合规岗最常卡住的一步不是「不知道有法规」，而是面对一堆法律、部门规章、国标和内部文件，不知道该先看哪一层、哪一层能直接落成制度条款。这篇按效力层级和落地顺序把框架拆开：先认清四层依据，再对照制度清单查漏，最后给出一次内部自查该按什么顺序走、证据留到哪一步算够。
合规岗最常卡住的一步不是「不知道有法规」，而是面对一堆法律、部门规章、国标和内部文件，不知道该先看哪一层、哪一层能直接落成制度条款。经常出现的情况是：标准里写了、法律里也提了，但公司制度里只有一句原则，没人、没流程、没记录。
这篇按效力层级和落地顺序把框架拆开：先认清四层依据，再对照制度清单查漏，然后给出一次内部自查该按什么顺序走、证据留到哪一步算够。目标是让你拿着一张表就能查出自己公司缺哪一块，而不是再抄一遍法条目录。
先分清四层依据，别把标准当法律用
第一层是法律，数据安全、个人信息保护、网络安全这几部是硬底线，责任直接落到企业主体；第二层是行政法规与部门规章，管的是申报、备案、评估这类具体动作；第三层是国标和指引，属于「照着做更稳」而不是「不做就罚」；第四层是行业监管规则与地方要求，同一件事在不同行业口径不同。
判断标准很简单：凡是涉及数据出境、个人信息处理、内容标识这三类动作，先问一句「这条出处在哪一层」。法律层必须做，标准层可以作为达标路径，但不能当成豁免理由；行业层要单独核对，跨行业照搬别人的制度最容易在这里出问题。
- 法律层
- 必须遵守的底线义务，违反后责任直接落到企业主体
- 规章层
- 规定了申报、备案、评估等具体动作和时限
- 标准层
- 推荐性要求，可作为达标路径，不构成豁免理由
- 行业与地方层
- 同一件事在不同行业、不同地区口径不同，需单独核对
不适用的情况：纯内部管理、不碰个人数据和对外内容的业务，重点可以只放在前两层，不必把国标逐条对齐。查漏方法是把公司现有制度文件按这四层归类，出现「同一件事只写在标准层、法律层没人管」就是缺口。
制度框架对照表：哪份文件管哪件事
制度这层不要按法条抄，按业务动作拆。总纲类是合规管理办法或合规管理手册，写清组织、职责、汇报路径；配套的是合规风险识别与评估机制、违规举报与调查办法。专项类按下面这张表对号入座。
| 制度类别 | 管什么动作 | 条款三要素 |
|---|---|---|
| 总纲办法 | 组织、职责、汇报路径 | 归口部门、审批人、上报时限 |
| 数据与个人信息 | 收集、存储、共享、删除 | 谁批、什么条件批、留什么痕 |
| 内容与标识 | 对外发布、素材使用、标注 | 审核人、前置条件、留档方式 |
| 第三方与采购 | 接入外部工具、服务商 | 准入条件、协议要点、退出机制 |
| 账号与密钥 | 权限开通、变更、回收 | 申请人、有效期、回收确认 |
- 每一类制度都要有「谁批、什么条件批、留什么痕」三要素，缺一项这份制度基本落不了地
- 记录类文件包括合规培训记录、风险评估报告、审批留痕、事件处置记录，平时没人看，出事时是唯一能拿出来的东西
- 原则性的边界判断（什么能发、什么别发）另有一篇讲透了，这里只关心制度里有没有对应条款和责任人
- 落地动作：拿一张表，左边列业务动作，右边列对应制度文件和责任人，空的格子就是风险点
需要提醒的是，制度覆盖不等于执行到位。小团队常见的情况是文件都有，但审批走的是聊天记录、评估报告没人签字。这种情况在纸面上看不出问题，一旦被问到就答不上来，所以下一步的抽查比制度清单更要紧。
一次内部自查该按什么顺序走
- 对清单确认制度文件齐不齐、有没有正式发布、有没有版本和生效日期。纸面缺口的优先级高于执行瑕疵，先补文件再纠动作。
- 对动作抽最近的实际业务动作，看有没有走了该走的审批、有没有该做没做的评估。这一步看的是流程是否真的在跑，不是文件写得好不好。
- 对证据审批记录、评估报告、日志是否可查到、可导出、留多久。合规岗最容易翻车的地方是「做过但拿不出记录」，抽查时直接调一条历史记录来验证。
- 对报告路径出了事往哪报、谁批、多少时间内报，内部有没有明确到人。这条写不清楚，前面三步做得再好也容易在事后被追责。
不适用的情况：刚起步的小团队可以先做第一步和第四步，把制度和上报路径立起来，评估和留证随业务量逐步补。等业务量上来再回头补前两步，成本会比一开始就做高很多。
几种容易被当成「合规死角」的情形
第一种，业务用了外部工具但没签协议。重点不是工具本身，而是数据边界有没有约定、有没有替代方案。可以参照站内第三方接入边界类内容，把「能传什么、不能传什么、谁负责」写进制度，而不是只签一份保密协议了事。
第二种，跨境或远程访问。先判断是不是数据出境、是不是受监管的处理活动，路径选择另有专文讲透；这一步判断错，后面所有制度都白搭。第三种，人员流动。制度里要写清交接时权限、账号、密钥怎么处理，缺这条最常见的结果就是离职后还有活的访问凭据。
- 外部工具没签协议：先补数据边界约定，再补替代方案，协议只是其中一环
- 跨境或远程访问：先判断是否构成出境，再决定走哪条路径，顺序不能反
- 人员流动：权限、账号、密钥的交接与回收要有确认记录，不能只靠口头
- 判断原则：凡是说不清归哪条制度管的动作，先归类再补条款，不要先补条款再想归类
- 补完条款后回到第一步重新抽查一次，确认新条款真的落在了动作上
这几种情形的共同点，是它们看起来是技术或人事问题，实际上都缺一条明确的制度归属。归类清楚了，责任人、审批条件和留痕方式自然就有落点；归不清，写再多条款也是悬空的。
下一步想把上面的框架落到具体业务上，可以去站内的工具目录和第三方接入相关页面，对照当时的服务条款和检测结果，把「谁批、什么条件批、留什么痕」补进你自己的制度表。→常见问题
法规、规章、国家标准，到底哪个必须执行？
法律和行政法规、部门规章是必须遵守的，违反会直接产生法律或行政责任；国家标准多数是推荐性的，可以作为达标路径和举证依据，但不等于不照做就违法。判断一份制度要不要写进公司文件，先看它的出处属于哪一层，再结合行业监管的额外要求。具体条文口径可以到 /safety 分区逐篇核对，不要只凭印象。
合规岗只有一个人，这套东西先做哪块？
先立两份文件：一份合规管理办法（写清谁负责、怎么报、报给谁），一份专项清单（列出公司在做的动作和对应依据）。这两样能覆盖大部分日常质询。评估、培训、留证这几块按季度慢慢补，不用一开始就对齐大公司的完整体系，但要保证核心动作有记录。
怎么判断公司的合规制度是不是只是摆设？
看三件事：最近半年有没有真的因为制度拦下过某个动作；审批链上是不是每次都有具体的人签字而不是集体默认；出了问题能不能在前述时间内拿出对应记录。三件事都答不上来，说明制度写了但没进流程。也可以对照站内 /safety 里的清单类文章做一次打分。
