全面梳理内控、风险和合规管理相关制度

要整理制度的时候最容易卡在两处：一是三类制度混成一锅，写出来的文件谁都能管、谁都不负责；二是清单做完就锁进抽屉，出问题时翻不出证据。这篇给一份可照着勾的梳理顺序，从范围划分到文件归位到复核节奏，每一步都写明做到什么程度算过关，以及哪些情况下这套做法不适用。

整理制度最容易卡在两处：一是三类制度混成一锅，写出来的文件谁都能管、谁都不负责；二是清单做完就锁进抽屉，出问题时翻不出证据。这篇给一份可以照着勾的梳理顺序，从范围划分到文件归位到复核节奏，每一步都写明做到什么程度算过关。

需要先说明的是，下面这套做法是给有一定规模、存在部门分工的企业用的。十人以下的小团队硬套反而增加维护成本，判断标准很简单：如果你的业务动作不需要跨部门授权，就不必拆成三类。另外文中所有涉及具体数字的地方，都建议到站内页面核对当时的口径。

第一步：先把三类制度的边界划开

内控管流程与授权，风险管识别与应对，合规管外部规则的落地落地。三者可以共用一套文档模板，但不能共用一份责任清单，否则同一件事会出现三个责任人或者零个责任人。划边界的具体做法是拿现有制度逐条问一句「这条对应的是哪一类」，答不上来的先挂在待定区，不要硬塞。

内控

规定一件事谁批、批到什么层级、走什么流程

风险

规定可能出什么问题、谁来盯、出了怎么应对

合规

规定外部规则怎么落到日常动作和检查里

待定区

暂时归不了类的条款集中放，等边界清楚再分配

划不清的常见后果是同一件事被三份文件重复规定，执行时按哪份都行，出事时按哪份都不算数。判断是否划清可以用一个动作验证：随便抽一条业务动作，看能不能在三十秒内说出它归哪一类、责任人是谁。说不出来就说明边界还没划完。

第二步：把已有制度盘成一张清单

盘点不是把文件名抄一遍，而是把每份制度的实际覆盖范围写清楚。清单至少四列：制度名称、覆盖的业务动作、责任人、上次修订时间。四列里最容易被漏的是责任人，也恰恰是审计时最先被问的一列，缺列的优先补这一项。

• 已发布但没人执行：文件在，但没人按它走
• 执行了但没文件：实际操作有，但拿不出依据
• 文件过期没改：业务变了，制度还停在上一版
• 归类待定：上一节没划清的条款集中列在这里
• 责任人空缺：暂时定不了人的也要写明暂定归属

前面这几类情况要单独标出来，它们是审计和内部检查时最常被追问的。口径参照可以去 安全与合规（/safety） 看分区里的现有条目，避免和站内已有内容重复造轮子，也能顺便对照自己漏了哪些方向。

第三步：让每一条制度都有能翻出来的证据

制度能不能立住，不看写得多漂亮，看出事时能不能翻出对应的记录。每条制度后面要写清它的证据形式：审批记录、系统日志、会议纪要、培训签到，选一种能长期留存且不易篡改的。选完还要确认这种形式在现有系统里真的能导出，否则等于没留。

1. 定证据形式一条制度对应一种主要证据，不要写「相关记录」这种模糊说法，验证方式是让执行人现场演示怎么调出来
2. 定留存时长与权限留存多久、谁能看、谁能改要单独定，默认所有人都能改等于没留
3. 标对接人跨部门共用的制度在归档时写清对接人，避免出现文件在但没人认领的情况
4. 做一次抽查随机抽三条制度，按写的方式去翻证据，翻不出来的当场改证据形式

留证方式可以参照 出事后的举证与维权：截图、账单、会话记录怎么留才有用（/guides/dispute-evidence-keep） 里的思路，区别只在于企业场景要按制度维度归集，而不是按单次事件归集。

第四步：定复核节奏和触发条件

固定节奏按业务变化速度定，变化快的半年一次，慢的一年一次就够，关键是写进制度本身，而不是记在某个人的脑子里。记在脑子里的节奏，换个人接手就断了。触发式复核比固定节奏更关键：业务上线新系统、换供应商、进新地区、组织架构调整，这四种情况一发生，相关制度必须重过一遍。

复核的产出不是「已复核」三个字，而是一段说明：改了哪条、为什么改、谁批的。没有这段说明，下次复核时没人知道上一版为什么那么写，只能推倒重来。判断一次复核是否算完成，就看能不能回答这三个问题。

谁来做、做完给谁看

梳理工作由一个人牵头收口，各部门出人配合填自己那部分。多头同时改文档几乎必然冲突，最后谁也不知道哪份是最新的。牵头人不需要懂所有业务，但必须能拍板「这条归谁」，拍不了的要往上抛，不能悬着。

最终产出建议是一张总表加一套文件目录，总表给管理层看进度，目录给执行层日常查。交付后留一次集中答疑，把「这条到底归谁管」这类争议当场定下来，比事后反复拉扯省事。对照表类内容不要照抄外部模板，按自己实际有的部门和系统重写一遍，抄来的表填不满就会空着，空着就等于没有。