被要求做一次合规风险评估，最怕的是不知道从哪开始、做完手里没东西。这篇按实际推进顺序，把合规风险评估拆成几个可交付的环节：先划定范围、再识别义务、然后打分排序、接着出报告与整改清单，最后留证与复盘。每个环节都写清输出物是什么、谁签字、什么时候该判断为不适用。
被要求做一次合规风险评估，最怕的是不知道从哪开始、做完手里什么都没留下。其实它就是一条流水线：先划定范围、再识别义务、然后打分排序、接着出报告与整改清单，最后留证与复盘。每个环节都要有输出物、有签字人，也知道什么时候该判断为不适用。
下面按实际推进顺序拆开讲。你可以把它当成一份自查清单，对着自己手上这次评估逐项打钩；缺哪一环，最后报告就容易被问住。涉及监管口径、义务清单这类会变的内容，先去站内的资料库页面核对当时的表述，不要凭记忆写。
第一步：先定范围和触发条件
范围写不清楚，后面所有结论都站不住。先明确这次评估针对什么：一条业务线、一套系统、一类数据处理活动，还是整个主体。范围越窄，评估越能做深；范围写成「全公司」，最后往往只剩几句空话。
- 触发条件
- 新业务上线、监管口径变化、被投诉或问询、年度例行、并购或换供应商，不同触发条件决定评估做多深。
- 范围说明书
- 写清评估对象、时间区间、涉及部门、排除项及排除理由，排除项要有人签字。
- 不适用情形
- 只是个人学习或内部试验性使用、不对外提供服务，一般不必走完整评估，但仍要留一份简单自查记录。
第二步：把适用义务列成一张对照表
别只写结论不写依据。用一张五列的对照表把义务摊开，谁看都能顺着表往下查。义务来源分三类找：通用法规、行业专项规定、平台或合同约定。第三方平台的规则也算义务，漏掉容易被判定违约。
| 列名 | 填写要求 |
|---|---|
| 主体角色 | 你在这件事里是处理者、控制者还是受托方 |
| 业务行为 | 具体动作，别写抽象概括 |
| 适用条款 | 写到条款层级，方便复核 |
| 落地要求 | 这条义务实际要求你做什么 |
| 现有措施 | 写成可验证动作，如「已做访问权限分级」 |
- 已有措施不能写「已加强管理」，要写能查到的动作
- 明显不落在你角色范围内的义务，写清不适用理由，别直接删行
- 条款会变，起草前先去站内资料库核对当时的版本口径
- 表里留一列空白给复核意见，方便第二轮补
常见问题
合规风险评估是不是走完流程就算完成？
不是。评估的产出是风险清单加整改动作，判断标准是每条风险有没有责任人和完成时间。只出报告不跟整改，下次复核时同样的问题还会被重新提出来。真正做完的标志是高风险项闭环、低风险项有明确的跟踪安排。
小团队没有专职合规，评估能简化到什么程度？
可以合并步骤但不能省：范围一句话写清、义务列一张表、风险分高中低三档、每条写责任人和时间。把文档控制在一页到两页，重点是留痕。如果业务只在国内、只处理自有数据，义务来源可以只查通用法规和平台合同。
评估里的打分结果能不能直接当结论对外说？
不建议。打分是内部分析工具，刻度是自己定的，对外引用容易被误读成监管认定。对外沟通时用「已识别并在整改」这类描述，具体分数留在内部底稿里。需要披露时先让法务看一遍措辞。
