论。