合规与规范的区别

刚进公司的人常被两个词绕住：同事说「这不合规」，法务说「这违反规范」，听起来像一回事，处理方式却差很远。一个踩了可能被罚款、被通报、被追责；另一个多半是内部通报、绩效扣分、流程整改。把两者混着用，最典型的后果是——该找法务的时候你去找了主管，或者该改流程的时候你把它当成生死线。这篇把来源、约束力、谁说了算三件事拆开讲，再给一套能照着走的判断顺序。

刚进公司的人常被两个词绕住：同事说「这不合规」，法务说「这违反规范」，听起来像一回事，处理方式却差很远。一个踩了可能被罚款、被通报、被追责；另一个多半是内部通报、绩效扣分、流程整改。

把两者混着用，最典型的后果是——该找法务的时候你去找了主管，或者该改流程的时候你把它当成生死线。这篇把来源、约束力、谁说了算三件事拆开讲，再给一套能照着走的判断顺序。

来源不同：一个来自外部，一个来自内部

合规的源头在外部：法律法规、监管要求、行业标准、平台规则、合同约定，它们不是你们公司写的，也不会因为你们内部开会就改。规范的源头在内部：公司制度、部门作业手册、团队约定、客户交付规范，是组织自己定的，可以改，也常常真在改。

合规（外部来源）

法律法规、监管要求、行业标准、平台规则、合同约定，公司只能遵守和落地，不能自己改。

规范（内部来源）

公司制度、部门作业手册、团队约定、交付模板，公司自己定，也会自己修订。

重合地带

外部要求被抄进内部制度后，同一句话同时有内外两种性质，要单独标出来。

• 看到一条要求，先问「谁写的、写给谁的、违反了谁会来找我」。
• 外部机构来问，是合规问题；只有自己人来问，多半是规范问题。
• 如果找不到出处文件，先按规范处理，别当成法律义务往下传。

约束力不同：一个带法律后果，一个带组织后果

合规的约束力是刚性的，违反了可能面对行政处罚、民事赔偿、合同违约，处理主体是监管机关或对方当事人。规范的约束力是组织性的，违反了通常走内部流程：提醒、通报、绩效、调岗、撤销权限，处理主体是你的上级、HR 或内审。

别误判的两种情况：一是行业标准、平台规则这类非法律文件，写进合同后就有了合同层面的约束力；二是内部规范被引用进合同附件，也会变成对外义务。具体某条要求归哪一类，别凭印象，去 安全与合规（/safety） 核对站内当下的分类口径。

三步判断法：遇到一条要求先归位

1. 找出处这份要求写在哪个文件里，是外部发布还是内部发布，适用范围是什么。找不到原文就先标记为待确认。
2. 问后果如果违反，来追责的是监管方、合作方还是公司内部。这一步基本决定你该抄送谁、走哪条流程。
3. 定动作合规问题走法务或合规岗确认，规范问题走流程修订或上级确认，两条路不要混着报。

• 把「我们一直这么做」当合规依据——习惯不是出处。
• 把「法务没说话」当默许——沉默不是授权。
• 把内部模板里的措辞当成法律原文——模板不是法条。

新人自查清单：入职头几周能做的事

头几周不用把制度全背下来，但要把「来源栏」和「找谁」这两件事弄清楚。下面这份清单可以直接照着走，做完基本能分清日常遇到的要求属于哪一类。

• 把岗位相关的制度文件找齐，逐一标出来源栏，不标来源的先按规范处理。
• 列一份「遇到问题找谁」的小表：合规类找法务或合规岗，流程类找直属上级，技术类找对应负责人。
• 每周复盘一次自己判断过的条目，看有没有把规范当法律义务往下传。
• 涉及数据出境、个人信息、算法与深度合成这类题目，直接找专业岗，不要靠通用判断。

什么情况下不适用：标准更严、边界更细的题目，通用判断会失效。相关口径可以从 安全与合规术语对照（/ai-dict/category/safety） 起手，再回到 安全与合规（/safety） 核对当时的说明。