企业合规管理的三张清单

很多团队做合规，制度写了一厚摞，真出事却说不清哪个业务、哪个环节该查什么。问题多半不出在制度本身，而是没把风险、义务、责任拆成能对得上的三张清单。这篇讲三张清单各管哪一段、条目怎么写才不是空话，以及怎么避免三张表变成三套互相打架的口径。

很多合规团队都有这个毛病：制度文件写了一厚摞，真出事被问“这个业务该查什么、谁负责”，却答不上来。问题往往不在制度写得少，而是没把风险、义务、责任拆成能互相对得上的三张清单。说白了，清单不是给检查组看的文档，而是让你在出事前就知道该查哪、谁去查、查到什么程度算过关。

这篇讲三张清单各管哪一段、条目怎么写才不至于变成空话，以及怎么避免三张表最后变成三套互相打架的口径。适合正在从零搭体系、或者手里已经有一堆旧表格想重整的合规部门参考。数字类的监管要求，请到 /guides 里对应主题页核对当时的版本，别拿旧表当准绳。

三张清单各管哪一段，别混着写

先分清分工：风险清单回答“可能出什么事”，义务清单回答“法规和合同要求我们做什么”，责任清单回答“谁在哪个节点负责做到”。三张表如果各写各的、彼此不引用，一定会对不上号——风险清单里列了数据泄露，义务清单里找不到对应的条款依据，责任清单里也没有任何人认领这个动作，这就是典型的三套口径。

核心原则是「风险—义务—责任」一一映射：任何一条风险，都要能找到对应的义务来源和责任人；找不到，就说明清单有缺口，要么补义务，要么判断这条风险其实不受监管约束、应当删掉。反过来也一样，义务清单里每一条都得挂到某个风险或某个流程节点上，挂不上的条款大概率是抄来的模板，留着只会增加维护负担。

条目怎么写：从「一句口号」改成「可验证的事实」

清单最常见的死法是条目写成口号。“合规意识不足”“加强管理”这类表述没法验证，执行的人不知道干什么，审计的人也不知道查什么。改法是把每条都写成能对应到具体业务动作和后果的事实，下面按三张表分别说写法。

• 风险条目：写清触发场景、涉及的业务动作、可能的后果类型，例如“销售在合同里承诺未经验收的交付周期”，而不是“合同管理有风险”
• 义务条目：落到具体条款来源和适用条件，明确写清什么情况下不适用，将来法规更新时才知道该改哪一行
• 责任条目：写到岗位而不是部门，并注明该节点的动作是审批、复核还是留痕，否则执行时互相推
• 严重程度：用区间或分级描述，别写拍脑袋的具体分值；要对标外部标准就到 /rankings 看当时的评测口径

写完后别急着评审十轮，先拿三个真实业务场景去套——比如一次新客户签约、一次外包采购、一次对外宣传投放——走不通的条目当场改。场景套不通，通常说明条目写得太抽象，或者责任岗根本不存在。这个方法比开会逐条念效率高得多。

清单怎么用起来：评审、自查、留痕三处挂钩

清单写完锁进抽屉是最浪费的做法。它至少要挂到三个动作上，才能变成体系而不是文档：新业务上线前的评审、定期自查、以及全过程留痕。三处挂钩的方式不一样，下面按顺序说。

1. 评审前置新业务上线前用风险清单过一遍，评审记录直接引用清单条目编号，形成可追溯的证据链；评审人签字时对应到责任清单的具体岗位
2. 自查发放定期自查按责任清单逐岗发放，谁的节点谁填；回收结果反哺风险清单，把新冒出的业务场景补进去，形成闭环
3. 版本留痕清单每次修改记录谁改、改了什么、依据哪条法规或哪个事件；没有版本管理的清单，审计时基本不被采信

什么时候不适用：业务高度单一、监管要求明确且流程固定的小团队，直接沿用监管给的检查表更省事，自建清单反而增加维护成本。另外，如果团队连基础的业务流程图都画不出来，先补流程再谈清单，否则清单条目会全部悬空。

最后提醒一句判断标准：如果你的三张清单里，任意抽一条风险都能在三十秒内指到义务来源和责任人，这套清单就是能用的；指不到，说明还停留在写制度的阶段。工具层面要挑合规相关软件，可以到 /tools/speed-test 先测一轮实际表现再决定。