企业合规管理的三张清单是什么

很多合规岗第一次接到「编三张清单」的任务时，手里只有一份上级通知和一个截止日期，不知道清单之间怎么衔接、字段该留哪些、编完放哪。这篇不讲概念史，只给编制顺序、字段建议、评审与更新节奏，以及最常见的几种编废了的信号排查。数字口径和监管条文以站内安全与合规栏目为准。

很多合规岗第一次接到「编三张清单」的任务时，手里只有一份上级通知和一个截止日期。打开空白表格才发现真正麻烦的不是写不写，而是三张清单之间怎么衔接、字段留哪些、编完放哪、什么时候算失效。这篇不讲概念史，只按编制顺序把每一步该做什么说清楚，顺带把最常见的几种「编废了」的信号列出来。

先说一句口径问题：涉及监管条文、数据留存要求、脱敏标准这类会变的数字和表述，本文一律不写死，请到站内安全与合规栏目核对当时的版本。下面所有字段建议都是模板级的参考，具体以你单位上级主管部门当年下发的模板为准，两者冲突时以后者为准。

三张清单到底指哪三张，各自回答什么问题

很多人以为三张清单是三份平行的表格，其实它是一条链。第一张回答「有哪些风险」，第二张回答「谁来管、怎么管」，第三张回答「做到没做到、出没出事」。缺哪一张，链条就断在哪一段。

风险识别清单

按业务环节、按外部监管要求把风险点排出来，解决「有哪些」的问题

管控措施清单

把每个风险点落到岗位、动作、频次和留痕物，解决「谁来管、怎么管」

检查与整改台账

记录动作有没有做、发现问题怎么处理、什么时候关闭，解决「做到没做到」

• 第一张解决「有哪些风险」：按业务、按部门、按外部监管要求把风险点排出来。
• 第二张解决「谁来管、怎么管」：把每个风险点落到岗位、落实动作、落实频次和留痕物。
• 第三张解决「出没出事、做到没做到」：也就是检查与整改记录类的台账清单。
• 三张不是并列的三份表格，而是一条链：没有第一张，第二张落不到具体风险上；没有第三张，前两张永远是纸面材料。
• 要区分「制度里有」和「清单里有」：制度写原则，清单写可勾选、可追责的具体条目，写不成勾选项的条目基本会烂尾。

谁牵头、谁填、谁签字：把责任先钉住

三张清单编不下去，十有八九不是方法问题，是责任没钉住。合规或法务部门通常只做方法论、模板和汇总，具体条目的内容必须由业务条线的经办人填，否则条目会写得又空又对不上业务。

• 每个条目至少留两个名字：内容责任人（懂这项业务的人）和确认责任人（部门负责人），两者不能是同一人。
• 给角色写清交付物，而不是写「配合」：谁在什么时间交出什么字段的表格，这是清单能不能收上来的关键。
• 跨部门共用流程（比如采购、外包）容易出现两个部门都以为对方在填，牵头人要提前指定唯一主责方。
• 如果单位已经有统一制度管理平台，不要另起一套签字链，把字段映射进去即可。

第一张：风险识别清单的字段怎么定

第一张清单最容易写虚。判断标准很简单：把一条描述拿给不熟悉该业务的人看，他能不能说出「要做什么动作」。说不出来，就说明这条还没写到可核查的粒度。

依据来源一栏千万别省。它是你后续面对外部规则变动时唯一的筛查入口。规则一改，你直接按这一栏筛出受影响条目，比整份重读一遍省事得多。风险等级的判定口径也要写下来，否则分级就是拍脑袋。

第二张：管控措施清单怎么落成动作

第二张清单的核心不是写得多，而是每条动作都能回答三个问题：谁、多久做一次、做完留什么。第三个问题最关键，它决定了这条动作能不能被第三张清单验证。

1. 先把动作分两类预防型动作（审批、授权、双人复核）和发现型动作（抽查、对账、日志巡检）。两类都要有，只有审批没有抽查的清单通常撑不住检查。
2. 再把频次写实别写「定期」，写按周还是按月。写不出频次的，说明这个动作还没想清楚由谁执行。
3. 最后指定留痕物审批单、抽查记录、对账截图、巡检日志，写在字段里，告诉执行人做完要留什么。
4. 验证一遍拿第二张的留痕物去对第三张台账能不能找到对应记录，找不到就回头改动作定义。

第三张：检查与整改台账留什么证据

第三张清单常被做成流水账。其实证据只留三类就够：谁在什么时间做了这个动作的记录、发现的问题描述、处理结果与关闭时间。附件是什么形式不重要，能不能还原过程才重要。

• 每条证据要能指回第二张清单的具体条目，指不回去说明前面的动作定义得太虚。
• 长期挂在未关闭状态的问题要单独标出并写明原因，比反复新开条目更能说明管理状态。
• 检查结论别只写「已检查，无问题」，至少写明检查范围、样本量口径和检查人。
• 涉及个人信息的检查记录，留存与脱敏口径按站内相关页面执行，别把明细直接摊在共享盘里。
• 同一问题反复出现时，把复发次数记进去，它是判断管控动作有没有真正生效的直接依据。

评审、发布与更新节奏怎么安排

清单编完不是结束，评审和发布方式决定了它后面能不能用。发布前至少过一遍三方评审：业务自评、合规复核、分管负责人确认。评审意见要留痕，这是后续追责和免责的分界线。

更新触发条件比更新周期更值得写。上面这四类情况出现就该触发一次修订，而不是干等年度例行。常规节奏建议是每年做一次全量审视加若干次局部修订，局部修订只改受影响条目，避免整份重写导致历史记录断档。

另外把清单编号和版本号写进表头，纸质版和电子版同时归档。最常见的翻车场景是检查时拿出两份清单都说不清哪个是最新的，这一条比内容本身还容易被扣分。

编废了的四个典型信号与排查顺序

下面四个信号是实际工作中最常见的失分点。看到任意一个，别急着整份重编，按后面的排查顺序一层一层过。

• 信号一：条目描述读完不知道要做什么。排查方式是拿一条给不熟悉该业务的人看，问他要执行什么动作。
• 信号二：三张清单条目数量对不上。通常说明第二张没覆盖全第一张的风险点。
• 信号三：所有条目都是同一个风险等级。说明分级口径根本没定。
• 信号四：检查记录只写「已检查，无问题」。说明动作定义没落到留痕上。

排查顺序建议：先看第二张能不能对上第一张，再看第三张能不能对上第二张，最后才看表述粒度。一次只改一层，三层同时动会乱。还有一个判断提醒：清单越长不等于越合规，条目多但没法核查的，在外部检查里反而是减分项。

和 AI 工具、系统化台账怎么配合

现在不少单位想用工具先把初稿搭起来，这没问题，但边界要划清。工具擅长做归类和字段校验，不擅长判断严重程度。风险描述和等级判定这两件事必须有人复核，模型很容易把不同严重程度的事情写成同一个句式。

• 用工具做初稿归类和字段完整性校验可以，风险描述和等级判定必须人复核。
• 要用系统承载清单，先确认三件事：权限分层能不能做到、历史版本能不能留、导出格式能不能对上上级报送要求。
• 涉及数据、个人信息类的合规条目，落地动作直接引用站内已有的操作类文章，不重复造条目。
• 单位已有统一制度管理平台时，别另起一套表格体系，把字段映射过去即可。
• 工具输出只能当底稿，评审签字环节不能省，否则留痕链就断了。

如果你正在选承载工具，建议先到站内工具目录看一圈现成能力，再去价格追踪页核对当时的报价数字，别只看演示效果。清单编制本身是方法论问题，工具只是把留痕和版本管理变省事。