企业合规管理体系有效性评价指引

年度合规评价一到，最常见的情况是：制度文件齐了，真要打分却说不清哪条算有效；指标一堆，流程谁做、留什么证据没人定。这篇不讲概念，只给可执行的评价视角——指标怎么拆、流程分几步、证据留到哪一层，以及什么情况下这套口径不适用。涉及外部规定原文的，到站内页面对一遍当时的版本。

年度合规评价一到，最常见的情况是：制度文件齐了，真要打分却说不清哪条算有效；指标列了一堆，流程谁做、留什么证据没人定。真到复核的时候，只能翻出一摞 PDF 说「我们都有」，却答不上「有没有在跑、跑出没跑出结果」。

这篇不讲概念，只给能照着跑的评价视角——指标怎么拆、流程分几步、证据留到哪一层，以及什么情况下这套口径不适用。涉及外部规定原文的，到站内页面对一遍当时的版本，别拿旧稿当依据。

先对齐什么叫「有效」：三层口径别混

评价第一步不是打分，是先把「有效」拆开。建议分成三层：制度有没有（设计有效）、有没有在跑（执行有效）、跑出没跑出结果（结果有效）。三层混在一张表里评，最后总分再漂亮也说不清问题出在哪。

• 设计层别去问员工感受，直接看制度清单有没有版本号和生效范围；
• 执行层别只看签字，抽一两笔真实业务从申请走到归档；
• 结果层别只看有没有出事，看整改后有没有复发；
• 三层之间做一次互斥检查，同一条证据别给两个维度都加分。

指标怎么拆：从条款落到可验证的动作

很多评价表的问题不在指标数量，而在指标写不成动作。一条指标至少写清三件事：看什么证据、谁提供、合格与不合格的分界描述。写不出这三样的，先别放进表里，放进去也只是给人主观发挥的空间。

1. 把「有制度」转成动作不问有没有培训制度，看培训签到、考核记录、未通过人员的后续处理；验证方式是随机抽两期培训材料，能对上名单才算数。
2. 按风险敞口配权重不按部门人数或文件页数分配，高风险业务线的执行层指标权重应更高；定完后回头检查一遍，是不是把高风险项的权重压低了。
3. 做一次互斥检查逐条对比指标，确认没有同一条证据支撑两个维度；如果一条证据能同时给设计和执行加分，拆开或删掉其一。
4. 给不适用留口子业务停摆、无相关业务线的主体，允许标注「不适用」并写理由，比强行凑分更经得起复核。

评价流程五步走：谁发起、谁取样、谁签字

流程最怕边走边改。建议把每一步的输出物提前定死，谁做、做完交什么、谁签字，都在开始前写清楚。中途改抽样规则或权重，事后很难解释。

穿行测试建议选一两笔真实业务从头走到尾，比对制度写的和实际做的差在哪。差在审批层级、差在时限、还是差在留痕，整改动作完全不同。打分阶段先给单项结论再合成总分，合成规则事前定好，别等结果出来再调。

• 报告里每条结论后面跟证据编号，方便复核时直接翻；
• 整改单必须写责任人和复查时间，没写复查时间等于没闭环；
• 本次未覆盖的主体和未验证的假设，单独列一节说明。

证据与报告：留什么、留多久、谁来核

证据不分类，复核时就是一锅粥。建议分三类：制度类、执行类、结果类。每类标注来源系统、导出时间和经手人；截图类证据要带时间和上下文，别只截中间一段。

制度类证据

制度文本、修订记录、审批链，重点看版本和生效范围

执行类证据

审批流水、培训记录、系统日志，重点看能不能追到具体单据

结果类证据

违规记录、整改单、复发情况，重点看闭环和重复发生

报告结构按「结论—依据—缺口—整改」四段写，结论先行。缺口部分要写清是设计缺口还是执行缺口：设计缺口改制度，执行缺口改流程和培训，两者的整改动作不能混。评价结论还要给适用边界，说明本次未覆盖哪些主体、有哪些假设没验证，别让报告被当成全面背书。

这套口径也有不适用的时候。集团刚整合、系统正在切换、或某条业务线当期没有实际业务发生的，强行按同一套指标打分只会产出噪音。遇到这类情况，先出「暂缓评价说明」，写清原因和下次触发条件，比硬填一张表更稳妥。