企业合同风险清单和合同管理内控风险点

合同出问题，往往不是没签，而是签之前没人逐条看、签之后没人盯着履行。法务一个人扛不住，业务部门又说不清自己该管什么。这篇把合同从立项到归档拆成几个环节，每个环节给一份检查项和责任人归属，最后教你把履约预警做成能跑的机制，遇到纠纷也知道先翻哪几页。

合同出问题，往往不是没签，而是签之前没人逐条看、签之后没人盯着履行。法务一个人扛不住，业务部门又说不清自己该管什么。这篇把合同从立项到归档拆成几个环节，每个环节给一份检查项和责任人归属，最后讲怎么把履约预警做成能跑的机制。

先说清楚：这份清单不是让你照抄一份模板就完事，而是给你一个判断顺序——先看哪、后看哪、什么情况下可以跳过哪一步。具体业务场景差异很大，凡是拿不准的，先按保守口径处理，再走内部审批放行。

风险清单怎么写才有人用

很多企业的合同风险清单做成一页上百条，最后谁都不看。真正能被执行的清单，是按环节排的：每个环节只留两三条最容易被跳过的风险，写清触发后谁受影响、谁负责处理。清单长度控制在一张表两屏内，业务岗一眼能对上自己那一行。

• 条款类风险必须写「不适用情形」，比如框架协议下的订单是否单独审批、关联方交易是否豁免常规流程，否则一线会一刀切执行
• 清单条目与岗位绑定，每条都写清谁发起、谁复核、谁拍板，避免出事时互相推
• 每半年跟一次业务变化，新签的业务类型先补条目再放行，别等出了纠纷才往表里加
• 审查留痕比审查结论更重要，批注、修改稿、沟通记录都进合同档案，日后能还原当时为什么这么写

签之前查主体、抠条款

主体资信主要看三样：营业执照与经营范围是否覆盖交易内容、授权代表是否有有效授权文件、涉诉与被执行记录是否影响履约能力。这三样查不到或查不清，就不能进入签署流程。想了解更细的合规核对口径，可以到 合同变更风险怎么提前约定（/guides/contract-change-risk-clause） 对照着看。

条款重点盯五类：标的与验收标准、价款与支付节点、交付与风险转移、违约责任与赔偿上限、争议解决与管辖。每类都要写到「谁在什么时间做什么、做不到怎么办」，光写责任方向没用，写不出动作的条款等于没写。

1. 核主体拿营业执照、授权委托书、签约人身份信息三份材料交叉核对，经营范围与交易内容不匹配的标记出来重新确认
2. 抠条款逐条标注五类重点条款，缺项的当场补，模糊的写具体数字区间或判断标准，不要留「合理期限」这类词
3. 设变更门槛金额较大或期限较长的合同，加一条变更与解除的前置条件，口头改条款一律不认，须走书面确认
4. 留痕归档审查批注、修改稿、往来沟通记录一并进合同档案，标注版本号和修改人

履约风险怎么盯出预警

履约监测最容易死在「没时间盯」上，所以要把关键节点先抽成日历：付款日、交付日、验收期、质保起算、续约或到期提醒，提前一定天数自动推给业务负责人和法务。具体提前多少天，按业务节奏定，长周期项目可以分两次提醒。

预警不等于拦截，分级处理才能跑得下去。三道信号要同时看：节点逾期、对方履约异常（延迟交付、质量争议、频繁变更要求）、外部信号（对方涉诉、股权或实控人变动）。任一条触发就走人工复核，复核结论和动作要留记录。

• 监测口径固定并留痕，谁在什么时候收到什么提醒、做了什么动作，这些既是内控证据也是复盘材料
• 预警规则上线前先跑一轮历史合同做对照，看误报多不多，误报太多业务会直接把提醒关掉
• 到期和续约提醒要单独设一条，别等到合同过期才发现没续也没终止
• 外部信号靠定期批量查询，不要依赖人工想起来才查，频率按合作方重要性分档

内控要点：把责任落到岗位和台账

职责分离是底线：谈合同的、审合同的、用印的、付款的不能是同一个人。小团队人少也要做形式上的复核签字，哪怕只是换个人在审批流里点一下，也能形成互相牵制。相关角色划分和边界，可参考 合规内控与风险管理部门的角色（/guides/compliance-internal-control-risk-roles）。

印章管理

谁保管、什么情况能用、外带怎么登记，印章台账与合同台账定期核对，缺号跳号要能解释

合同台账

至少覆盖编号、相对方、金额、起止日期、当前节点、责任人、归档位置，能按到期日和责任人筛选

跨部门边界

法务管条款与争议、业务管履约与验收、财务管付款与票据，边界写清楚再执行

定期对账

台账与实际付款、发票、验收记录按期对一遍，差异项当月查清，不要积压

判断这套内控是否真的在跑，看三个现象：抽查合同时能不能立刻调出完整档案；预警记录里有没有空档期；差异项是不是当月就处理掉了。三项都过，说明机制活着。如果只有台账没有动作记录，那只是记录，不是内控。