合规岗常遇到的情况是：政策文件读了一堆，真到写方案时还是不知道从哪一步下手，或者做完一轮检查就没了下文。这篇不讲概念定义，只把防控机制拆成四步，每一步给判断标准和可执行动作，顺带说清什么规模、什么阶段的团队可以简化哪一步。
合规岗最常卡的地方不是不知道有风险，而是不知道先动哪一步。政策文件读了一堆，真到写方案还是无从下手，或者做完一轮检查就没了下文。这篇不讲概念定义，只把防控机制拆成四步，每一步给判断标准和可执行动作。
顺序不能乱：没识别就定级，定级就是拍脑袋；没定级就上控制，控制就是撒胡椒面；没复盘，前面三步过一阵全部重来。下面按四步走，顺带说清什么规模、什么阶段的团队可以简化哪一步。
第一步：先把风险摆到台面上
识别的唯一判断标准是：能不能说清每条风险对应哪条法规、哪个业务动作、哪类数据。三个里头缺一个，就是没识别到位。做不到这点的清单再长也没用，因为后面定级时你没法追问它的依据。
- 按业务线、系统、外部合作三类来源分别拉清单，避免只盯着自己部门那一摊；
- 每条风险写清触发场景（什么情况下会发生）和可能的后果（钱、牌照、口碑哪一块受损）；
- 一两个人的小团队不必强求台账格式，先在一张表里列全再谈归档和版本管理；
- 清单模板这类内容那边已经讲透，这里只管它在四步里的位置：它是地基，不是终点。
第二步：给风险定级，才谈得上排序
定级至少看两个维度：发生概率和影响面。只按感觉排优先级的方案，经不起业务方一句「凭什么这条排前面」。落到高、中、低三档即可，档位太细反而没人愿意维护。
| 档位 | 判断依据 | 处置要求 |
|---|---|---|
| 高 | 概率不低且影响面涉及牌照、资金或大规模用户数据 | 当场定处置责任人和时限，不等下个季度 |
| 中 | 概率中等或影响局限在单条业务线 | 排进当季计划，指定跟踪人 |
| 低 | 概率低且影响可控、可恢复 | 记录在案，定期复核即可 |
没有历史数据时，概率可以先按行业公开案例估，不必死等内部统计攒够样本。但估的要写清依据，否则半年后没人记得当初为什么这么判。定级完成后，到站内合规风险相关页面核对当前适用的监管口径，别拿旧结论直接套。
第三步：控制措施要落到人、落到系统
一条控制措施如果找不到执行人和检查人，基本等于没做。执行人负责日常操作，检查人负责定期抽查，两个角色可以同一人兼任，但必须写清楚。
- 选路径按规避、降低、转移、接受四种思路各选一条：能绕开就绕开，绕不开就降低发生概率或影响，能买保险或外包就转移，剩下确实可承受的写明接受。
- 写进制度把选定的路径写成操作条款，条款里带责任岗位和触发条件，不要只写「加强管理」这类空话。
- 配到系统能靠权限、审批流、日志实现的，就别只靠人记。配置完做一次模拟操作，验证拦截和告警真的生效。
- 确认例外纯接受型风险不必硬上技术手段，写清接受理由和复核周期就够。
密钥管理、数据边界这类具体技术配置那边讲得更细，这里只管流程归属：谁提需求、谁审批、谁验证。技术细节归技术文档，流程责任归合规台账，别混在一处。
第四步：留痕、复盘、回到第一步
复盘的判断标准很朴素：能不能拿出证据证明这一步做过。拿不出就当成没做，这在外部检查时尤其致命。证据包括会议记录、审批截图、系统日志、复核签字，形式不限但必须可检索。
- 定期回看风险清单，把已消除的划掉、新增的补进去，形成滚动更新而不是一年重做一次；
- 高风险项的复核频率要高于中低风险，别用同一个周期一刀切；
- 业务变化极慢的团队可以把复核周期拉长，但别取消，取消意味着清单会悄悄过期；
- 证据留存的具体要求和举证类内容有重叠，去站内相关页面看即可，这里不重复。
四步走完并不代表结束，第四步的输出本来就是第一步的输入。框架搭起来之后，每轮花的时间会越来越少，因为大部分条目只是确认还在、责任人没变。
下一步把当前适用的监管口径和风险条目对齐，再决定这一轮先补哪一块。→常见问题
四个步骤必须按顺序走吗？
大方向上是顺序的，但实际做起来会有回跳。评估阶段发现某条风险识别得不对，就该退回第一步重写；控制措施执行不下去，往往说明定级或识别本身有问题。把它当成一个循环而不是流水线，反而更容易推得动。
小团队人手不够，能砍掉哪一步？
最不该砍的是第一步和第四步。识别不全，后面做得再细也是白费；不复盘，清单一年后就成废纸。评估和控制的颗粒度可以粗一点，比如定级只分高和不高两档，但这两步不能省，否则出问题时没有依据可查。
怎么判断这套机制真的在运转？
看三个信号：风险清单有没有更新记录、高风险项有没有对应的处理结论、复核时能不能说出上次改了什么。三条都答不上来，基本就是停在纸面上。具体指标口径可以去站内安全与合规分区对照当时的判定标准。
