合规管理三个清单模板

合规检查前一晚才发现材料散在邮箱、聊天记录和共享盘里，是很多合规负责人的真实处境。这篇不重复讲原则，只给三张清单模板的骨架：风险识别清单、责任分工清单、留痕归档清单，每张说清列头怎么设、填到什么颗粒度、谁来维护、多久复核一次。适合手上要交材料、要给老板一个可执行动作的人。涉及具体价格与罚则口径的数字，一律到站内页面核对当时的版本。

合规检查前一晚才发现材料散在邮箱、聊天记录和共享盘里，是很多合规负责人的真实处境。这篇不重复讲原则，只给三张清单模板的骨架：风险识别清单、责任分工清单、留痕归档清单，每张说清列头怎么设、填到什么颗粒度、谁来维护、多久复核一次。

适合手上要交材料、要给老板一个可执行动作的人。涉及具体价格与罚则口径的数字，一律到站内页面核对当时的版本，本文不写死任何数值。

先搞清这三张清单各自解决什么问题

风险识别清单

回答「怕什么」，把业务动作映射到可能的违规后果，颗粒度到流程而不是口号

责任分工清单

回答「谁管」，一条风险必须落到一个岗位，落到部门的清单通常等于没人管

留痕归档清单

回答「怎么证明」，证据存在哪、命名规则是什么、谁能取用、留多久

三张清单不是并列文件而是链条：识别出的每条风险，都要在另外两张里找到对应行，找不到就说明清单没写完。给同事交接时，用这条链条做验收标准最省口舌。

模板一：风险识别清单怎么列列头

• 「潜在违规情形」写到能被业务同事看懂的程度，比如某个对外投放动作可能踩哪条线，而不是写「违反相关规定」。
• 剩余风险不要只填高/中/低，补一句判断理由，否则半年后没人记得为什么这么定。
• 适用边界：单一业务线的小团队可以先做一页纸版本，多条业务线并行时再拆表，硬套大表反而没人填。
• 行业口径差异较大时，把参考资料放进站内合规资料页，别在表格里贴外链。

小团队常见做法是按业务流程从头到尾走一遍，每走一步问「这里最坏会出什么事」，边走边填。这种方式比先建模板再填内容快，适合第一次做清单的人。

模板二：责任分工清单别写成部门通讯录

• 第一责任岗写岗位名不写姓名，人员变动时只改一栏，不必整表重做。
• 必须留升级路径一栏：常规情况谁签、异常情况几小时内报给谁，没有这一栏的清单在真出事时用不上。
• 复核岗和审批岗分开写，同一个人兼任两个角色时要显式标注，避免检查时被追问。
• 交接方式写清楚：离岗前向谁移交、移交后谁确认，别只写「做好交接」。

与已有分工的衔接：三道防线的职责边界可以对照站内安全与合规分区的相关页面，避免同一件事三个部门都以为对方在做。判断标准很简单，拿一条具体风险去问三个部门，如果三个都回答「不是我们」，这条就是清单里的空白点。

模板三：留痕归档清单决定你能不能自证

• 命名规则要可检索，建议按「日期+业务环节+版本」结构，别用「最终版」「最新」这类词。
• 取用权限和销毁方式两栏最容易被跳过，但审计和检查恰恰会问这两点。
• 什么情况下不适用：纯内部、不涉及个人信息和对外承诺的临时讨论，可以只留结论不留过程，全部留痕会让成本远超收益。
• 归档位置写到具体层级，比如「共享盘/合规/项目名/审批」，只写「共享盘」等于没写。

给团队一个可执行动作：每次产生证据的人负责按规则命名并放到指定位置，清单维护人每周抽查几条，抽查结果不记名反馈。这套动作跑一个月，命名规则基本就能落地。

三张清单的更新节奏与自查动作

1. 确定触发点业务动作变更时、监管口径变化时、发生风险事件后各触发一次更新，而不是只靠年度大扫除。把这三个触发点写进清单首页的维护说明里。
2. 只改差异每次更新只改变化的行并留版本记录，全表重写会让上一版无法追溯，检查时说不清哪一版是当时有效的。
3. 季度自查固定问三个问题：有没有新增业务没进清单、有没有条目超过一年没人碰、有没有责任人已离职但岗位未更新。
4. 核对口径具体监管口径与罚则数字，到站内安全与合规分区的资料页核对当时版本，本文不写死任何数字。

如果三张清单都在一个人手里，建议至少把责任分工清单同步给业务负责人确认一遍，确认记录本身就是留痕的一部分。团队规模变大后，再按业务线拆分维护人。