合规和合法性有什么区别

刚接合规的活，最容易卡在一个问题上：监管文件要求的、合同约定的、行业规矩说的，跟「只要不违法就行」到底是不是一回事。老板问「我们这么做合法吗」，你答合法，他以为事情就结束了，结果后面被监管点名。这篇不背法条，只讲两件事怎么分、什么时候会分叉、遇到具体事情按什么顺序判断。

刚接合规的活，最容易卡在一个问题上：监管文件要求的、合同约定的、行业规矩说的，跟「只要不违法就行」到底是不是一回事。老板问「我们这么做合法吗」，你答合法，他以为事情就结束了，结果后面被监管点名。这篇不背法条，只讲两件事怎么分、什么时候会分叉、遇到具体事情按什么顺序判断。

先给一个能记住的分法：合法是别人给你划的底线，合规是你自己必须守住的一整圈边界。底线只有一条，边界是一圈。很多人第一次做合规，把这一圈缩成一条线，后面的麻烦基本都从这儿来。

先分清两条线：合法是底线，合规是承诺

合法看的是有没有踩到法律法规的禁止性规定，判断依据是国家和地方的成文法与监管规章，属于「不做就出事」的下限。合规看的是你有没有守住对你适用的规则集合，除了法律，还包括监管要求、行业规范、合同义务和你自己公开承诺过的标准。一个是判断题，一个是比对题。

合法性

问的是「有没有被明文禁止、要不要许可或备案」，结论通常是能或不能

合规性

问的是「对你适用的那一堆规则，你逐条守住了没有」，结论是一张对账单

两者的关系

合法是合规的必要条件，不是充分条件；合法但违规，是常态

两条线不重合的典型情形：行为完全合法，但违反了你用户协议或隐私政策里的承诺，一样构成合规问题。反过来也成立：有些合规要求本身不是法律，比如某些行业自律规则，不遵守不会直接被处罚，但可能影响资质和合作。判断的时候不要拿其中一个的结论去回答另一个的问题。

什么时候两者会分叉：四个常见场景

• 你对外承诺得比法律更严，比如隐私政策里写了不做某类用途，后来想用，法律没禁止，但你已经把自己框住了
• 监管口径比法律条文更细，法律只写了原则，配套办法或指引把动作要求写死，只看法律就会漏
• 业务跨了地区或者跨了行业，同样的做法在 A 地合法、在 B 地属于要事先报备的范畴
• 上下游合同里被加了义务，对方要求你做的审查或留痕，法律没规定，但签了就得做

这四种分叉里，第一种和第四种是自己给自己上的约束，第二种是外部规则下沉，第三种是适用范围变了。处理手法不一样：自己承诺带来的分叉要去改承诺口径或补流程，外部规则下沉要去追配套文件，适用范围变了要重新确定属地或行业口径。别用一种办法套到底。

拿到一件具体的事，按这个顺序判断

1. 第一步 先问合不合法查有没有明确的禁止性条款、需不需要许可或备案。结论不确定就先停下来别推进，把不确定的点写下来，别用「应该没事」糊过去。
2. 第二步 再问合不合规列出对这件事适用的规则清单。法律之外的监管文件、行业要求、合同条款、你自己对外承诺过的标准，全都算进去，一条一条列。
3. 第三步 做差距比对把实际做法和清单逐条对，标出「已满足」「有差距」「不确定」三档。不确定的那一档不要自己拍板，标出来往上交。
4. 第四步 定动作和留痕有差距的写下整改动作、责任人和时间点。判断依据和判断过程留成书面记录，后面被问起能拿出来，换人接手也看得懂。

这个顺序的关键是别跳步。很多人一上来就做规则清单，把合法性判断省略了，结果清单做得再全，底线上有个坑没看见，等于白做。反过来，只判断合法性不做比对，就是开头说的那种「答合法然后被点名」。

几个容易误判的地方

这四种误判有一个共同点：拿「别人」或「过去」代替「现在对你适用的规则」。合规判断永远要落到三件事上——谁、现在、适用哪条。三个要素缺一个，结论就不可靠。

一份可以照着走的自查清单

• 先定适用规则清单：法律、监管文件、行业规范、合同义务、公开承诺，五类分别列，别混在一起
• 再标风险等级：把「违法风险」和「违约/违规风险」分开标，两类处理优先级不一样
• 然后定责任人和时间：每条差距对应到具体的人，别只写到部门
• 最后定复核节奏：规则或业务有变动时重新跑一遍，判断口径写下来

清单本身不用做得很漂亮，能看出来每条差距对应谁、什么时候动、依据是什么，就够了。真正会出问题的往往不是没清单，而是清单做完就锁进抽屉，下一次业务变动没人想起来去翻它。

合法回答的是「能不能做」，合规回答的是「这么做要满足哪些条件」。