合规风险评估的两个核心维度是

刚开始做合规风险评估的人常见卡点是：清单列了一堆风险，却说不清哪个该先管、为什么给这个等级。这篇不铺法规，只讲两个核心维度的判定逻辑——发生可能性有多大、一旦发生影响有多重，以及怎么把这两个维度落到一张可复盘的判定表上。

刚开始做合规风险评估的人，卡点往往不在法规看不懂，而在于清单列了一堆风险，却说不清哪个该先管、为什么给这个等级。开会讨论时每个人都能说出「这个挺严重」，但一旦要排序就吵起来，因为没有统一的坐标。这篇不铺法规条文，只讲两个核心维度的判定逻辑：发生可能性有多大、一旦发生影响有多重，以及怎么把这两个维度落到一张可复盘、可复述的判定表上。

要强调的是，这两个维度不是理论洁癖，而是为了把「感觉」变成「可比较」。你给任何一条风险定档，都应该能回答两句话：在现有管控之下它有多大概率发生；如果发生了，会波及谁、持续多久、能不能收回来。回答不了这两句，那个档位就是拍脑袋。

为什么是这两个维度，而不是别的

最常见的误区，是把「风险描述写得多吓人」当成了评估结果。描述只是素材，它回答的是「这件事长什么样」，不回答「该不该优先处理」。评估必须落到两个可比较的坐标上，才可能在一张表里横向排序，也才可能在换人之后得出差不多的结论。

• 第一个维度是发生可能性：在现有管控措施之下，这件事实际发生的概率有多大。注意是「之下」，不是「完全不管」。
• 第二个维度是影响程度：一旦发生，会波及哪些对象、持续多久、能不能撤回。这三问比单纯算损失金额更能拉开差距。
• 两个维度缺一不可。只看影响，会把极小概率的极端事件排在最前面，资源全压在几乎不会发生的事上；只看可能性，会漏掉那些低频但一旦发生就很难收场的问题。
• 维度数量不要贪多。入门阶段加第三、第四个维度，通常只会让打分变成吵架，先把这两维用熟再说。

如果你所在团队规模小、人手紧，这套两维法反而更合适：它只需要一张表，不需要专门的评估系统，开一次会就能把主要风险过一遍。

可能性维度：怎么从「感觉可能」变成可判定的档

不要一上来就用高、中、低直接拍。先找可观察的依据，把讨论从形容词拉回到事实上。判断的依据越具体，后面越不容易因为换人而翻盘。

判断触发难度时，可以数前置条件：需要三个以上独立条件同时满足，档位通常往下走；只要一个日常操作就能触发的，档位就该往上提。同样重要的是区分「残余概率」和「裸概率」——评估的是现有措施生效之后的概率，所以每评一条都要顺手确认现有措施到底管不管用、有没有人在执行。

影响维度：别只算钱，把影响面拆开看

影响最容易偷懒的算法就是「大概要损失多少钱」。金额当然要看，但只算钱会漏掉很多关键差异。建议至少拆成四层来看，每层单独问一句，最后再合成一个总档。

当事人范围

影响到一个人、一个团队、一批客户，还是外部不特定人群，范围越大档位越高

业务连续性

出事后业务还能不能照常跑，要停多久，有没有临时替代方案

外部介入

会不会引来监管、合作伙伴或公开舆论的关注，一旦介入就难自行收场

修复成本

事后要把状态恢复原样需要多少人力与时间，含沟通和解释的成本

1. 先写清站在谁的角度同一件事对业务方和当事人影响完全不同。评估前先写明视角，否则两份报告的数字永远对不上。
2. 单独标注可撤回性已经扩散出去的信息、已经发出的通知，影响等级天然高于还能收回的操作。把「能否撤回」当成一个高权重项单独标出来。
3. 范围算不清时给上限暂时无法估算影响范围，就按最坏边界给一个上限档，并在报告里注明这是上限估算，不是实测结果。

这三步做完，影响这一维就不只是「大中小」，而是一组能被追问、能被复核的结论。别人问「为什么给这个档」，你能指着某一步给出的依据回答。

两维合起来怎么定档，以及判断依据怎么留

把两个维度各分几档，交叉成一张矩阵。关键动作是：矩阵里每个格子预先写清对应的处理动作，比如「立即处理」「限期整改」「纳入观察」「接受并记录」。这样做的价值在于，定档时讨论的是事实落到哪个格子，而不是每次临时争论该不该管。

• 判断依据要留三样，缺一样后面都没法复盘：触发路径描述、支撑档位的证据或假设、评估时成立的前提条件。
• 矩阵只是入门工具。真正的分歧往往出在档位边界上，遇到争议先回去对齐定义——可能性算的是残余概率，不是裸概率。
• 建议按固定周期重评。管控措施一改、业务范围一变，可能性维度就会动，矩阵结果自然跟着变。
• 同一张表要署上评估人和评估时间，否则过一阵子没人说得清这个结论是怎么来的。

如果你想知道同类团队在实际评估时更看重哪些指标、常见的档位分歧集中在哪，可以去站内的指南中心翻一翻相关条目，对照自己的表看看有没有漏项。