合规风险和其他风险的区别

做合规的人常被问一句话：这事到底算不算合规风险？很多团队把所有麻烦都塞进合规口径，结果该报的没报、不该兜的兜了。这篇不讲法条，只给两条判断线——风险从哪来、出事之后谁来找你，再配一张对照表和一套落到纸面的动作。

做合规的人常被问一句话：这事到底算不算合规风险？很多团队答不上来，干脆把所有麻烦都塞进合规口径，结果该报的没报、不该兜的兜了，合规部门成了万能背锅位。其实判断没那么玄，就两条线：风险从哪来、出事之后谁来找你。这两条线一交叉，大部分边界问题当场就能定性。

这篇不讲法条，只讲分类方法。先把来源和后果各看一遍，再配一张对照表和一套能落到纸面的动作。看完你应该能做到：拿到一个具体事件，五分钟内说清它属于哪类风险、该走谁的流程、要留什么材料。

先看来源：风险从哪长出来

合规风险的来源在企业外部——法律法规、监管文件、平台规则、合同约定。关键特征是：企业自己能改的是行为，改不了规则本身。你只能调整做法去贴合规则，没法跟规则谈判。这一点决定了合规工作的重心是识别规则、留好证据，而不是算经济账。

合规风险

来自外部规则，应对靠流程和证据，不靠预算对冲

财务与市场风险

来自价格、汇率、需求波动，靠经营决策和金融手段对冲

运营风险

来自人、流程、系统自身失效，内部流程没坏不代表对外合规

外部规则

法律法规、监管文件、平台规则、合同约定，企业改不了，只能适配

一个场景经常同时踩两条线。举个例子：一家五人小团队把客户数据同步到了境外服务器，同步动作本身失败导致数据丢失，这是运营事故；同步成功了但没做必要评估和告知，这是合规问题。两件事来源不同、责任人也不同，必须分开定性再分派，混在一起处理往往两头都做不好。

再看后果：出事之后找上门的是谁

第二条线看后果由谁施加。合规风险的后果来自外部主体：监管问询、行政处罚、平台下架、合作方解约，主动权和裁量权都不在企业自己手上。你无法决定对方查不查、罚多少、什么时候来，这种「结果不由自己定」的属性，是合规风险和其他风险最硬的区别。

• 其他风险的后果多在企业内部结算：利润减少、交付延期、客户流失、系统不可用，通常能用钱和时间修复，损失可估、可控。
• 合规风险往往还带追溯属性：事情做完了也可能被倒查，所以证据链要在做的当时就留，事后基本补不出来。
• 外部主体施加的后果还可能是连锁的：一个平台动作会引发合作方重新评估，影响范围超出最初那件事本身。
• 不适用的情况也要说清：纯内部制度缺失、尚未涉及任何外部规则的，先按管理问题处理，别急着扣合规帽子，否则风险台账会越来越没人信。

对照表怎么用：把一件具体的事放进四列里逐列填，四列里有三列落在外部或不可控一侧，基本可以按合规风险处理。这只是初筛口径，最终定性要让法务或外部规则本身的表述说话，别用内部习惯替代规则原文。价格与规则口径这类会变的东西，到 /sites 核对当时的页面说明。

对照表与三步自查

上面那张表是给分类用的，具体判断按下面三步顺序走，每一步都要有答案，答不上来就先暂停定性。

1. 一问有没有外部规则管这件事把可能相关的法规、监管文件、平台规则、合同条款逐条列出来，找到原文出处。找不到任何外部依据的，先归到管理问题，不进合规台账。
2. 二问违规后谁会来追、追到什么程度写出最可能施加后果的外部主体，以及它惯常的动作类型（问询、处罚、下架、解约）。这一步决定上报层级和响应时效，而不是决定要不要处理。
3. 三问手里有没有能证明做对了的材料规则出处、内部决策记录、执行时间点、对外沟通留痕，缺哪一块就标出来，作为整改项挂到责任人名下，别只写「有风险」三个字。

判断结论要写进风险登记表，格式建议固定成四栏：事项、定性类别、依据的规则条目、责任人与留证位置。定性写「合规」的必须能指到规则原文，否则退回重判。想看合规范围本身怎么划，可以和站内合规包括哪些内容那篇配合看，那篇讲范围，这篇只解决分类。

落地动作：把分类变成可执行的事

分类不是写报告用的，是要改变流程走向的。同样是发现一个问题，定性不同，接下来找的人、走的流程、留的材料都不一样。所以每类风险至少要在制度里绑定一个触发动作，让一线不用现场请示就知道该找谁。

留证的最小集合就四样：规则原文出处、内部决策记录、执行时间点、对外沟通留痕。这四样缺任何一块，事后都补不回来——倒查时你没法证明当时是按规则做的。五人以下小团队也一样做，规模小不代表可以省，至少把「谁判断、判断结果写哪」这两件事定死，比买任何工具都管用。

最后是定期回头核。外规会变、平台规则会更新、合同会续签，当初的定性可能不再成立。建议按固定节奏把台账过一遍，规则口径以站内安全与合规分区的最新页面为准，发现定性变了就走一遍前面的三步自查，把新结论和旧结论都留在记录里。具体节奏和判定口径的更新，到 /guides 核对当时的说明。