合规风险和内部控制区别

内控和合规经常被混着叫，真到分工时又互相等对方出手：合规盯的是守不守外部规矩，内控盯的是流程能不能稳住不出事。结果就是风险事项没人认领，或者两边重复要资料。这篇给一份对照表、一份协作清单和排查顺序，帮两个岗位把边界划清而不是互相推。

内控和合规经常被混着叫，可真到分工的时候又互相等对方出手：合规觉得流程执行该内控管，内控觉得合不合法该合规判断。结果就是风险事项没人认领，或者两边重复向业务要同样的资料，业务被折腾两遍。这篇不谈概念史，只给一份对照表、一份协作清单和一套排查顺序，帮两个岗位把边界划清，而不是互相推。

先给一个粗糙但好用的说法：合规盯的是守不守外部规矩，判断依据在组织之外；内控盯的是流程能不能稳住不出事，判断依据在流程本身的设计和执行。这两句话记住了，后面九成的扯皮都能顺着往下拆。下面按目标范围、重叠协作、误判信号、落地流程四段展开。

先分清：一个对外的「守规矩」，一个对内的「稳流程」

合规的目标是让组织行为符合法律法规、监管要求和对外承诺，判断标准来自外部规则，改不改由监管和法规说话；内控的目标是让流程可靠、资产安全、信息真实，判断标准来自流程自己的设计和执行是否到位。一个向外看，一个向内看，这是最底层的差别。

合规的判断依据

外部法规、监管口径、对外承诺，组织自己说了不算

内控的判断依据

流程设计是否覆盖风险、执行是否留痕、职责是否分离

合规的切法

按外部规则清单切，比如数据、广告、劳动、行业准入

内控的切法

按业务循环切，比如采购、销售、资金、IT、人事

切法不同，所以两边的清单经常对不上：合规清单里一条「个人信息处理要合规」，落到内控要拆成授权获取、留存期限、权限管理好几个控制点。看到对不上不用慌，这是正常的，关键是建立起映射关系，而不是硬把两套清单合成一套。什么时候不适合这么切？组织小到没有独立内控岗时，一个人兼两摊反而更顺，但检查表建议仍保留两套，别混着写。

重叠区怎么划：三道防线里谁主谁辅

按三道防线的框架，业务部门是第一道防线，负直接责任；合规与内控通常同属第二道防线，审计属第三道；这个结构下两者是并列关系，不是上下级。谁也不是谁的执行部门，所以「你帮我把这条落到流程里」这种话要写成明确的动作分工，而不是口头人情。

• 协作原则一：合规定要求，内控定动作。合规说清「不许做什么、必须满足什么」，内控说清「靠哪个环节、谁签字、留什么记录」。
• 协作原则二：共用的证据只收一次。合规要的制度文本和内控要的执行记录清单，先合并成一张表再发给业务，减少重复填报。
• 协作原则三：两边判断不一致时，先把争议写进台账并定升级路径，别拖到出问题才吵谁负责。
• 不适用提醒：组织规模很小、没有独立内控岗位时，硬拆两套人马通常不如一人兼着，但保留两套检查表，免得边界一会儿清一会儿糊。

四个误判信号，说明边界已经糊了

边界糊不糊，不看制度文件写得多漂亮，看日常动作。下面四个信号出现任何一个，基本可以判断两个岗位的职责已经开始互相渗。发现之后别急着开会改制度，先顺着信号倒查是哪一方的输入没到位。

• 合规在追流程执行细节，比如单据签字顺序、审批时点，说明内控动作缺位。
• 内控在判断某个做法合不合法，说明合规输入没到位，规则清单没交到内控手里。
• 同一个风险事项被两边各建一张台账、口径还不一致，事后对不上数。
• 外部规则已经变了，内控流程和控制点还在按老口径跑，没人回看。

1. 第一步，列外部义务把适用的法规和监管要求拉成清单，标注对组织的影响面。合规主笔，具体条款口径到站内安全与合规术语页对照，别自己造词。
2. 第二步，映射控制点逐条问「靠哪个流程环节保证」。能映射的写进内控文档；映射不上的标为待补，别假装已经覆盖。
3. 第三步，定证据与频率每个控制点写清留什么记录、谁查、多久查一次。这三样缺一样，事后都没法证明控制真的跑了。
4. 第四步，设复核节奏外部规则变化时，先审合规清单，再回看内控流程，两个动作不要并行改，否则对不上是谁引起的变动。
5. 第五步，定争议升级路径两边判断不一致时，谁拍板、多久给结论，要先写进制度，别留到出了事再吵。

这套流程走完一遍，通常会暴露一批「以为有人管其实没人管」的环节。暴露出来是好事，比外部检查时才发现强。至于各家的模型、工具和价格数字，跟内控合规本身无关，需要比价时到站内价格追踪页核对当时的数字就行，别把外部供应商的报价单当成流程依据。