合规风险评估包括哪些步骤

合规专员最常卡住的地方不是不懂规定，而是评估做完没人认——范围没界定清楚、证据没收齐、报告写完落不了地。这篇按实际操作顺序把合规风险评估拆成几个环节，每一步说清输入、动作和产出物，你可以直接拿去套自己公司的场景；文末还有几个常见追问。

合规专员最常卡住的地方不是不懂规定，而是评估做完没人认——范围没界定清楚、证据没收齐、报告写完落不了地，业务部门一句「这不归我管」就把你顶回来。所以问题不在流程本身，在于每一步的输入、动作、产出物没提前说死。

这篇按实际操作顺序把合规风险评估拆成几个环节，每一步说清谁做、做出来什么、什么时候算做完，你可以直接拿去套自己公司的场景。文末还留了几个常见的追问方向，方便你对着自查。

第一步：定范围和基线，别一上来就列风险

很多人一接到评估任务就开始罗列风险点，列到一半发现范围都没定，结果全部返工。动手之前先把范围钉死，后面所有结论才有立足点，不然每次评审都会被追问「你凭什么这么定」。

• 先圈三件事：评估对象（哪条业务线、哪套系统、哪类数据处理活动）、适用的规则集合、评估触发原因（新业务上线、监管问询、年度例行）。
• 基线材料至少要凑齐：业务流程图、涉及的数据类型与流转路径、现有制度文件、上一轮评估遗留问题。
• 缺哪份材料就先把缺口记成待办，明确谁去补、什么时候补，不要凭印象替业务方填。
• 把「谁出结论、谁签字」在这一步定下来。合规评估的产出不是一个人的判断，而是经过确认的记录。

基线材料的口径怎么统一，到 检测口径与数据来源（/about） 可以对照本站写评估类内容时用的说明，至少保证你内部的说法前后一致。

第二步：把外部要求翻译成自家动作

这一步行话叫「义务识别」，实际就是把外面的一堆要求，翻译成自家能执行的条目。分三层收集比较稳：法律与部门规章、行业规范与标准、合同与平台条款。前两层是硬约束，第三层最容易被忽略，但往往是最先出问题的部分。

逐条写成「要求—我方现状—差距—责任部门」四列表。写不出责任部门的条目，说明还没真正落到业务上，可以直接标成待定并往上提，不要自己硬派。

整理清单时可以拿 安全与合规（/safety） 分区里的同类文章交叉比对，尤其是风险识别清单的写法，避免只盯住某一层。

第三步：评可能性和影响，排出处理顺序

对每条差距给两个判断：发生可能性、一旦发生的影响面（钱、牌照、客户、声誉）。不用追求精密打分，能分出高、中、低并把理由写清就够用，表格里的分数再精确，评审会上也还是靠理由说话。

• 先处理会被监管直接问到的，这类通常排期最紧、兜底空间最小。
• 再处理会在合同上吃亏的，比如对客户的承诺兑现不了。
• 最后处理内部体验问题，这类可以排进常规迭代，不必挤占合规窗口期。
• 每条排序都要落纸写理由，否则每次评审都会被重新吵一遍。

不适用的情况：纯内部探索性项目、还没有任何真实数据流入的，可以只做简版识别，不必套完整评估流程。但要写明这是有意简化、经过谁确认，不是漏做。

第四步：定处置动作、责任人和时限

风险排完序，必须落到具体动作上，否则前面的清单只是一份好看的文件。每条风险至少给一个处置方式：消除、降低、转移、接受。写「接受」必须写清谁批的、依据是什么，否则等于没处理。

1. 配动作一条风险配一个主责动作，避免出现「多部门协同」这种谁都不认的写法。
2. 定三样负责人、完成时间、验证方式，缺一样这条整改大概率在下次评估里原样出现。
3. 拆排期把整改项拆进业务现有的迭代排期，而不是另开一张合规待办表；两张表并存的结果就是合规表永远没人看。
4. 留回执动作完成后收一句负责人书面确认，哪怕是聊天记录截图也行，别只靠口头。

第五步：出报告、留证据、约下次

报告结构建议按这个顺序：范围与依据、识别过程、风险清单与排序、处置方案、遗留问题与需上层决策事项。前面几步的中间产物作为附件，不要只交结论，否则没人能复原你的判断过程。

留证的重点是能还原判断过程：谁看了什么材料、在哪次会上确认的、结论怎么改的。时间线和留证的具体做法，可以到 出事后的举证与维权（/guides/dispute-evidence-keep） 那篇按需对照，重点看证据链怎么串。

另外，报告里的处置进度、行业里的公开讨论热度，别靠记忆判断，需要数字支撑的时候到 榜单与趋势（/rankings） 或 价格追踪（/price-watch） 核对当时的数字，写进报告比拍脑袋稳。

评估的价值不在报告厚度，而在每条风险都能找到负责人、动作和验证方式。