企业合同风险清单 合同管理内部控制风险点

合同出问题，往往不是某一条写得差，而是流程里没人管、没人查。签之前谁审、签之后谁盯履约、到期谁提醒，这些环节一断，条款写得再漂亮也白搭。这篇按合同从立项到归档的顺序，把常见风险点排成一张清单，每条都给对应的内控检查动作，法务和合同管理员可以直接拿去对着自己公司的流程打勾。文里不写死具体数字和法条编号，涉及价格与工具口径的地方，给的是站内该去核对的页面。

先搭一张合同风险地图：按流程分段，而不是按法条编号

很多公司做合同风险清单，习惯照着法条编号一条条抄：合同法第几条、内控规范第几章。抄完贴墙上，真出事还是找不到责任人。问题不在法条不对，而是法条是「按类型」分类的，而风险是「按流程」发生的。把合同从生到死切成四段，风险点自然就挂在每一步上，谁漏了一眼看得出来。

按段位放风险，好处是每一段都能问同样三个问题。这三个问题就是你的自检钩子，不用背法条，走到哪一步问哪三步。适用范围要写清楚：小额、标准化、长期框架下的重复采购，节点可以合并、审批可以降级，但下面这两个不能省。

1. 第一步：这一段谁负责写死到岗位而不是部门。立项段是业务发起人还是商务？审批段是部门经理还是法务？责任人写「谁都能管」等于没人管。验证方式：随便抽一份历史合同，问三个同事这份合同归谁跟进，答案不一致就说明责任没落位。
2. 第二步：有没有留下可追溯的记录不是留痕就算数，要能还原过程。审查意见、审批时间、用印申请、对方回函，哪怕是一条聊天记录截图，也要能串成时间线。验证方式：拿一份半年前的合同，不看当事人，只靠系统里的记录能不能讲清它经历了什么。
3. 第三步：出问题能不能追到人区分「知道是谁」和「能追责」。前者靠记忆，后者靠授权文件和流程记录。验证方式：设想这份合同明天被投诉，你能否在十分钟内指出是谁批的、谁盖的章、依据什么做出的判断。

走到签署与用印这一段，有两件事任何简化都不能砍：相对方资质核验、用印授权确认。前者是「对方有没有资格签」，后者是「我们这边谁有权签、章谁能盖」。这两步是合同的底裤，别的节点可以按金额和标准化程度合并，这两步合并了就等于把风险敞口直接摊开。判断边界时要写进制度：什么条件下走简化流程、谁来批这个简化、简化后哪些动作仍是强制项，而不是让业务自己拍脑袋决定。

按段位挂风险

把合同生命周期切成四段，风险点挂在每个段上，不按法律条款编号归类。

三问自检

每一段都问：谁负责、留没留记录、能否追到人，三个都答得上才算过关。

不可简化项

小额或标准合同可以合并节点，但相对方资质核验与用印授权两步必须保留。

适用边界

长期框架下的重复采购可用简化路径，前提是简化条件、审批人和强制动作都写进制度。

相对方与授权环节：最容易出事，也最容易走过场

签合同这一步，业务同事最容易被「赶紧签、别耽误事」这句话推着走。但真出事的时候，十有八九卡在相对方和授权上：对方公司注销了、经营范围根本不覆盖这次交易、来签字的人没授权、公章刻的跟合同抬头对不上。这些都不是法律难题，是核对动作没做。

• 对方催得特别急，理由永远是「今天不签就来不及了」；
• 要求先签合同、资料后补，说「回头给你发过去」；
• 签约主体和打款主体不是同一家公司；
• 只给复印件、截图、照片，不给原件核；
• 授权文件写得很含糊，没写清楚授权范围或权限期限。

上面这些信号单独出现不一定是坏事，有些确实只是流程粗糙。但当两条以上同时出现，就该停下来，别让业务同事自己判断「应该没事」。判断标准很简单：解释成本越高的异常，越应该往上一级推。

1. 做核验表把上面几个核验项做成一张可勾选的表格，每项后面留「核对结果」和「备注」两栏，别用自由文本写小作文。
2. 留三样痕迹每一项都要有：谁核的、核了什么、哪天核的。只写「已核」不算，要写清楚核的是原件还是截图。
3. 核不到的上升任何一项核不到、或对方只能提供复印件，就把这张表连同说明一起提交法务，由法务决定签不签、加什么条款；业务不要自己拍板。
4. 存档核验表和授权文件一起归入合同档案，后续出问题能回溯到当时谁做了什么判断。

起草与审批：条款风险和流程风险要分开看

起草和审批这两件事经常被混在一起谈，其实是两条线上的风险。条款写得好不好，决定以后真出事时你有没有抓手；流程走得对不对，决定这份合同在公司内控上站不站得住。前者是业务和法律问题，后者是权限和留痕问题。混着看，容易一边骂业务不专业、一边把该走的流程也放过去了。

条款侧：几处模糊就是给后面留纠纷

• 标的与交付标准：交付什么、什么算交付完成、按什么标准判定；只写「按行业惯例」基本等于没写
• 价款与支付节点：付款条件绑在哪个事件上，是签约、到货、验收还是开票；节点不清，财务不敢付、对方催着要
• 验收方式：谁验收、多长时间内提异议、逾期不提算不算默认通过
• 违约责任：违约金怎么算、上限多少、什么情形能免责
• 争议解决与管辖：仲裁还是诉讼、去哪个机构或法院；这一条写错，后面维权成本直接翻倍

判断这几个条款是否合格，有个笨办法：让不熟悉这笔业务的人读一遍，看能不能说清「什么时候该给钱、什么算做完、做砸了怎么办」。说不清就说明还得改。不是每一条都要写得很细，但凡是会牵涉钱和货物交付的，别用形容词糊过去。

流程侧：审批、权限、留痕、版本

流程风险不看合同内容，只看这份合同是怎么被批准出来的。同样是内容没问题的合同，走没走分级审批、有没有超权限签字、改了多少版、最终用印的到底是哪一版，这四件事只要有一件说不清，审计来查就是问题。这和对方是谁、合同金额大小都没关系，纯粹是自己内部的账能不能对上。

做一张审批权限对照表

内控里最实用的一个动作，是把「谁批哪一档」提前写下来，而不是每次签合同临时问。按金额和合同类型两个维度切档，比如常规采购、服务、销售、框架协议各自一列，金额区间分几档，每档对应到具体岗位而不是部门。表定下来之后，起草人自己就知道该找谁，不用每次都往上问一圈。

1. 把对照表落到文件上写成一页纸的表，注明生效范围，发到起草岗和审批岗，别只放在法务的电脑里
2. 用印前比对版本拿最终待签文本和最后一版审批过的文本逐条对，重点看金额、期限、管辖、付款条件这几个字段是否一致
3. 留修改痕迹保留修订记录和版本号，确保一份合同只有一个唯一版本号，防止出现两个都盖了章的版本
4. 抽查复核定期抽几份已签合同，倒查审批链和版本记录能不能对上，对不上就说明对照表没被真正执行

具体到自己公司该分几档金额、哪些类型要单独列，没有通用答案，得结合业务体量定。想参考同类企业的常见划法和内控节点，可以到 指南中心（/guides） 找相关的合同与内控条目，按当时的实际内容核对，别照抄别家的档位。

履约、变更与归档：签完才是风险真正开始的时候

合同盖章那一下，很多人心里就松了一口气，觉得事办完了。其实真正的麻烦从这一刻才开始：交付拖了没人催、该验收了没人组织、对方换了履约方式也没人对比。等到出问题再翻合同，往往发现证据散落在几个人的微信和邮箱里。这一节就讲签完之后怎么盯。

• 把履约拆成三类节点：交付、付款、验收，每类至少落一个提醒日期，别只记「大概几月」。
• 每个节点挂到具体岗位，不写「业务部负责」这种模糊说法，写人名加备份人。
• 变更和补充协议不能绕过主合同那套审批，谁批的主合同就找谁批变更。
• 到期前留足提前量做决定，续签、终止、重谈都要在到期前走完内部流程。

1. 建履约台账一合同一行，字段包含对方名称、我方责任人、当前节点、下一动作、下次动作日期。用共享表格起步即可，重点是全组同一份，别各存各的。
2. 设置节点提醒交付、付款、验收各提前一段合理时间提醒责任人，提醒发到岗不发到群。到期前提醒单独设一条，触发续签或终止的决策流程。
3. 定期比对实际履行每隔一段时间拿实际交付、实际付款、实际验收情况跟合同约定对一遍，长期不一致就是风险信号，要写进台账并上升。
4. 变更走同级审批任何口头调整先落到书面，补充协议、变更单按主合同同级审批走，审批单与主合同一起存档。
5. 成套归档原件、审批单、用印记录、变更文件成套归档，电子件按统一命名规则存放，保证后续检索和审计取证能一次找齐。

这套动作不适用于一次性小额采购、当场结清的零星交易，硬套台账只会增加无效工作量。判断标准是：只要合同跨期、涉及验收或后续付款，就值得进台账；纯即时结清的，留好凭证即可。真拿不准，去站内的判断标准页面看当时的说明。