企业合规管理三张清单怎么写

很多合规专员被要求「把三张清单交上来」，但翻开制度文件只写了要建清单，没说每张清单写几列、谁来填、填到什么颗粒度算合格。结果交上去要么是风险清单一条套一条的空话，要么三张写成了同一张。这篇按落地顺序拆开讲：每张清单解决什么问题、栏目怎么设、和其他两张怎么咬合，最后给一份自查顺序，让你交上去能被人看懂、也能被检查。

很多合规专员被要求「把三张清单交上来」，但翻开制度文件只写了要建清单，没说每张清单写几列、谁来填、填到什么颗粒度算合格。结果交上去要么是风险清单一条套一条的空话，要么三张写成了同一张。这篇按落地顺序拆开讲：每张清单解决什么问题、栏目怎么设、和其他两张怎么咬合。

先记住一个判断标准：三张清单不是三份平行文件，而是一条链。风险说「可能出什么事」，责任说「谁负责盯」，措施说「怎么防、怎么查」。三张之间靠同一个编号串起来，改一张能牵动另外两张；串不起来的，交上去大概率会被打回来重写。

先分清三张清单各管一段，别写成一件事说三遍

最省事的做法是先给三张清单各定一句话职责，贴在文档首页。写的时候对照这句话自查：如果一条内容放在两张清单里都说得通，说明你没分清它到底属于哪一段，要么拆成两条，要么归到更靠前的那张里去。

• 第一张管「可能出什么事」：把业务里可能踩线的情形按领域列出来，颗粒度到具体场景而不是法条标题；
• 第二张管「谁负责盯」：每一条风险落到岗位而不是落到部门，写清主责、协办、审批三层；
• 第三张管「怎么防、怎么查」：对应的制度、控制动作、检查频率、留痕方式；
• 三张之间用同一个编号串起来，改一张能牵动另外两张，否则就是三份互不相干的文件。

风险清单怎么设栏位：来源、描述、触发条件、等级

风险清单最容易写虚，问题大多出在描述那一栏。合格的写法是「场景 + 行为 + 后果」，例如「销售向客户口头承诺效果」，而不是「宣传风险」。后者读起来像目录，业务部门看完不知道该防什么，检查的人也没法判断你有没有覆盖到真实业务。

等级判定不用自己发明一套，给出口径就够了，具体分档阈值去安全与合规分区里当时有效的材料核对。真正决定这张清单能不能被业务用起来的是「触发条件」这一栏：写清什么信号出现就要回看这条风险，比如客户投诉集中出现、监管口径变化、关键岗位换人。

来源

制度条款、监管问询、内部举报、事故复盘，写在备注里而不是删掉，方便追溯这条是怎么来的

触发条件

什么信号出现就该回看这条，没有这一栏，清单建完就再也没人翻

描述

场景加行为加后果，读的人能立刻对号入座

等级

给判定口径即可，具体阈值到站内当期材料核对

责任清单：落到岗位、写清权限，别只写部门名

责任清单的核心不是「归属」，而是「找得到人」。一行一条责任人，主责、协办、审批分开填。只写部门名等于没人负责，出事时所有人都会说「这不是我们一个部门能定的」。

1. 先列岗位把风险编号对应到具体岗位，而不是对应到部门，写完检查有没有哪一条只有部门。
2. 再分权限把「有权叫停」和「负责执行」区分开，这两件事经常落在不同岗位上，出事时的决策点就在这里。
3. 对齐分工和站内三道防线的分工说明对齐，避免业务、合规、审计三边都说不是自己的事。
4. 补交接人员变动时的交接写进栏位备注，否则换个人这份清单就废了。

措施清单：控制动作、频率、证据、复查人

措施清单的验收标准很简单：每条措施都要能回答「做了没有」和「做了留下什么」。答不上来第二问的动作不算措施。比如「定期培训」这种写法，培训完有什么产出、谁保存、下次什么时候看，全都没交代，检查时只能靠嘴说。

频率要写周期而不是写「定期」，检查动作要配一个明确的产出物：记录、报告、审批单都行，关键是它真实存在于某个系统或台账里。一条高风险通常至少对应一条预防性动作和一条发现性动作，只有预防没有发现，等于假设不会出事。

交之前按这个顺序自查一遍

自查要按固定顺序来，顺序错了会反复返工。先查编号，再查颗粒度，再查责任，最后查证据链。原因是前面几项不过关，后面的检查基本白做：编号串不起来，你连该核对哪几条都找不到。

1. 查编号三张清单能不能靠编号互相找到对方，找不到就回去补编号，这是后面所有检查的前提。
2. 查颗粒度翻风险描述，看有没有出现只有法条名、没有业务场景的条目，有就重写。
3. 查责任看有没有哪一条只写了部门、没写岗位，顺便确认主责和审批不是同一个人。
4. 查证据链挑几条措施，去系统或台账里试着翻出对应留痕，翻不出来说明这条措施是纸上动作。

这套顺序也适合拿来做年度复审。复审时不用从头重写，按顺序过一遍，把触发条件命中的风险挑出来重点看，其余保持稳定即可，这样清单才不会被写成一年一换的模板。