你大概遇到过这种场面：入职材料里同时出现合规承诺书、风险管理职责和廉洁从业规定，三份文件都让你签字，但没人说清它们到底谁管谁。出了事更乱——一个采购回扣的线索，可能是合规部接、风控部接，也可能是纪委接。这篇不讲法条，只讲三套体系的定位差异、各自的抓手和交叉地带，让你能判断自家公司是「真在跑」还是「只有文件」。
你大概遇到过这种场面：入职材料里同时出现合规承诺书、风险管理职责和廉洁从业规定，三份文件都让你签字，但没人说清它们到底谁管谁。出了事更乱——一个采购回扣的线索，可能是合规部接、风控部接，也可能是纪委接。这三套东西不是三个平行世界，也不是互相替代的关系，它们盯的人、管的事、出手的时机都不一样。
这篇不讲法条，只讲三套体系的定位差异、各自的抓手和交叉地带，让你能判断自家公司是真在跑还是只有文件。判断标准会写清楚什么时候不适用，落地动作也给你可执行的清单。
三套体系各自盯的是什么
- 合规
- 盯有没有踩外部规则：法律法规、监管要求、行业规范、你自己签的合同承诺。判断标准是外部给的，所以最容易被审计和监管倒查。
- 风险
- 盯不确定性会不会变成损失：市场、财务、运营、安全都算，合规风险只是其中一类，走的是识别—评估—应对那套流程。
- 廉洁
- 盯人有没有拿不该拿的、偏不该偏的：核心是利益冲突、职务便利、商业贿赂、亲属关联交易，判断标准偏内部纪律和职业道德。
三者最实际的区别在触发点：合规由外部规则更新触发，风险由业务变化触发，廉洁由具体的人和关系触发。你可以拿最近公司发的一封通知反过来推——如果是监管新规来了，那是合规线在动；如果是某个项目要上会评估，那是风险线；如果是某个人被约谈或调岗，多半是廉洁线。
- 合规问「能不能做」：外部允许不允许，合同承诺过没有
- 风险问「做了会怎样」：最坏情况多大、概率多高、扛不扛得住
- 廉洁问「谁在做、为谁做」：经手人跟这件事有没有私人利益牵连
- 一条业务同时过三道问，才是三套体系都在跑的样子
谁牵头、谁执行、谁监督：一张能对照的分工表
很多人以为合规、风控、廉洁都是「二线部门的事」，这个认知最容易出事。三套体系的真正结构是三层，每一层的职责边界都不一样。
| 层级 | 干的是什么事 | 判断标准 |
|---|---|---|
| 业务部门（一线） | 合规和廉洁的第一责任人，风控在流程里做自评 | 业务自己说不清风险点的，基本没在做 |
| 专职部门（二线） | 合规部管规则解读和培训，风控部管指标和评估，廉洁管理常挂在纪检、审计或人力资源下面 | 能说清「这条规则对应哪项业务」才算有效 |
| 审计与监督（三线） | 查前两层有没有真的做，而不是自己下场做业务 | 独立于被查对象，否则等于没查 |
怎么用这张表：拿一件具体的事（比如一笔超预算的采购）走一遍，看每个环节谁签字、谁留痕。签不出人来的环节就是空转；如果整条链上只有一个人签字，那三套体系其实合成了一套，缺的是互相制衡。
三套体系最容易打架的三个交叉地带
真正难的不是单看某一条线，而是同一件事同时落在三条线上。下面三类交叉地带最常见，也最容易因为「都该管」变成「都不管」。
- 第一步：先看会不会造成实际损失利益冲突既可能是廉洁问题（人），也可能是合规问题（外部规则明令禁止），还可能是风险问题（供应商集中度过高）。别急着归类，先问它会不会造成实际损失；会，就先按风险流程走。
- 第二步：追问第三方与中介的来路合规关心它的资质和合同条款，风控关心它的履约和依赖度，廉洁关心介绍人是谁、钱怎么走的。这三问经常只问到第一问就停了，后面两问要主动补上。
- 第三步：数据和信息这类硬交叉，先定拍板人数据与个人信息既是硬合规红线，也是安全风险，还牵扯内部人员有没有私自导出。判断标准是：如果一件事在三个部门那里都能找到接口，但没人能说清最终谁拍板，那这家公司三套体系大概率是纸面并行。
交叉地带的处理原则很简单：不争归口，先定谁对结果负责。定了这个人，后面的事自然有人推；定不了，就在会上把这个问题提出来，别自己扛着。
怎么看出是真在跑还是只有文件
- 看规则有没有版本：一份多年没更新的合规手册，说明没人真的在用；反过来，如果制度改过、培训记录里带具体案例，是在跑
- 看举报和反馈渠道是否可用：渠道存在但从来没有任何反馈记录，跟没有渠道差不多；能说清谁接、多久回、会不会保护举报人，才是活的
- 看考核怎么挂：合规、风险、廉洁如果只写进口号不写进任何考核项，执行层就不会真的花时间
- 看开会时谁发言：如果只有二线部门讲，业务全程沉默，说明三套体系还没长到业务里
什么情况下不适用：十几人的小公司确实不需要三套独立部门，一人兼管很正常。这时候该看的是老板对「哪条线绝对不能碰」说没说过、说过几次；拿大公司那套组织架构去要求小团队，属于误判。
另外，别用「有没有成立委员会」来判断真假。委员会挂牌容易，难的是真出过一次结论、真处分过人、真改过流程。想找横向对照的样本，可以去站内看不同规模团队的做法，但记住每条结论都要回到自己公司的实际业务上验证。
作为个人，你该怎么用这套判断
- 入职或接手新业务时，先问三个问题这条业务的外部红线是什么、出了问题找谁、审批链条上谁真正负责。三个问题有一个答不上来，就说明你没摸清这套体系。
- 拿不准的招待、礼品、关联合作，按顺序自查会不会被外部规则认定为不当、会不会造成公司实际损失、会不会让人觉得你因此偏向了谁。三个里中一个就先报备，不要先做后补。
- 留痕，走书面或系统流程口头请示不算。聊天记录和邮件别随手删，具体怎么留证可以对照站内的举证与维权思路。
最后提醒一句：三套体系的存在价值是让你在做事之前多问一句、多留一手，不是给你添手续。如果你所在的公司三样都只有文件，你能做的是把自己的环节留痕、把拿不准的事往上报备——这既保护公司，也保护你自己。
下一步去站内看看不同规模团队在合规与风险上的公开做法，再回来对照自家公司的三层分工表，就能判断哪些环节是真在跑、哪些只是挂了块牌子。→常见问题
合规、风险管理、内部控制这三个到底是不是一回事？
不是。合规是守外部规则，风险管理是处理不确定性，内部控制是把手上的流程用制度和牵制固定下来。三者有重叠但出发点和牵头人不同，重叠部分最容易出现「都以为对方在管」。判断方法很朴素：找一件具体业务，看每个环节谁签字、谁留痕。
公司只设了一个人管合规和风控，是不是不正规？
不一定。规模小、业务单一的公司，一人兼管是常见做法，关键看两件事：这个人有没有独立于业务的汇报线，以及他有没有权限叫停一件事。如果他的意见在业务压力面前从来不被采纳，那就是摆设；如果他能拦住一笔单子，哪怕岗位名头只有一个，也算在跑。
普通员工需要懂这些吗，还是管理层的事？
需要懂到一个程度：知道自己手头业务的外红线在哪、出事该找谁、哪些事必须先报备。这三件事不懂，风险最终会落到具体经办人身上，而不是落在制度文件上。至于体系怎么搭、架构怎么设，那是管理层的事，普通员工把它当作判断公司靠谱程度的参考就行。
