合规管理三道防线分别是谁负责

很多公司挂了三道防线的牌子，真出事却发现没人认领：业务说风控没提醒，风控说业务没报备，审计说平时没人给材料。问题不在制度有没有写，而在每条线的职责边界、交付物和交接点没定死。这篇按「谁负责、交什么、怎么验证」把三道防线拆开讲，附职责对照表和落地步骤，具体数字与价格口径请到站内页面核对。

很多公司制度里写着三道防线，组织架构图上却找不到对应的岗；责任人写的是部门名字，人一走责任就断了。真出事的时候，业务说风控没提醒，风控说业务没报备，审计说平时没人给材料，三边都觉得自己没毛病。

问题不在制度写没写，而在每条线的职责边界、交付物和交接点没定死。这篇按「谁负责、交什么、怎么验证」把三道防线拆开讲。文中涉及的具体数字口径和行业对照，请到站内页面核对当时的版本，别拿本文当数据来源。

为什么三道防线一落到人头上就乱

最常见的症状是：制度里有三道防线的说法，但组织架构图里找不到对应的岗位；责任人一栏写的是「合规部」「业务部」这种部门名，而不是具体职位，人一调岗链条就断。这类问题多半不是执行不力，而是一开始切分方式就不对。

• 防线按风险类型切，而不是按业务流程切，结果一个业务动作横跨三条线，谁都能说自己只管其中一段。
• 第二道线既当裁判又下场干活，既写制度又替一线做决策，独立性没了，出了事也没法评自己。
• 第三道线只做财务审计，不做合规审计，业务层面的合规问题压根不在审计范围里。

第一道防线：业务与职能部门自己扛什么

第一道防线的定位是「风险的直接所有者」，不是「配合合规部」。谁做业务，谁就承担这项业务产生的一线合规责任，包括按制度执行、按流程留痕、发现异常第一时间上报。把一线当成被检查对象，这条线基本就废了。

这条线必须交出什么

• 流程里的审批记录，尤其是引入外部服务、对外提供数据这类动作的审批链路。
• 与第三方往来的合同、数据流向说明、使用场景描述，别只留一份合同扫描件。
• 日常自查记录，形式上可以简单，但要能看出谁在什么时间查了什么。

交付物缺失就等于这条线没履职。出事时说不清自己做过什么，光靠一句「我以为合规部会看」是不成立的。

什么情况下这条线不该背全责

涉及集团统一谈判、集中采购的第三方服务，一线只负责如实反馈自身使用场景和用途，条款层面的合规性归第二道线审。如果业务模式本身就是集团定的，硬压给一线承担条款责任，既不现实也没意义。

落到动作

每个业务域指定一名合规联络人，这个职责要写进岗位说明，不能只在会上口头指派。联络人的核心任务不是写材料，而是保证本域的动作有人盯着、记录有人收着、异常有人往上报。

第二道防线：合规、风控、法务的具体分工

第二道线负责定标准、给意见、做监测，核心产出是制度、清单、审查意见和预警记录，而不是替一线签字担责。这条线最容易走偏的地方，就是把「给专业意见」做成了「替业务做决定」。

内部再切一刀

法务

看合法性与合同条款，重点在约定本身站不站得住

合规

看外部监管要求和内部制度有没有被遵守，重点在流程有没有跑偏

风控

看敞口和阈值，重点在量上有没有越过自己定的线

三者口径不一致的时候，以书面会签结论为准，别靠会上一句「那就按合规的来吧」。会签记录本身就是二线的交付物之一，也是三线事后核查的对象。

两种典型越位

一种是合规部直接替业务做业务决策，短期看效率高，长期看责任全糊在一起；另一种是只做培训、不介入流程，一线永远拿不到能照着做的标准。两种情况都会让第二道线变成摆设。判断标准很简单：一线能不能拿到一份可执行的清单去干活。拿不到，说明这条线目前只在写文件。

第三道防线：内部审计怎么查才算数

第三道线的对象是「前两道线的工作本身」，不是直接审业务细节。它回答三个问题：制度设计有没有漏洞、执行有没有偏差、前两道线的记录可不可信。把三线当成第三层审批来用，是常见的误用。

交付物长什么样

• 审计报告，写清问题、涉及岗位、影响范围。
• 整改跟踪表，每条问题都要有责任岗、整改期限和复核方式。
• 复核结论，说明整改是否关闭、没关闭的原因是什么。

四项缺一项就不算闭环。只提问题不跟整改，三线就是在重复劳动。

独立性的红线

审计不能既设计制度又评价制度，这两件事放在同一个岗位身上，报告没人会信。人手不足的小团队可以委托外部机构做审计，但结论的采纳和整改动作仍然要留在公司内部，不能一并外包出去。

什么时候不适用

日常运营中的即时纠偏应该交给第一、二道线。审计节奏偏慢，通常是按周期跑的，拿它当实时监控用，等报告出来事情早过去了。

三条线之间的交接点在哪

三道防线能不能跑起来，关键在于交接时刻有没有人认领。交接主要发生在三个时刻：新业务或新工具上线前、发生异常或投诉后、定期复盘时。每个时刻都要明确谁发起、谁出意见、谁留档。

1. 上线前一线提交使用场景与数据流向说明，二线出书面审查意见。三线此时不入场，只在事后抽查审查质量是否到位。
2. 异常发生后一线先止损并留存原始记录，二线判断是否构成合规事件、决定要不要上报，三线评估处理过程本身合不合规。
3. 定期复盘二线提交监测与预警记录，三线用这些记录反查二线有没有漏看、有没有该报没报。

这条链路任何一环断掉，三道防线就退化成三张纸。复盘频次按业务变化速度定，业务换工具频繁的团队，周期要相应缩短。

一张职责对照表怎么填

职责对照表是这套东西能不能落地的最小载体。做法是按行写业务动作，按列写三道防线各自的职责、交付物和时限。每个格子都必须能填上一个具体岗位名称加一件具体产出物。

填「负责合规管理」这种话，说明这一格还没想清楚。填不出来的格子先标记出来，通常就是职责真空区，也是后面出问题概率最高的地方。表填完让一线的人自己读一遍，他看不懂或者不认，说明这张表只是写给检查看的。

落地时最容易踩的几个坑

• 把三道防线当成三级审批。审批链越长越安全是错觉，签字段数多了责任反而更模糊，线是职责分层，不是签字层数。
• 只考核第二道线。一线没有考核压力，制度自然执行不下去，考核指标要覆盖一线的执行与上报动作。
• 三线人员兼任二线工作。独立性直接失效，报告出来没人信，出了问题也没法追。
• 制度更新后不重新划线。业务模式变了，原来的责任归属可能已经不成立，至少每年把对照表过一遍。

怎么自检你司的三道防线是不是真在跑

自检别做问卷式打分，做倒查更有效。方法是从最近发生过的具体事项入手，往回追每一步是谁做的、留了什么记录、有没有人复核。查不出链路，说明这条线实际没跑起来。

1. 抽三件事挑三件近期真实发生过的事，覆盖上线、异常处理、对外发布三类动作中的至少两类。
2. 倒查链路对每件事追审批人、留档位置、复核人，任何一环空白都记下来，别用「一般都会」糊过去。
3. 看整改闭环翻上一轮审计或检查提出的问题，有没有人跟踪到关闭，没关闭的写清卡在哪。
4. 看更新频率比对制度版本与当前在用的工具和流程，制度停在上一版而业务已经换了工具，就是典型滞后。

风险点清单和检查思路可以参考站内的 /tools/quality-check 与 /tools/quality-monitor，具体判定口径以页面上的最新说明为准。自检结论别写「基本符合」，要逐条写成待办项、责任人、完成时间三件套。