合规风险评估预警管理流程图

很多合规岗被要求「画一张风险评估预警流程图」，结果画成一张谁都不看的装饰图：框框很齐，但风险从哪进来、谁判、判完谁动，全都没写。这篇不谈流程图的意义，只讲这张图该分成哪几段、每段放什么、哪些地方最容易画漏；最后给一份自查清单，照着就能把图改成能真正跑起来的版本。

合规岗被要求画「风险评估预警流程图」，最常见的失败是把图画成装饰：框框整齐、箭头漂亮，但风险从哪进来、谁来判断、判断完谁去动作，全都没写。结果流程挂在墙上，实际工作还是靠群里喊一声。

换个思路：别先想图形，先想这张图要回答哪几个问题——输入从哪来、分几档、触发条件是什么、谁来处置、什么时候关闭、关闭前谁复核。这几个问题答清楚，图自然就成形了；答不清楚，画得再好也是废图。下面按段拆。

一张能用的图先分四段，别一上来就画框

把主干固定成四段：风险信息采集 → 识别与分级 → 评估判定 → 预警发出与响应。关键是四段之间只留一个出口，别让每条线都能跳回去，回环一多图就乱，看图的人也就放弃理解了。

每段至少标注三样东西：输入是什么（系统日志、员工举报、监管通知、审计发现），由谁做（写岗位而不是姓名，人走了图不用改），输出什么凭证（记录表单编号或工单号）。没有凭证的箭头等于没发生。

• 在图上单独留一条「升级路径」，写明什么条件下可以跳过常规评估直接上报，这条线往往比主干更救命
• 采集段要写清来源清单和谁负责盯，别让「收集信息」变成一个没人认领的框
• 识别与分级段要标注依据文件在哪个目录，避免每次判断都靠老员工记忆
• 响应段要写清通知谁、多久内回，只写「通知相关部门」等于没写

分级和触发条件比图形好看重要得多

分级只保留三档就够，红黄绿或者高中低都行。每一档必须写触发条件，用可核对的口径，比如涉及哪类数据、影响多少人、是否已经外传。别用「严重」「重大」这种没有判据的词，那种词到了执行层每个人理解都不一样。

阈值要写成能对账的口径：发生次数、金额区间、时间窗口。具体数字不要画死在图上，因为监管口径和业务规模都会变，图上写「按当期阈值」，然后到站内 AI 订阅渠道比价（/prices） 这类数据页核对当时的口径，图只负责指路。

还要写清降级条件：预警发出后什么情况下可以降档、由谁批。只升不降的流程，一线用两次就学会绕开了。反过来，监管已经立案或者已有明确处罚口径的事件，不走自家分级，直接进上报通道，这条要作为例外写在图边上。

预警节点后面必须挂动作，不然只是通知

每个预警档位后面都要对一份动作清单：谁在多长时间内确认、要不要暂停相关操作、要不要留证、对外说法由谁出。图上可以在预警框下面挂一个小方框写「动作清单见附表编号」，比把动作塞进框里清楚得多。

1. 确认收到预警的人在规定时限内回执，回执内容写「已看到、初判档位」，没回执的系统再催一次并留痕
2. 处置按附表清单执行，需要暂停操作的在图上单独标一个暂停节点，恢复必须有人批
3. 关闭关闭前由非当事人复核一次，小团队可以让另一个岗位兼职复核，但不能自己关自己的单

图上用不同线型区分「确认—处置—关闭」三个状态，让人一眼看出哪些单还卡着。这块判断标准的细节，建议和站内 安全与合规（/safety） 分区的材料配合看：流程图只解决顺序问题，具体判断依据得另找。

画完之后的自查与维护

• 自查四问：每个框有没有负责人？每个箭头有没有触发条件？有没有一条线画到组织外，比如监管、客户、供应商？有没有回退路径？
• 每季度挑一条真实走过的流程对一遍图，发现对不上就改图，不要改记录去迁就图
• 图要带版本号和修订说明，旧版归档，避免审计时拿出两张不一样的图
• 图里的角色名和站内 安全与合规术语对照（/ai-dict/category/safety） 的说法对齐，减少跨部门理解偏差

最后提醒一句适用边界：这套四段式适合有固定业务流、风险来源相对清楚的团队。如果业务还在快速试错、连输入来源都不稳定，先做一页纸的最小版本，把升级路径和关闭复核两件事写出来，比一次画全图更实用。

流程图的验收标准不是好看，而是拿一张真实工单走一遍，每个节点都能对上人、对上记录。