刚接手合规的同事最常见的卡点不是不努力，而是拿到一堆制度、合同、告警不知道该往哪个格子里放：数据的事算不算合规、广告词归谁管、账号被封要不要上报，最后要么漏、要么同一件事在三个台账里各记一遍。这篇给一套从来源出发的分类骨架，再配一张可照着走的识别清单和归类顺序，让你先把盘子划清，再谈怎么填。
刚接手合规的同事，最常卡住的地方不是不努力，而是拿到一堆制度、合同、后台告警，不知道该往哪个格子里放。数据的事算不算合规、广告词归谁管、账号被封要不要上报，最后要么漏项，要么同一件事在三个台账里各记一遍，谁都不认领。这篇给一套从来源出发的分类骨架，再配一张能照着走的识别清单和归类顺序。
先把盘子划清，再谈怎么填。分类不是为了做报表好看，而是为了定责任人和处置动作。分类维度别贪多，按「风险来源 + 受影响对象」两条轴基本就够用，再加轴只会让新人填不动。前提是先承认一件事：分类法本身不解决风险，只解决「谁在什么时候做什么」。
先分类再登记：不分类的合规台账迟早会烂掉
不分类最典型的症状是：同一件事被三个部门各记一笔，出问题时没人认领；或者只记了现象，没记责任人，半年后回看完全不知道当时为什么这么写。台账烂掉通常不是因为条目太少，而是因为条目之间没有边界。
- 同一件事被三个部门各记一笔，查的时候对不上；
- 条目只有现象没有责任人，状态栏长期空白；
- 新人接手时看不懂前人的分类口径，只能重开一张表；
- 复核时发现一半条目已失效，但没人敢删。
判断一个分类法能不能用，标准很朴素：让一个不熟悉业务的同事拿着它，能不能把新出现的一件事放进去。放不进去说明轴太多或太抽象，放进去后责任人不明确，说明轴选错了。不适用的情况也很清楚，业务本身处在强监管行业时，分类要跟着监管口径走，自拟格式只能当内部补充。
按来源切：企业常见的几类合规风险
下面这张表是给新人用的起步骨架，不是穷举清单。每一类只给一个判断标准和一个典型触发点，具体数字和行业差异，到站内页面按当时的口径核对。
| 来源类别 | 主要看什么 | 典型触发点 |
|---|---|---|
| 监管与牌照 | 业务本身要不要资质、备案 | 先有规则后有业务，不能事后补 |
| 数据与个人信息 | 收集、使用、共享、出境、留存 | 有没有留下「因何拿到这份同意」的记录 |
| 内容与生成 | 生成内容、素材版权、人格权表达 | 风险点在发布前，不在发布后 |
| 交易与用工 | 合同条款、续费、开源许可、外包边界 | 常被当法务的事，其实要挂账 |
| 安全与账号 | Key 泄露、账号被封、工具接数据 | 技术动作引发的合规后果 |
这五类里，监管与牌照类最不能拖，因为它决定业务能不能做，而不是做得好不好。数据与内容两类最容易和法务、市场职责打架，归类时先看谁实际握着处置权，而不是看谁名义上负责。
- 监管与牌照：重点是事先，事后补通常无效；
- 数据与个人信息：重点是留痕，举证能力比制度文本重要；
- 内容与生成：重点是发布前把关，发布后再删代价高；
- 交易与用工：重点是条款边界，改一次合同比解释十次便宜；
- 安全与账号：重点是技术触发，别当成纯运维问题。
识别顺序：从业务动作倒推，而不是从法条正推
从法条正推的问题是，读完几百条也不知道自己漏没漏。从业务动作倒推更实用：先列清楚谁在什么工具里、把什么数据、发给谁、留下什么记录，四列填完再谈风险。这一步比读条例有用得多，也是唯一能验证覆盖面的做法。
- 列动作清单按「人、工具、数据、对象、记录」五列填，先把现有业务动作列全，不要一边列一边判断风险。
- 三问定位每个动作问三件事：有没有事先约定、有没有留痕、出事时能不能举证。三个都答不上来的，直接标为高风险项。
- 归一个主责任人每条只填一个主责任人，协作方写备注。一个风险挂在两个主责任人名下，执行时基本等于没人管。
- 记录状态状态只允许「未处理 / 处理中 / 已缓解 / 接受」四档，别自创词，否则汇总时口径对不上。
小团队可以只做前两步，等业务稳了再补分类和台账。一上来就搭体系，通常结果是表建得很漂亮、没人填。判断是否需要提前补体系，看两个信号：是否已经有外部客户要求提供合规材料，是否已经出现因流程缺失导致的返工。
台账怎么记，以及多久回来看一次
台账的字段宁可少也不要空。每条至少记：风险描述、来源类别、主责任人、当前状态、下一次复核时间。字段太多，填的人会开始糊弄，糊弄两次整张表就失去可信度。
- 风险描述
- 一句话写清动作、对象、可能后果，不写抽象标签。
- 来源类别
- 对应前面五类之一，拿不准就先挂「待确认」。
- 主责任人
- 只写一个人，协作方进备注。
- 当前状态
- 四档固定词，别自创。
- 下一次复核时间
- 按业务变化触发，而不是按固定周期。
复核节奏跟着业务走，不跟着日历走。上线新功能、接入新工具、换供应商、人员交接，这四件事发生时必须回头看一遍台账。定期核对时优先翻「接受」状态的条目，这类大多是当时判断不重要，事后最容易变成事故。如果业务处于强监管行业，台账字段要按监管要求来，这套自拟格式只能当补充。
新人最容易踩的几个坑
- 把合规风险等同于违法风险，其实大量条目只是合同瑕疵、流程缺失、留痕不足；
- 只盯数据不盯内容，内容类风险传播快、举证难，常常比数据类更早爆；
- 把工具当答案，工具只能帮你发现问题，处置决定还得人来做；
- 一个人闷头判断，拿不准的先挂「待确认」，找业务、法务、技术各问一轮再定。
还有一个容易被忽略的坑：把风险清单当成一次性交付物。业务一变，清单就过期。判断清单是否还有效，看最近一次复核时间是否晚于最近一次业务变化，晚于就说明还没失效，早于就该重跑一遍识别流程。
下一步想看看不同接口和工具在数据留存、调用限制这些具体字段上的差异，可以去站内工具目录和价格追踪页面对照当时的记录，再回来完善你手上的动作清单。→常见问题
合规风险是不是就是法律风险？
不是。法律风险指可能违反法规被处罚的那部分，合规风险范围更宽，还包括合同瑕疵、流程缺失、留痕不足、资质不齐等够不上违法但会被追责的情况。做台账时建议分开标注，处置动作和紧急程度不一样。具体口径可以到站内术语对照页核一遍再定。
小团队没有专职合规，怎么起步最省力？
先别搭体系，只做一件事：把「谁在什么工具里把什么数据发给谁」列成一张表，四列填完，你会立刻看到几个说不清楚的地方，那就是你的第一批风险条目。等业务稳了再补分类和责任人。企业办公场景的自查做法可以参考站内的自查与操作建议那篇。
识别出来的风险，什么情况下可以判定为「接受」？
只有在你能说清楚三件事时才标「接受」：风险后果大概是什么、为什么现在不处理、以及什么条件下必须重新评估。三件事说不清就不是接受，只是没管。标了接受的条目要单独列出来定期回看，别混在已缓解里。企业风险评估该包含哪些内容，站内那篇里有更细的拆解。
