企业合规管理和风险管理区别

团队开会时，一件事到底该交给合规、风控、法务还是风险管理，经常吵半天也没定论；出问题时又互相推，说这不归我管。这篇不讲理论，只给一套能当场用的划分标准：先分清每种职能盯的是什么、交付物是什么、什么时候不适用，再给一张对照表和一条判断顺序，让管理者把活派对人、把会开明白。

团队开会时，一件事到底该交给合规、风控、法务还是风险管理，经常吵半天也没定论；出问题时又互相推，说这不归我管。这篇不讲理论，只给一套能当场用的划分标准：先分清每种职能盯的是什么、交付物是什么、什么时候不适用，再给一张对照表和一条判断顺序，让管理者把活派对人、把会开明白。

先说明一个前提：这几块不是并列的四个部门，而是有包含关系的。风险管理覆盖面最大，合规风险只是它下面的一个子类。搞不清这层关系，就容易把「合规」和「风控」当成同义词互相甩锅。下面按「各盯什么、怎么对照、先问谁、怎么协作」四步走。

四个词各盯什么：一句话分清合规、风控、法务、风险管理

这四个词在日常对话里经常混着用，但落到职责上，它们盯的对象完全不同。判断一个事项该归谁，先看它本质上在回答哪个问题：是「有没有守规矩」，是「会不会出事、损失多大」，是「法律上站不站得住」，还是「整体不确定性怎么管」。问题答对了，归属自然清楚。

合规

盯的是有没有守规矩：外部法规、监管要求、行业规范和内部制度，产出是合规义务清单和违规风险点

风控

盯的是事情会不会出错、损失多大：用识别、评估、分级、控制把不确定性和损失压到可接受区间，产出是风险清单和防控措施

法务

盯的是法律上站不站得住：合同、诉讼、知识产权、对外文件，产出是法律意见和争议处理方案

风险管理

伞形概念，覆盖面最大；合规风险只是它下面的一个子类，其余还有财务、运营、安全、战略风险

一张对照表：从触发条件、交付物、被谁考核看区别

光靠定义还是会吵，更实用的是看三样东西：什么事会触发它、它交付什么、上级拿什么考核它。三者一摆，归属基本没有模糊空间。把这张表贴在会议室里，比背概念管用。

• 合规的交付物是清单和台账，不是风险评估报告，混成一个文档后面追责说不清
• 风控的交付物是带分级和控制措施的风险清单，不是法规对照表
• 法务的交付物是法律意见和文书，不能拿它替代合规义务梳理
• 小团队一人身兼数职时不必硬拆四个岗，但四类交付物要分开记，否则出事分不清是没规矩还是没管住
• 任何一类交付物只要涉及对外承诺，都建议过一遍法务

判断顺序：一件事先问三个问题，再决定派给谁

有了对照表，派活时按固定顺序问三个问题，比凭印象分派靠谱。顺序很重要：先看规则、再看法律责任、最后才谈经营不确定性。反过来问，容易把明确的违规当成普通风险搁置。

1. 第一问：有没有明确的外部或内部规则被触碰有就先走合规，先查义务清单里有没有这一条，别急着谈损失概率。合规结论是「该不该做」，这个结论不定，后面评估都是空转。
2. 第二问：是否涉及对外法律责任和文书涉及就拉法务，合同、诉讼、知识产权这类问题，合规和风控都替代不了法律判断。验证方式：看有没有需要对外签署或应诉的文件。
3. 第三问：没有明确规则、但存在可能损失的经营不确定性这是风控的活，走风险评估和分级，给出控制措施和容忍度判断。注意：如果第一问已经有明确违规结论，就不能只走风控流程了事。
4. 三问都答不上来的按风险管理流程先登记进风险台账，指定一个负责人跟进，别让事情在部门之间悬着。定期回看台账，把攒下的事项重新归到前三类。

这套顺序也有不适用的时候：突发事件、正在发生的泄露或纠纷，先处置再补流程，不要卡在「先问哪一问」上。另外，涉及新兴领域比如AI工具使用、数据出境，规则本身在变，建议先到 /safety 分区的对应页面查现成判断口径，再决定走哪条流程。

协作怎么跑：信息一次采集，结论分头出，会上只对结论

分清了边界，不代表各干各的。真正拖慢效率的是三套表对不上、同一个事件重复采集、会上各说各话。解决办法不复杂：建一份共享台账，信息只录一次，各方在下面挂自己的处理记录，会议只对结论和待办。

• 建一份共享的风险与合规事件台账，同一事件只录一次，各方挂自己的处理记录，避免三套表对不上
• 固定节奏碰一次：合规报监管变化和整改进度，风控报风险指标和敞口，法务报纠纷和合同风险，会上只对结论和待办
• 边界争议写进制度：列出常见事项该归谁、什么情况下升级到跨部门会审，比每次开会现议省事得多
• 台账里给每个事项标一个主责方和一个截止节点，没有主责方的事项不允许关闭
• 每季度抽查一次台账，看有没有该进合规却被挂在风控下面拖着的事

如果团队要选外部工具或服务来支撑这套流程，比如做风险数据监控、合规文档管理，选型前先看 /tools 目录里的工具清单，再结合预算到 /price-watch 核对当时的数字，不要凭销售口头报价拍板。