合规包括哪些内容

刚被安排做合规，最容易卡住的不是不懂法条，而是不知道边界在哪：数据、内容、账号、供应商、宣传，到底哪些算合规的活，出了事该找谁。这篇按领域把合规的内容范围摊开，给一份可对照的清单和上手顺序，也说明什么情况下这套划分不适用。

刚被安排做合规，最容易卡住的不是不懂法条，而是不知道边界在哪。数据、内容、账号、供应商、宣传，到底哪些算合规的活，出了事该找谁。很多人一上来就买一堆法规汇编，结果三个月过去，连自己公司有哪些合规义务都没数清。

这篇按领域把合规的内容范围摊开，给一份可对照的清单和上手顺序。先讲怎么分层判断优先级，再讲通常覆盖哪几块，然后说清哪些归你主导、哪些只是你参与，最后给一个新人前几周的推进节奏。这套划分不适用的情况也一并说明。

先把合规拆成三层：底线、约定、自愿

合规义务看着杂，按强度其实能分三层。分层的好处是遇到不清楚该不该管的事，你能快速定位它属于哪一层，从而决定投入多少精力。三层里越靠下的越紧急，但越靠上的越容易被人忽略。

底线层

法律法规和监管要求，不做会直接挨罚，任何规模的公司都躲不掉，优先级最高。

约定层

合同、平台条款、供应商协议里的义务，违反通常赔钱或断服务，不一定违法但照样疼。

自愿层

行业标准、认证、客户要求，属于加分项，接不接取决于你面向谁做生意。

判断顺序是先看底线有没有踩，再看约定有没有违约，最后才轮到要不要追自愿标准。反过来先追认证、先做体系文件，是最常见的入门弯路。什么情况下不适用：如果公司已经拿了牌照或者处在强监管行业，专门要求会直接压过这套通用分层。

合规通常覆盖哪几块内容

通用场景下，合规工作大致落在下面几块。注意这里说的是内容范围，不是标准答案，具体到你的公司会有增减。领域之间交叉很多，尤其是数据和内容这两块，几乎和所有业务线都沾边。

• 数据与隐私：数据收集、存储、使用、出境、脱敏、留存期限，这块几乎和所有业务都交叉
• 内容与对外表达：生成内容标识、广告宣传口径、用户发布内容的管理与处置
• 账号与访问：账号归属、权限分配、最小权限、离职交接、异常调用与封禁风险
• 供应商与采购：第三方平台条款、数据处理协议、模型与工具的接入方式是否留痕
• 行业专门要求：金融、医疗、教育这类受监管行业另有专门的持牌和披露要求，通用清单覆盖不到

做覆盖度检查时，可以拿这张领域表对着你的业务一步步问：这条数据从哪来、存到哪、谁能看、留多久。回答不上来的地方就是需要补的空白，不用急着写制度。各家官方 API 的价格与模型资料库能帮你确认工具侧的接入方式，具体数字和条款到 /rankings 与 /price-watch 核对当时的页面内容。

哪些归合规管，哪些只是合规参与

新人最容易犯的错是把「我负责合规」理解成「这些事都我来做」。实际上多数领域是合规提要求、别人落地。分不清主导和参与，最后要么越权指挥业务，要么制度写完没人执行。

最容易扯皮的是数据流：合规提要求，工程给实现，双方对不齐就会出现制度写了但没人做。实操建议是每个领域都写清「责任人 + 合规能提的要求 + 验收方式」三栏，别只写责任部门。什么情况下不适用：十几人的小团队往往没有专职工程和运维，这三栏要合并到具体人头上，而不是部门。

新人上手的前几周按这个顺序走

顺序比内容重要。先画图、再看现有文件、再做一次小范围自查，最后才补长期机制。顺序反了，很容易做成一份漂亮的纸面合规，业务侧一点没动。

1. 先画数据流向图从用户输入到日志留存，标出每一步落到哪里、谁能访问，这张图后面反复用。
2. 过一遍现有制度和合同只记两件事：写了什么义务、谁来执行，别急着改，先把现状摸清。
3. 挑一个高风险场景做小范围自查跑通一次完整流程，比写一份完整手册有用，过程中暴露的问题才是真问题。
4. 再补台账与长期动作台账、留存期限、培训节奏这类动作放在最后，前面没有事实基础就是空转。

这套划分什么时候不适用

上面这套是给通用场景的合规新人用的，不是放之四海皆准。遇到下面几种情况，要换思路，否则会做很多无效功。判断标准很简单：看你的业务有没有额外约束、看团队有没有足够人手。

• 公司处在强监管行业或拿了牌照时，专门要求优先级高于通用领域划分
• 业务只面向境内单一场景、不涉及跨境和第三方模型时，数据出境和供应商条款这两块可以暂时压缩
• 团队小于十人、没有专职合规岗时，不要照搬大公司的分域模型，按场景而不是按领域推进更现实
• 公司刚起步、业务还没定型时，先盯底线层，约定层和自愿层可以按季度再看

工具侧的事也是一样。你不需要一次把所有平台条款读完，可以先到 /sites 看现有中转站与工具目录，把涉及数据处理和账号归属的部分挑出来确认。哪家适合先接入、哪些条款需要特别留意，站内 /tools/speed-test 也能帮你判断实际调用是否稳定，具体指标以页面当时显示为准。