合规管理风险清单

合规岗最常卡在两件事：一是手上那份风险清单怎么列才不空、不被业务一句「没这回事」顶回来；二是真出了事，拿不出东西证明自己尽过责。这篇给一份可套用的清单结构、留证口径和讨论稿框架，顺带说清什么情况下这套不适用。

合规和内控岗最常卡在两件事上。第一，手上那份风险清单怎么列才不空，才不会被业务一句「没这回事」顶回来；第二，真出了事，拿不出东西证明自己尽过责。这两件事其实是同一个问题的两面：清单是提前想清楚，留证是事后说得清。

下面给一份可套用的清单结构、留证口径和讨论稿框架，都是能直接落到表格和文档里的动作。顺带说清什么情况下这套不适用——套用之前先判断自己是不是那类场景。

清单怎么搭：三条轴，别按部门堆

按部门堆清单是最省事也最没用的写法，最后一定变成各部门职责复述。改成按「业务环节 × 风险类型 × 责任岗位」三条轴拉表：横轴走业务环节，纵轴走风险类型，交叉处填责任岗位。每个条目必须能落到一个人和一个动作上，落不到就说明这条还没想清楚。

只有前两列的是风险描述，不是清单。四列齐全、并且缺口那一列填得出来的，才算一条能用的条目。

• 把「已有制度覆盖」和「实际在跑」分成两档：制度里有、但日志和审批记录里查不到执行痕迹的，单独标一档，这类最容易在检查时翻车
• 每条标一个变化状态：新增、仍存在、已关闭。没有状态列的清单，第二次汇报时没人看得出进展
• 责任岗位写岗位不写人名，人员一变动清单就废了
• 不适用情形：5 人以下、业务单一的小团队不必套完整三条轴，按一条主线列就行，硬套只会维护不动

留证口径：什么样的记录检查时才站得住

留证的关键不是留得多，而是留得能被追问三遍还站得住。核心是三样东西：谁在什么时候按哪条规则做了判断、依据什么材料、结果是什么。缺「依据」那一步的记录，事后基本等于没留——因为没法证明当时是基于什么做的决定。

判断记录

谁、何时、按哪条规则，缺这条就等于没有决策过程

依据材料

当时看到的文件、数据或沟通记录，事后补不上

结果与例外

通过了、驳回了、还是例外放行，例外放行要单独留

审批、例外放行、对外承诺这三类动作建议单独建台账。它们的发生频率低，但被追问的概率最高，混在日常记录里很容易找不到。存放位置用系统时间戳加不可改的留痕，本地表格改名、另存版本的做法在核查时说服力很弱。

• 同一件事的对外说法和内部记录要保持一致，两套说法比不说明更麻烦
• 例外放行要写清谁批的、有效期到什么时候、到期后怎么处理
• 台账每期导出一次留档，别只留在系统里，系统迁移和权限调整都可能让记录断档
• 不适用情形：口头拍板的日常小事不必全量留证，只对会对外产生后果的动作做记录，否则记录量会拖垮执行

工作报告怎么写：三页纸的骨架

向上汇报的合规报告，长度不是问题，结构才是。建议压到三页纸：结论页、清单摘要页、未闭环事项页。超过三页的部分一律进附件，正文不复述附件内容。

1. 第一页写结论和请求本期最需要注意的风险、已经做了什么、需要谁在什么时间点做什么决定。这一页要让不看附件的人也能做判断。
2. 第二页放清单摘要只列状态有变化的条目，全量表格放附件。验证方法：把附件拿掉，看这一页还能不能独立说明问题。
3. 第三页写未闭环事项明确哪些是资源不够、哪些是业务不配合，别用「持续推进中」这类说法糊过去。写到能对应到具体人和具体动作。

报告节奏跟着业务节拍走，季度或重大变更后各一次。只在年初写一次的，下半年基本没人看，因为业务已经变了。

• 每期报告保留上一期结论页，方便对比变化，也方便接手的人快速进入
• 引用数据时不给死数字，直接指向站内对应页面让读者自己核对
• 不适用情形：给外部监管或审计的材料不适用这套精简骨架，那类材料要按对方要求的格式和颗粒度来

出问题时的排查与汇报顺序

真出事的时候，最常见的错误是先写报告再定范围，结果报告写完发现范围扩大了，前面写的全部作废。顺序应该反过来。

1. 先定性和范围涉及哪些数据、哪些对外主体、有没有已经扩散。这一步没做完不要写报告，写了也要重写。
2. 再定责任线和时间线谁在什么时候知道、做了什么、为什么这么做。用现有台账和系统日志对，别靠回忆。
3. 然后谈补救和口径统一对外说法和内部记录要一致，补救动作要能追溯到批准人。
4. 最后复盘清单本身这次没被清单覆盖到的，补进去；被覆盖但没执行的，改流程而不是改文字。

这个顺序的价值在于，它把「写报告」放在最后。很多团队出问题时第一反应是准备材料，但材料的内容取决于范围和责任线的结论，顺序错了就是白做。