合规管理与风险管理的关系

很多管理者把合规和风险当一回事：出了事才想起合规，平时又拿风险清单当合规台账。结果是同一件事两个部门各填一套表，谁都不认谁的账。这篇不背定义，只讲两者边界在哪、什么情况下会重叠、重叠了怎么分工，最后给一份可以直接照着划职责的对照表和排查顺序。

很多管理者把合规和风险当一回事：出了事才想起合规，平时又拿风险清单当合规台账。结果是同一件事两个部门各填一套表，谁都不认谁的账，年底一汇总还发现同一个问题被记了两遍、罚了两遍。

这篇不背定义，只讲两者边界在哪、什么情况下会重叠、重叠了怎么分工，最后给一份可以直接照着划职责的对照表和排查顺序。判断标准给到能直接开会用，但公司规模特别小、人手特别紧的情况会单独说明不适用。

先分清：合规管「守不守规矩」，风险管「会不会出损失」

合规管理的落点是外部要求：法律法规、监管规定、行业准则、合同承诺。它的判断标准是「有没有违规」，答案通常只有合规与不合规两档，中间地带很少。所以合规台账长得像一份清单，每条对应一条外部要求，做完打勾。

风险管理的落点是可能性与后果：识别、评估、应对、监控。它的来源不限于合规，还包括市场、信用、运营、安全、舆情等。同一个事项可以两边都进，不冲突，但要提前说好记录口径分不分得清。

合规视角

这件事违反了哪条外部要求，谁签字谁负责

风险视角

这件事多大概率发生、发生后损失量级多大、谁来兜底

重叠示例

数据出境既可能构成违规，也可能造成业务停摆，两边都要记但要标清标签

不适用情形

公司小到只有一个人兼管时，别硬套两套体系，先合并成一张表按触发条件排序

• 看答案形态：只有做与不做、合规与不合规的，归合规；带概率、频次、量级的，归风险
• 看依据来源：依据写在合同、法规、监管文件里的，先归合规再进风险
• 看记录方式：合规留痕偏证据链，风险留痕偏评估过程与假设条件
• 看汇报对象：对外解释归合规，对内决策归风险，两条线的汇报对象往往不是同一批人

重叠区怎么切：谁定红线，谁定概率

重叠区最怕两个部门各画一张图。解法是先定红线再定概率：合规根据外部要求划出「不能做」的清单以及必须留痕的动作，风险把这份红线清单当成输入之一，再加进市场、运营、安全等来源，做一张总体风险图谱。

判断标准可以很简单：一项工作如果答案只有「做或不做」，放合规；如果答案是「多大可能、多大代价」，放风险。会议纪要里如果长期只有一种问法，说明分工没建立起来。

红线是合规画的，概率是风险算的，两张图不共用同一套事项编号，协同就永远停在嘴上。

落到人头上：三张清单和一份职责对照

边界划完要落到人和文档上，不然还是两张皮。核心是三张清单加一份职责对照：要求清单归合规、事件与等级清单归风险、整改跟踪清单由两边共用。共用清单的关键是同一个事项编号，编号规则提前定好，别各编各的。

1. 定识别责任业务线自己报第一版，合规与风险各自独立校验一遍，别让一个部门既当运动员又当裁判；校验记录要写清谁在什么时候提了什么意见
2. 定台账格式合规建「要求清单」，每条对应一条外部要求；风险建「事件与等级清单」，每条带频次和量级；两边共用一个事项编号列，编号规则写进模板里
3. 定上报通道违规信号走合规上报，损失类信号走风险上报，两条线并行但汇总到同一个决策会；通道写进流程文件，避免出事时临时找人
4. 定留证要求每次识别和评估留下时间、参与人、依据来源，方便事后复盘；具体该留哪些证据可以对着一份审计视角的清单来核，别凭印象

职责对照可以简化成一行一人：每一项外部要求有明确的合规责任人，每一个已识别风险有明确的风险责任人，两个名字不能总是同一个人，否则协同就是自己跟自己开会。

自查顺序：先对齐口径，再谈工具

别一上来就买系统。工具解决的是流程跑起来之后的效率问题，口径没对齐时上系统只会把两套表电子化一遍，浪费预算也浪费推行窗口。

• 第一步，把近一年出过的问题按「违规」和「损失」两个标签分别打一遍，看哪边挂空，挂空的那一边说明口径没打通
• 第二步，抽查一份既被合规记过又被风险记过的事项，看两边的描述、编号、责任人是否一致，不一致就是分工没落地
• 第三步，翻会议纪要：合规议题和风险议题是否在同一场会上串过，长期分开开说明协同还没建立
• 第四步，再看工具需求，缺什么补什么，别一次性铺开
• 不适用情形：刚起步的团队先跑通一条主线，别追求形式上的「一体化」，硬上反而两头都做不实