合规风险识别评估参照集团公司

集团型公司的合规岗常遇到这种局面：总部发来一套合规风险识别与评估的口径，各子公司业务不一样、监管口径也不一样，直接照搬要么落不下去，要么落下去也是走形式。这篇讲的是参照的正确姿势——哪些必须跟总部对齐、哪些可以按属地调整，以及对齐之后清单、台账和评估节奏怎么排。

集团型公司的合规岗常遇到这种局面：总部发来一套合规风险识别与评估的口径，各子公司业务不一样、监管口径也不一样，直接照搬要么落不下去，要么落下去也是走形式。真正麻烦的不是「要不要参照」，而是分清参照的边界——哪些动作必须和总部一个模子，哪些可以按属地情况自己定，标准一模糊，后面就是反复返工和解释成本。

这篇只讲一个角度：参照总部标准时，口径怎么对齐、清单怎么映射、节奏怎么排、证据怎么留。方法适用于有多家子公司、总部有统一合规框架的集团；如果总部只给了原则性要求、没有可执行的评估方法，那下面讲的映射步骤就要先往前挪一步，先和总部把方法口径问清楚再动手。

参照总部，参照的到底是哪几样

很多人一上来就讨论「要不要跟总部一样」，其实要先拆清楚参照对象。总部那套东西通常是四类：风险分类框架、评估方法与评分口径、报告模板与留证要求、上报时限与责任分工。前两类是判断的底层逻辑，必须统一，否则各子公司得出的结论没法横向比较；后两类可以留属地弹性，只要不影响总部汇总。

• 把「必须对齐」和「允许本地化」列成一张对照表，别放在脑子里
• 对照表交给法务确认一次、交给业务部门确认一次，两边签字
• 确认后的版本作为后续所有评估的基准，改动要留版本号
• 属地监管有更严要求时，取严不取宽，并同步告知总部
• 总部口径更新后，先评估影响范围，再决定是否全量重跑

把总部清单映射到本地业务，怎么落

总部风险清单是通用件，落到子公司必须过一遍映射。做法是逐条问三个问题：本地有没有这个业务场景、对应哪个部门负责、现有控制措施是什么。三个问题里任何一个答不上来，这条就属于空白区，必须单独标出来，不能默认「总部有就等于我们有」。

1. 逐条过清单用总部清单做底表，每条填「适用 / 不适用 / 需改造」，不适用要写原因，不能留空
2. 确认责任部门每条风险指定一个主责部门和一个配合部门，避免落到「相关部门共同负责」这种没人认领的写法
3. 给现有控制打分按设计有效性和执行有效性两个维度粗评，只判断「够 / 不够 / 未知」，未知的排进下一轮核查
4. 标出本地新增属地监管、客户合同、行业惯例要求但总部清单没有的，单独列新增条目并说明触发来源
5. 双维度初筛按发生可能性和影响程度两个维度排序，把整改资源压在少数高优先级条目上

映射结果建议分三档：直接沿用、需改造、本地新增。这三档决定了后续工作量——直接沿用的只需定期复核，需改造的要排整改计划，本地新增的要从头建控制措施。不区分这三档，所有条目平均用力，最后哪条都没做扎实。这套方法在业务线单一的子公司里会比较顺；如果子公司之间业务差异极大，映射表要按业务线分开维护，不要合并成一张总表。

评估节奏与证据链怎么定

评估要分两类节奏。常规评估按固定周期滚动做，覆盖全部适用条目；触发式评估在监管新规落地、重大业务变更、发生事故或被举报后启动。两类都要在制度里写明触发条件，尤其是触发式——不写清楚，实际执行时永远是「等总部通知」。

每次评估至少留四样东西：评估底稿、风险清单版本、整改台账、复核记录。缺任何一样，事后被问「当时凭什么这么判断」都说不清。底稿比报告重要得多，报告是结论，底稿是推理过程，抽查时看的是后者。

• 台账要能回答「谁在什么时候把哪条风险降到什么程度」
• 责任人和完成时间必须落到人，不能只写部门
• 整改完成不等于关闭，要有独立的复核记录
• 清单版本要有编号和生效时间，避免新旧版本混用
• 总部汇总口径和本地台账字段不一致时，以总部字段为准做映射

几个常见的翻车点

下面这些坑，多数不是能力问题，是流程设计上少了一步造成的。对照自查比事后解释便宜。

• 只交报告不交底稿：总部要看判断过程，不是一页结论
• 总部清单直接复制进子公司制度，条目对不上业务，执行层很快就不看了
• 评估做完不更新清单，下一轮还在用旧版本，风险变化根本没被记录
• 把评估当成合规岗一个人的活，业务部门不参与，结论闭门造车，整改也推不动
• 偏离总部口径只在口头说，没有书面依据，审计一来就变成「擅自变更」

参照不是照抄，正文里连货币符号和「省下三成」这类具体分值都不要写；真要提数据，就到站内页面核对当时的数字。