合规风险评估报告包括哪些内容

写合规风险评估报告最容易卡在两处：一是不知道要覆盖哪些模块，写到一半发现缺东西；二是各模块颗粒度不统一，有的空有标题没有结论，有的把制度原文抄了一遍。这篇只讲报告本身该长什么样——按什么顺序排模块、每个模块回答什么问题、证据怎么挂、什么情况下这套结构要改。

写合规风险评估报告最容易卡在两处：一是不知道要覆盖哪些模块，写到一半发现缺东西；二是各模块颗粒度不统一，有的空有标题没有结论，有的把制度原文抄了一遍。这篇只讲报告本身该长什么样——按什么顺序排模块、每个模块回答什么问题、证据怎么挂、什么情况下这套结构要改。

下面这份清单适合两类人用：一类是被临时拉来牵头写报告的合规人员，另一类是负责给报告复核、签署的人。前者关心的是别漏块，后者关心的是每块有没有写到能签字的程度。你可以把它当作写作前的目录骨架，也可以当作写完后的自查表，逐块打勾。

先想清楚这份报告给谁看，再决定写什么

报告至少要服务三类读者：内部决策层要知道风险等级和该批的资源；业务部门要知道自己那一段要改什么；外部检查或审计方要看你的评估过程是否可复现。三类读者关心的东西不一样，篇幅分配也就不一样。写作前最好先明确主要读者是谁，其余两类用一段导读和一张摘要表照顾到即可。

内部自用和对外报送不是同一份文件。对外报送的版本通常要收敛判断口吻、去掉内部博弈内容、把依据写足；内部版可以保留争议点和待定项。两者可以在同一套内容上做裁剪，但结论口径必须一致，否则同一件事在不同场合有两个说法，反而是新的风险。

决策层版重点

总体结论、高等级风险条目、需要审批的资源与整改优先级

业务部门版重点

与自己业务线相关的风险、差距描述、整改动作与完成时间点

外部检查版重点

评估范围、基准、方法、取样逻辑、证据可追溯性与签署角色

什么情况下这份结构要改：如果评估对象只是单个系统上线前的检查，模块可以压缩到四到五块；如果是全公司范围的年度合规风险评估，模块只多不少。写之前先定一句话结论口径，即本次评估覆盖什么范围、用了什么方法、得出什么总体判断、有哪些待办，这句话是全篇的锚，后面每个模块都在补它的证据。

评估范围与基准：报告里最容易被跳过、也最容易被追问的一段

范围要写到能画出边界：哪些主体、哪些业务线、哪些系统、哪个时间区间。含糊写成「公司整体」在检查时几乎必然被要求返工。一个实用的判断标准是，让没参与评估的同事只看范围段，能不能说清楚这次评估碰了什么、没碰什么。

基准要列清对照了什么：制度、流程规范、合同义务、监管口径各是哪一份、什么状态（现行、征求意见、已废止）。不要只写「依据相关法律法规」这种空转表述。每份基准最好给一个内部编号，后面风险条目直接引用编号，复核时不用来回翻原文。

• 不适用声明写在这里：本次评估未覆盖的分支、未取得材料的部门、因故延期的事项，一次性交代清楚
• 口径变化要和上一版对齐：如果上版评估用了不同的范围或基准，写明变化点和变化原因
• 基准的时效要标注：引用时点的口径状态，避免用已废止条款做判断依据
• 跨部门边界的接口要说清：由谁提供材料、由谁确认，避免范围段写完仍无人认领

评估方法与取样：决定结论可不可信的一段

写清用什么方法拿到的信息：访谈、文档审查、流程穿行、系统配置抽查、数据抽样。方法不同，结论强度不同，混在一起写会让人误判可信度。常见做法是每种方法单独成条目，写清覆盖对象和产出物是什么，而不是只列方法名。

抽样要交代替换逻辑：抽了多少、怎么抽的、覆盖了哪些高风险点位、有没有抽到但拿不到材料的情况。抽样的代表性是这份报告最常被质疑的地方。如果抽样集中在容易拿材料的部分，而高风险点位全在没拿到的清单里，这段要主动说明，否则复核时会被直接指出。

判断依据要能落地：每一条风险判定指向具体的证据编号，而不是指向某次口头交流。方法上的局限要主动写出来，比如只做了文档层面核对、没做技术验证。主动写出来是加分项，被查出来是扣分项。另外，方法段里出现的工具与抽样脚本，如果涉及数据处理，具体做法可以到 /tools/speed-test 一类的站内工具页看当时可用的方式，再决定要不要自建流程。

风险清单与分级：报告的正文主体

清单按统一字段排：风险描述、触发条件、可能后果、涉及的业务与系统、现有控制措施、剩余风险等级、责任方。字段不统一，后面没法横向比，也没法统计。建议在正文前先放一页字段说明，让读者知道每一栏的填写标准，而不是靠上下文猜。

分级标准要在报告里写死，不能只在脑子里。通常按发生可能性和影响程度两维打分，什么分数落什么档、谁有权调档，都写明。分级表本身不涉及具体分值的外部对比，具体档位口径可以到 /rankings 的站内资料页核对当时通行的定义，再落到自己报告里。

• 每条风险写清依据来自哪一条合规要求或哪一份制度，不出现只有现象没有出处的条目
• 现有控制措施一栏要区分「制度已写」和「实际在跑」，两者不同时标注差异
• 责任方写岗位或团队，不写个人姓名，便于后续交接口径稳定
• 对早期项目或探索性业务，控制措施栏可以写「待建」，但要同时给出建设时间点

不适用的情况：对早期项目或探索性业务，控制措施栏可以写「待建」，但如果没有时间点，这一栏会变成免责声明。另一种不适用是评估对象处于停摆或已下线状态，此时应单列一栏说明状态，而不是硬套正常业务的字段。

差距、成因与影响面：从「有问题」写到「为什么会有」

差距描述对齐到具体条款或控制点，写清现状与要求的偏差在哪一步，而不是笼统写「执行不到位」。一个可操作的标准是：把差距句改写成「在哪个环节、哪一步动作上，与哪份基准的哪个要求相比，少了什么」，改不出来就说明描述还不够具体。

成因分类比描述更有用：制度缺失、制度有但流程没接上、流程有但人没执行、工具能力不够。四类成因对应的整改手段完全不同。分类之后你会发现，整改计划段的条目数量和成因分类数量应该大致对应得上，对不上就说明有成因没被识别或有问题没被归因。

制度缺失

没有对应条款或控制要求，整改要动制度，周期通常较长

流程没接上

制度有但操作流程里没有对应动作，整改落在流程设计

人未执行

流程有动作但执行不稳定，整改落在培训、检查与考核

工具能力不够

人做到了但工具无法支撑或无法留痕，整改落在系统与配置

影响面要写横向和纵向：纵向是这条风险往下会影响哪些业务，横向是同类问题在别的部门是否也存在。这一栏决定整改是一处修还是整片修。同时要避免把成因写成个人责任认定，报告要解决的是机制问题，追责是另一套流程的事；混在一起写会让业务部门在下一轮评估里不愿意提供真实材料。

现有控制与整改计划：证明你不是只列问题

现有控制要写实际在跑的控制，不是制度里写的控制。两者不一致时，把差异单独标注出来，这是价值最高的发现之一。写的时候用动作句，比如「每月由谁用什么方式核对什么输出」，而不是「已建立相关机制」这种没有验证点的表述。

1. 定责任方每条整改明确到岗位或团队，并确认对方已知悉；验证方式是看有没有对应的确认记录或回执
2. 定动作写清做什么、改哪份文件或哪个流程；验证方式是动作产出物能不能被第三方复现
3. 定完成时间点给绝对时点和阶段性节点；验证方式是节点到达时是否有可检查的中间产物
4. 定验收方式写清由谁、按什么标准判定完成；验证方式是验收标准本身是否可观测，而不是主观评价

优先级排序要有理由：按风险等级排、按外部期限排、还是按依赖关系排，写清用了哪种，方便别人复核是否排得合理。区分短期缓解和长期修复，短期动作可以先压住敞口，长期修复才动机制，两者不要混成一句话。对早期项目或资源紧张的小团队，可以把整改计划做成两列，一列是本月能做的缓解动作，一列是需要排期的机制修复。

总体结论、剩余风险与签署

总体结论要直接回答开头那个锚：在本次范围和基准下，整体合规状况是什么判断，剩余风险集中在哪几块。结论段不要引入前面没出现过的新事实，出现即说明前面漏了模块，应回去补而不是在结论里找补。

剩余风险单列一段：已经做了控制但依然存在的部分，写清能接受的理由和后续观察方式。不写这段，结论会显得像打包票。判断能接受的理由要落在业务实际和资源约束上，而不是「影响不大」这种没有依据的表述。

• 签署部分落清编制、复核、批准三个角色和各自对什么内容负责
• 每个角色签的是自己看过的部分，不签整篇，责任边界才清楚
• 版本与修订记录放最后：改了什么、为什么改、影响不影响此前结论，逐条留痕
• 对存在争议的条目，在内部版保留分歧说明，对外版收敛为已确认口径

什么情况下签署段要改：如果本次评估由外部方主导，签署角色要区分外部编制和内部确认；如果报告只是阶段性输出，签署栏应标注为过程稿，避免被当作最终结论引用。

证据附件与归档：让报告经得起复看

每条风险对应一个证据编号，附件按编号排。证据可以是访谈记录、截图、配置导出、抽样明细，但都要能定位到时间点和来源。编号规则在报告开头就声明，不要到附录里再临时补规则，否则复核时对不上号。

归档要和报告同寿命管理。下次评估要在上一版基础上做，找不到上一版证据就只能重做一遍。归档目录建议按「版本—模块—证据编号」三层组织，跨版本对比时只换版本目录，模块和证据结构不动。

• 涉及个人信息的证据材料在归档前要脱敏，做法可参考站内脱敏相关页面，不要直接把原始数据堆进附件
• 对外报送版本通常只附结论性材料，明细留在内部归档，两套要能对上
• 证据清单单独成页，列出编号、名称、来源、时间点、存放位置
• 归档责任人写进报告，避免交接后无人认领

什么时候不该把全部证据附在报告后：对外报送版本通常只附结论性材料，明细留在内部归档，两套要能对得上。另一种情况是证据本身包含敏感配置，此时应在清单里注明存放位置而非原件附后，并在报告里说明可查验路径。

常见问题

下面两个问题出现的频率最高，先给判断标准，再给动作，避免在写作过程中反复纠结。

报告要写多长才够

长度不是标准，覆盖度和颗粒度一致才是标准。一个可操作的判断是：每个模块内是否至少有一条可被第三方复现的结论，如果某个模块全是背景描述而没有判断，就说明它写短了；反过来，如果某个模块把制度原文整段照抄，说明它写长了，应压缩成引用编号加差异说明。

拿不到材料的部分怎么处理

不要留空，也不要用推测填。写成「本次未取得、原因是什么、影响哪些判断、后续怎么补」四段式，并把它归入不适用声明和剩余风险两处。这样处理的好处是结论仍然可交付，同时把缺口透明化，复核时不会因为一处空白推翻整份报告。

报告写完的自查顺序建议从后往前：先核证据编号能不能对上风险条目，再核整改计划是否覆盖全部成因分类，最后回头看范围段与结论段是否首尾一致。具体条目核对时如果需要引用站内数据，到 /price-watch 看当时的口径再填，不要在正文里写死数字。