合规管理制度与风险管理制度的区别

很多管理者是被同一份文件逼到这个问题上的：老板说要做合规制度，风控负责人说我们已经有风险管理制度了，两份到底是不是一回事、要不要各写一份。写重了团队执行起来互相打架，写漏了审计一来就露馅。这篇不堆概念，只给对比维度、判断标准和一份可照着落的文件分工表。

很多管理者是被同一份文件逼到这个问题上的：老板说要做合规制度，风控负责人说我们已经有风险管理制度了，两份到底是不是一回事、要不要各写一份。写重了团队执行起来互相打架，写漏了审计一来就露馅。这篇不堆概念，只给对比维度、判断标准和一份可照着落的文件分工表。

先分清两套制度各自盯什么

合规管理制度盯的是「外部要求有没有被遵守」，包括法律法规、监管规则、行业标准、合同承诺。它的判断口径只有符合或不符合两种，结果往往落在处罚、资质、牌照这类硬后果上。风险管理制度盯的是「不确定性能不能扛」，动作是识别、评估、排序、应对、监控，判断口径是可能性乘影响，候选答案通常有规避、降低、转移、接受四种。两套制度处理同一件事时，主语是不一样的。

合规视角

这条规矩我们守没守，守不住就是违规事件

风险视角

守不住会亏多少、值不值得先花钱防，防到什么程度算划算

共用的东西

同一批业务事实、同一批责任人，只是提问方式不同

别混的地方

把合规红线写成「建议关注」会削弱约束力，把风险判断写成「必须执行」会捆住业务手脚

不适用的情况也要说清：已经做成一体化管理体系的公司，这两层往往是同一份制度里的两个章节，不必强拆成两份文件。硬拆反而会让一线员工不知道以哪份为准，尤其是小团队。

治理逻辑和牵头人不一样

合规制度的驱动力来自外部，典型的牵头角色是合规负责人或法务，向董事会或管理层汇报的是「有没有违规事项」。风险管理制度的驱动力来自内部决策，牵头角色通常是风控或内控部门，汇报的是「风险敞口变化和应对进度」。牵头人不同，汇报语言就不同，两份制度放在一起才不会互相打脸。

• 产出物对比：合规制度给的是义务清单、红线清单、审批流程、违规处理流程；风险管理制度给的是风险清单、评估报告、应对方案、监控指标
• 快速判断法：通篇在说「谁必须做什么、做了会怎样」，偏合规；通篇在说「可能发生什么、影响多大、怎么处理」，偏风险
• 汇报线对比：合规异常走违规上报通道，风险指标恶化走风险管理通道，两条线要能独立触达管理层
• 资源分配参考：合规投入优先保底，风险投入按排序分配，两者抢预算时先保合规底线

不适用的情况：小微团队人手有限，牵头人常常是同一人，制度可以合并成一份，但里面的条目仍要按上面两类分开写，否则执行时分不清哪条是硬约束、哪条是参考建议。合并可以，混写不行。

落文件时怎么分：一份对照表

这张表最实用的是最后一行的衔接点。很多公司两份制度各自完整，但查起来各说各话，原因就是没有共用编号。编号一共享，审计时抽一条风险问对应的合规义务，顺着编号就能追到，追不到就说明脱节了。

怎么落地：先做哪一份、多久复看

1. 第一步：盘点外部义务列出适用的法律法规、监管规则、行业标准、合同承诺，形成合规义务清单。验证方式：随便挑一条业务动作，能指出它对应清单里的哪几条义务。
2. 第二步：把义务映射成风险把合规义务逐条映射成「不遵守会怎样」，标注可能性和影响，排完序再决定资源投在哪。验证方式：风险清单里的条目都能反向追到一条义务或一个业务目标。
3. 第三步：定两条汇报线合规异常走违规上报通道，风险指标恶化走风险管理通道，避免一个信号被两边互相推。验证方式：分别模拟一次上报，看两条线能不能各自走到该到的人。
4. 第四步：定复看节奏外部规则变化或有监管动向时先更新合规清单，业务、组织或技术架构变化时先跑一轮风险评估。验证方式：把最近的规则变化和业务变化各拿出一条，看是否触发了对应的复看。

复看频率不用拍脑袋定死。合规清单的更新节奏要看监管动向，风险清单的复评周期要看业务变化速度，具体数字和当时的行业惯例可以到站内的指南中心核对，站内也有工具目录可以挑合适的评估模板。