合规专员最常见的卡点不是不知道要合规，而是拿着一堆法规条文不知道从哪列风险、列出来的清单又和实际业务对不上。这篇给一套可以直接改成自己表格的清单结构：先按来源和场景把风险点扫一遍，再给每条风险配一层控制措施，最后说清哪些证据要留、留多久、什么时候这份清单会失效需要重做。
合规专员的日常卡点，通常不是「不知道要合规」，而是拿着一堆法规条文，不知道该从哪一行开始列风险；好不容易列出来一张表，业务同事看一眼就说「这跟我做的事对不上」。问题出在清单的结构，不是出在态度。
下面这套结构可以直接改成你自己的表格：先按来源和场景把风险点扫一遍，保证不漏大块；再给每条风险配上一层以上的控制措施，写清谁做、多久做一次；最后把留证和复审的规则定下来，说清什么情况下这份清单必须重做，而不是改几个字继续用。
第一步：按四个维度把风险点扫全，别只盯着法规
只照着法规抄，清单一定是残的。法规管的是底线，合同和平台规则管的是你实际要赔钱、要被下架的地方，内部制度自己写歪了同样是风险源。建议用「来源 × 场景」两个轴交叉扫，交叉出来的格子就是风险条目，比顺着法条一条条抄快得多。
| 来源类别 | 典型触发点 | 扫的时候问什么 |
|---|---|---|
| 法律法规与监管要求 | 许可、备案、广告、个人信息处理 | 这条要求对应到我们哪个动作上 |
| 合同与客户约定 | 保密、数据使用范围、服务水平 | 违约了谁赔、赔多少、怎么证明 |
| 行业规范与平台规则 | 内容审核、类目资质、接口调用 | 平台下架或封号的条件是什么 |
| 内部制度自身漏洞 | 审批形同虚设、权限过宽、留证缺失 | 这条制度上一次真正执行是什么时候 |
- 从场景分：数据进出、对外宣传、采购与第三方、人员与权限、内容发布，逐场景问「这一步谁签字、出了事谁兜底」
- 判断标准是「能不能指出一条具体动作」，指不出动作的不是风险点，是口号，写进清单只会让表格变长
- 每条风险尽量挂一个可观察的信号，比如「出现未经审批的导出记录」，别只写「存在数据泄露风险」
- 不适用的情况：业务线还没定型、流程一周一变时，先做粗筛，别急着细化到操作级，细了也维护不动
第二步：一条风险配三层措施，写清谁做、多久做一次
很多清单的风险列写得很全，措施列只有四个字「加强管理」。这种条目在检查时等于没有。做法是把每条风险至少配一层可核对的措施，能配两层更好，但层数不是越多越好，关键在每层都能回答「谁做、多久做、做完留下什么」。
- 制度层
- 写成书面规范并落到具体岗位，要有可核对的动作和责任人，不接受「加强管理」这类表述
- 流程层
- 把控制点嵌进既有的审批或上线流程，能不加额外动作就不加，加在流程外的控制最后都会空转
- 技术层
- 能用系统和默认配置挡住的不要靠人记，要写清生效范围和例外怎么开、谁能开
- 频率与证据
- 每层都标注每次还是每月还是每季，以及留下的是审批记录、截图还是日志
- 先定责任人每条措施写到一个岗位，不写部门；写完问一句「他请假时谁顶」，答不上就补一个备份人
- 再定频率按风险发生的可能性和后果定每次、每月或每季一次，频率写不出来的说明措施还是虚的
- 最后定证据在措施后面直接写上「证据：XX」，比如审批单、导出日志、培训签到，能自动生成的优先
需要提醒的是，三层全铺并不总是对的。几个人的小团队先把制度层和留证做扎实就够用，硬上三层往往没人维护，最后连制度层也一起荒废。规模大、跨部门多的团队才值得把流程层和技术层做细。
第三步：留证与台账，让清单在检查时拿得出手
合规的价值有一半体现在「事后能证明做过」。清单本身要有版本台账，记清楚改了什么、谁批的、什么时候生效，避免新旧两版同时在外流转；每条措施要对应一种能随手调出来的证据形式，别等到有人来问才去找。
| 证据类型 | 适合证明什么 | 常见坑 |
|---|---|---|
| 审批记录 | 某项动作经过授权 | 只留结果不留审批人和时间 |
| 系统日志与截图 | 技术措施确实生效 | 截图没带时间，事后说不清是哪次 |
| 培训签到与考核 | 人员知悉制度 | 只签到不考核，无法证明理解 |
| 会议纪要与批复 | 重大事项的决策过程 | 纪要写得太笼统，看不出结论 |
留存期限不要自己拍脑袋。按监管要求和合同里较长的那个走，具体周期去站内的合规与安全相关页面核对当时的表述，因为口径会调整。涉及个人信息处理和跨境传输的条目，留证要求比一般条目更细，参照站内相关审计与评估页面，别套用通用规则。
什么时候这份清单必须重做，而不是改几个字
清单失效往往不是慢慢过期的，而是在某个节点突然对不上业务。与其每年例行公事地改几个字，不如先定好触发条件，满足条件就整份复审，避免「改了字但没改逻辑」。
- 业务范围变了：新增数据出境、新增对外内容发布、换了第三方供应商，原有条目往往覆盖不到
- 监管口径变了：这类变化去站内的安全与政策解读页面看当期说法，别用记忆里的旧版本
- 出过一次事件或收到过整改通知，说明清单漏项或措施没落地，要做的是复盘而不是补一条了事
- 组织变了：责任人离职、部门合并、审批链改过，措施里的「谁做」就失效了
- 定期复审：按季度或半年过一遍，间隔多久合适要看业务变化速度，站内相关页面有频率参考
判断要不要重做，有个简单的测试：拿新的业务流程走一遍，如果一半以上的风险条目找不到对应动作，就不是修订的问题，是结构该重来了。
这份清单不适合用在哪些地方
把边界说清楚，比把清单写长更有用。它是一份自检和台账工具，不是法律意见书；跨行业直接套用会失真；给出了清单也不等于免责。下面这几种情况要特别小心。
- 它是自检和台账工具，不能替代法律意见，涉及具体监管认定时仍要专业判断
- 跨行业直接套用会失真，金融、医疗、教育类业务有各自的额外要求，要单独加条目
- 不能拿它当免责依据，清单再全，控制没执行一样算没做
- 规模差异：小团队先做制度和留证，大团队再补流程与技术层
- 对外提供时删掉内部责任人和系统信息，避免清单本身变成泄露源
常见问题
清单条目是不是越多越好？
不是。条目多到没人能逐条执行，等于没有控制。判断标准是每条都能指到具体责任人、具体动作和一份证据，指不到的就先删掉或降级成备注。宁可先做二十条能落地的，也不要一百条躺在文档里。
合规风险清单和风险评估报告是一回事吗？
不是。清单是底账，解决「有哪些风险、谁来管」；评估报告是针对某次或某个周期的判断结论，解决「现在到什么程度、要不要处置」。两者配合用，先有清单再谈评估，否则报告里的风险点来源说不清。站内有评估流程类页面可以对照。
措施写了但执行不下去怎么办？
先看是不是控制点加在了主流程之外。多数执行不下去是因为要求额外动作、又没人检查。做法是把它嵌进本来就要走的审批或上线节点，并设一个可自动留下的痕迹。如果仍然推不动，说明这条风险的优先级没被真正认可，要回去和业务对齐，而不是靠通报压。
