合规风险识别和应对的文件

很多团队出事时才发现：风险不是没看见，而是没有一份固定的文件把「谁在什么时候看什么、看完记在哪」写下来。监管来问、客户来审、内部换人，拿不出东西就很被动。这篇不讲大道理，只给一份可以照抄的文件与表单清单，按识别、评估、处置、留证四段排好，并说明每份文件在什么阶段该更新、什么情况下不适用。

很多团队出事时才发现：风险不是没看见，而是没有一份固定的文件把「谁在什么时候看什么、看完记在哪」写下来。监管来问、客户来审、内部换人，拿不出东西就很被动。这篇不讲大道理，只给一份可以照抄的文件与表单清单，按识别、评估、处置、留证四段排好。

先说清一件事：这份清单不是让你一次性全建起来。它的用法更像对照表——拿着它去盘自己现在缺哪块，先补最影响你对外交代能力的那两三份，剩下的按节奏慢慢加。下面每一节都会写明这份文件管什么、什么时候动它、缺了会怎样，以及在什么情况下可以直接不做。

先想清楚：为什么是「文件」而不是「流程」

流程活在人的脑子里，文件活在系统里。三五个人天天在一起，口头约定确实跑得通；可一旦换人、被审、打官司，只有落在纸面或系统里的东西能说话。文件的三类用途要分开看：对内统一动作、对外证明已尽责、事后还原当时判断依据。搞混这三类，就会写出那种又长又没人看的制度。

• 对内统一动作：新来的人照着做就不会跑偏，不依赖老员工带
• 对外证明已尽责：客户审厂、监管问询时，能拿出「我们做了什么」的记录
• 事后还原判断依据：半年后追问「当时为什么这么决定」，有东西可翻
• 反过来说：如果团队只有三五个固定的人、业务一年不变，堆文件反而是负担，可以先只留最必要的两三份
• 判断标准：某一类事情过去一年出过一次以上的岔子，就值得为它留一份文件

第一层：把风险找出来的文件

这一层的核心任务是把「可能踩的线」变成一张能核对的表。别一上来就抄法规原文，那是给法务看的，业务看不懂也用不上。做法是按你实际的业务环节切：对外宣传怎么写、用户数据怎么收、第三方服务怎么接、内部账号怎么用。每个环节下面列具体动作，而不是列抽象原则。

风险源清单

按业务环节列，每项写清可能踩的线，一行一个动作

合规义务台账

把适用法规译成「我们要做什么」，一条一行，标责任人和复核周期

场景访谈记录表

让一线把最近遇到过的麻烦写下来，比闭门造车列风险准得多

1. 先画业务环节把从获客到交付到售后的主要环节列出来，通常五到八个，不要超过十个
2. 每环节问三个问题这里最容易出什么事、谁会因此投诉、上次出问题是怎么解决的
3. 整理成清单每个答案写成一行，带责任人和复核周期，空着的先标记待定而不是硬填
4. 验证方式拿这张表去问三个一线同事，看有没有他们遇到但表里没有的情况

不适用情形要提前说清：业务还没定型、方向每月一改的时候，台账不要做太细，先做粗颗粒度，否则改一次业务就要重写一次表，没人受得了。等业务形态稳定两三个月，再回头细化。

第二层：判断轻重和优先级的文件

识别出来的一堆风险，不可能同时处理，必须排序。排序需要一个统一口径，否则每次换个人评估就换个结果。常用的做法是三栏打分：发生可能性、影响范围、是否已有控制。打分结果只用于排序，不要拿去当免责依据——「我们评过是低风险」在事后通常没什么用。

控制措施对照表是最容易做成废纸的一张。判断它有没有用的标准很简单：高风险项后面是不是都挂了具体动作、责任人和完成时间。只写「加强管理」「提高意识」这种话，这张表等于没做。如果你发现某项措施写不出具体动作，说明你对这个风险的处置思路还没想清楚，先别急着填表。

第三层：出事之后怎么动的文件

这一层的文件有个共同点：写的时候用不上，用的时候没空写。所以必须提前写好、放到大家找得到的地方。真出事的那半小时，人是慌的，不要指望现场讨论出一套动作。应急处置卡要控制在一页纸，写清第一通电话打给谁、先冻结什么、多久内向谁报告。

• 应急处置卡：一页纸，聚焦前半小时的动作，越短越好
• 升级与授权表：谁有权对外发声、谁有权停服务，提前定好别现场讨论
• 整改跟踪表：问题、责任人、期限、验证方式四列，闭环要留验证证据
• 复盘报告模板：事实、原因、影响、改进项分开写，混在一起就变成互相甩锅

复盘报告模板要特别注意结构。把「事实」和「原因」写在同一段里，读的人会不自觉地把描述当成归因，讨论就会滑向追责。分开写的好处是，先把发生了什么摆清楚，再讨论为什么，最后才谈改什么。这个顺序别省。

第四层：把过程留成证据的文件

前面三层是做事，这一层是留痕。留痕的意义在于：当外部来问的时候，你能证明自己不是什么都没做。会议纪要与审批记录是最基础的一条——口头同意不算数，谁批的、什么时候批的要有痕迹。这一条在小团队里最常被忽略，因为大家觉得「都说好了」。可换个人接手，或者当初同意的人离职，事情就说不清了。

这里有个容易被忽略的边界：留证不等于无限期留数据。涉及个人信息的部分，要先脱敏，或者按最小必要原则留存。把「为了以后能证明」当成什么都留的理由，本身就是一个新的风险点。具体留多久、哪些字段必须脱敏，建议到站内的合规资料页核对当前口径，别凭印象定。

小团队的最小可用版本：三份文件起步

如果你现在什么都没有，不要按上面四层全套照搬。先做三份：一份风险源清单、一份控制措施对照表、一张应急处置卡。这三份覆盖了「知道有什么风险」「知道在改什么」「知道出事怎么办」，是最小闭环。先跑一个季度，看哪些地方真的用得上、哪些地方卡壳。

1. 第一周只做风险源清单，业务环节五到八个，每项一行，不追求完整
2. 第二到三周给清单里的高风险项挂控制措施，写清动作、责任人、完成时间
3. 第四周把应急处置卡写出来，一页纸，贴在大家能看到的地方，或放进共享文档置顶
4. 季度末验证回看这三份文件被翻过几次、用过几次，没用上的部分考虑合并或删掉

每份不超过两页，能贴在墙上、能在会上过一遍的那种。跑顺了再补评估表、复盘模板和台账。上来就做全套，大概率写完就没人看。判断标准很直接：一份文件如果半年没被任何人翻过，要么它没用，要么它该被合并进别的文件。

什么时候该动这些文件

文件建起来只是开始，关键是知道什么时候该改。触发点比固定节奏更重要，因为业务变化不会等你到季度末。常见的触发点有五类：业务上线新功能、接入新的第三方服务、关键人员变动、监管口径变化、出过一次事。任何一类发生，就该把相关文件过一遍。

• 业务上线新功能：先看风险源清单要不要加行，再看控制措施跟不跟得上
• 接入新的第三方服务：重点看是否有新的数据处理和依赖风险
• 关键人员变动：先确认授权表和应急处置卡上的联系人还对不对
• 监管口径变化：以官方发布为准，到站内资料页核对当前要求
• 出过一次事：复盘之后必须回头改文件，否则下次还是同样的问题

固定节奏也要有，但可以简单：每季度过一遍清单，每半年做一次完整复评。做法上的小技巧是把版本号写进文件名，比如带日期后缀，这样一眼能看出哪份是最新的。改制度的时候，旧版本不要直接删，留在归档目录里，方便回溯。具体到你们业务适用的条款和口径，建议到站内的合规与风险资料页核对当时的版本，别拿一年前的印象当依据。