合规风险识别三张清单

合规管理者最常卡住的地方不是不知道要合规，而是一旦动手就发现：风险到底从哪找、找到之后谁来管、管完拿什么证明管过了。这篇不讲概念辨析，只给三张可填写的清单和一条从识别到复盘的全流程，帮你在两周内把一份能上会的风险台账搭起来。数字口径一律以站内页面当时显示为准。

合规管理者最常卡住的地方，不是不知道要合规，而是一旦动手就发现：风险到底从哪找、找到之后谁来管、管完拿什么证明管过了。这三件事分别对应三张清单：外部义务清单、业务动作清单、证据清单。缺任何一张，风险台账都会变成一份没人看的文档。

这篇不讲概念辨析，只给三张可填写的清单和一条从识别到复盘的全流程。目标是让你在两周内搭出一份能上会的风险台账。所有数字口径、版本信息和具体条款，一律以站内页面当时显示为准，不要写死在文档里。

先分清你要的是哪张清单：三种常见起点

同一个词「风险清单」，不同起点做出来的东西完全不能互通。开工前先确认自己站在哪个起点上，否则清单写到一半会发现别人的模板完全用不上，返工成本很高。

按对象起点

外部监管要求清单、自身业务动作清单、历史问题清单，三者结构不通用，别硬套同一个模板

按场景起点

新业务上线前自查、存量业务年度复检、事件驱动的专项排查，投入时间和参与人差别很大

按角色起点

法务牵头、业务牵头、内审牵头，谁牵头直接决定清单的颗粒度和验收标准

颗粒度够不够，有一个很直接的判断标准：如果清单里每一条都能对应到一个具体岗位和一个交付物，说明拆到位了；如果只能对应到「相关部门」「加强管理」这种说法，就得继续往下拆，直到能写出「谁、什么时候、交出什么」。

清单一是外部义务清单：把监管要求翻译成自己人的动作

外部要求原文通常写成条文，直接抄进台账没人看得懂。要做的是逐条翻译成自己公司能执行的动作，一行业务一句话，字段固定下来，后面才好维护。

不适用范围一定要单独写出来。只对特定数据量级、特定行业或特定业务形态生效的条款，明确写上「我们不适用，理由是什么」。这句话在你被问到时能省掉大量解释成本，也能防止后来人误判。

更新靠两条线：一条盯新规发布，一条按固定周期回看老清单有没有过期。这两条线的具体节奏，以及条款里的时限、处罚区间这类数字，到「安全与合规」板块和术语词典对照当时口径，别把易变的数字抄进正文。

清单二是业务动作清单：从数据流向倒推风险点

外部义务是别人提的要求，业务动作清单得从自己这条链路里长出来。做法是先画一条主链路，再沿着链路逐段问问题，比凭空列风险项靠谱得多。

1. 画主链路按「用户输入—系统处理—外部调用—日志存储—对外输出」把数据流画出来，每段标出数据类型和经手人；画完对照实际系统跑一遍，确认没有漏掉的分支
2. 逐段问三个问题这块数据能不能出去、出去之后谁还能看到、出问题能不能追到这一段；三个问题里有任何一个答不上来，这段就先标记为待确认
3. 给高风险段落排序按「出去之后不可控」的程度排序，不可控程度高的排前面，资源先投这里；排序结果要让技术负责人确认过
4. 补三类控制最小权限、脱敏或替换、可追溯的日志，按顺序补；前两类做不到位时，日志至少保证能追到人

关于哪些内容能发出去、哪些边界不要碰，站内另一篇讲得比较透，本篇只需要把它讲过的边界结论转成「这段链路该记哪一条」，不要重复展开。

清单三是证据清单：出事时能拿出来的东西才算数

前两张清单解决「做什么」，第三张解决「怎么证明做过」。很多团队前两张做得很漂亮，一出事发现拿不出任何可出示的材料，等于白做。

• 按事件倒排：谁在什么时候做了什么决定、审批记录在哪、事后怎么处置、有没有复盘结论，一条一条往回对
• 保留形态统一：同一类事情用同一种模板，临时拼凑的材料在需要时往往缺关键字段
• 留存期限和访问权限一并写清，别只写「保留」，不写谁能看、多久销毁、由谁执行销毁
• 每类材料标注「谁能在多长时间内拿出来」，拿不出来的就等于没有
• 材料目录和实际存放位置对应上，避免知道有、找不到

取证细节、截图和会话记录怎么留才有效，站内「出事后的举证与维权」那篇讲得更细，本篇只列你需要提前准备哪几类材料，具体操作去那篇对着做。

全流程防控机制：五个环节的输入输出

三张清单是静态产物，防控机制是让它们动起来的流程。每个环节都要有明确的输入和输出，否则流程会停在「开会讨论过」这个阶段。

控制环节的优先级顺序容易被做反：先堵流程、再补权限、最后上技术手段。顺序颠倒通常的结果是技术方案做了一半，流程还没定，最后两边都没落地。评估环节的分档标准一定要提前写死，避免事后为了得到某个结论回头改标准。

监测看的是信号不是结论，比如某个环节的例外审批突然变多、某类数据的外发请求量偏离常态。响应要写清触发条件和升级路径：什么情况算触发、谁在多长时间内必须知情、谁来拍板。

节奏与责任：多久跑一次、谁签字

三种节奏要并存：常态监测、周期性复检、事件触发专项。只做中间那一种的团队，通常既发现不了新风险，也响应不了突发情况。

常态监测

看信号和例外情况，频率高、单次投入小

周期性复检

按固定周期整体过一遍清单，检查适用性和执行情况

事件触发专项

出现具体事件后针对该方向做深度排查，输出整改项

责任分配落到人时要写岗位名而不是人名，避免换个人就断掉。接口人要明确三个：业务侧一个、技术侧一个、法务或合规一个，三个人都签字才算闭环，只有一个人签字的情况往往在追责时说不清。

什么情况下不适用：人员规模很小的团队可以把角色合并，一个人兼业务和技术侧。但合并之后仍然要有一个对结果负责的人，不能出现「大家都参与了、没人负责」的状态。

常见失灵信号与排查顺序

清单和流程跑一段时间后，会出现一些典型失灵信号。看到这些信号不要急着加条款，先按顺序查根因。

• 信号一：清单越写越长但没人改流程，说明停在纸面阶段，先查条款有没有落到具体流程节点
• 信号二：每次复检结论都是「无变化」，先怀疑检查方法，再怀疑业务；方法没问题才说明风险识别的输入太单一
• 信号三：事件复盘结论落不到具体条款和具体人，说明证据清单没建起来，往回补第三张清单

排查顺序建议固定为：先看责任人是否可执行，再看交付物是否存在，最后才谈工具和系统。反过来查，容易把责任问题误判成工具问题，花钱买了工具问题还在。

两周落地计划：从空白到能上会

如果现在手上什么都没有，可以按下面这个节奏推进。两周的目标不是把三张清单做完美，而是让它们能上会、能被追责。

1. 第 1-2 天：定人和模板确定牵头人和三种清单各自的模板，模板字段参考前文的表格，先求字段齐全不求内容完整
2. 第 3-5 天：外部义务清单初稿按条款逐条翻译，标出不适用的条目并写理由；完成后让法务或合规过一遍再往下走
3. 第 6-9 天：主链路与业务动作清单画出主链路，产出业务动作清单和高风险段落名单，和技术负责人确认排序结果
4. 第 10-12 天：证据清单与桌面演练补齐证据清单模板，然后跑一次桌面演练，模拟一个事件，看材料能不能在约定时间内凑齐；凑不齐的地方就是需要补的
5. 第 13-14 天：汇总上会材料封面只放三样：风险台账、责任人、时间表；其余内容作为附件，避免材料太长没人看完

桌面演练是这十几天里最值得花时间的一步。它能在正式出问题之前暴露证据清单的缺口，成本远低于真出事之后再补。