保险合规三道防线包括什么

平时开会都说三道防线，真到出事复盘，往往分不清是业务没管好、合规没查出，还是内审没盯住。这篇按你的日常场景，把三道防线各自管什么、交接点在哪、哪些事不归它管讲明白，也给一份可以拿去对照岗位职责的清单。

平时开会都说三道防线，真到出事复盘，往往分不清是业务没管好、合规没查出，还是内审没盯住。结果就是会上互相看，事后写不清责任。这篇不讲概念史，只按你的日常场景把每道防线管什么、交接点在哪、哪些事不归它管讲明白。

先记住一句话：三道防线是责任层级，不是流程顺序。别理解成业务做完交给合规、合规做完交给内审的一条流水线，同一件事可能三道同时在场，只是看的点不一样。下面拆开说，最后给一份能直接拿去对照岗位职责的自查顺序。

三道防线到底指哪三道

很多机构的职责文件只写了部门名，没写动作，换个人执行就走样。判断一道防线该不该管某件事，看的不是部门抬头，而是它在这个环节里有没有决策权、有没有对外承诺、有没有独立检查的立场。

第一道

业务与 frontline 部门，对自己经手的业务合规性负第一责任

第二道

合规、风控、法务等职能管理部门，负责定标准、做审查和监控

第三道

内部审计，独立于前两道，对前两道是否有效做再检查

• 三者是责任层级不是流程顺序，同一事项可能三道都在场，只是视角不同
• 第一道是「做的人」，第二道是「定规则并盯着的人」，第三道是「查前两道有没有说到做到的人」
• 任何一道缺席，另外两道都会被动；常见毛病是第一道把判断全推给合规部
• 职责文件写到岗位和动作，别只写到部门，否则组织一调整就出现空白格

第一道防线：业务端自己该扛什么

第一道最容易踩的坑，是把合规部当成风险收容站：拿不准的都丢过去，等一个结论再动手。但业务才是第一责任人，合规给你的是意见，不是替你承担责任。产品设计、销售话术、渠道合作、客户资料收集这些动作，都要能留痕证明当时的依据是什么。

• 识别并上报本环节的合规风险点，而不是把判断全部推给合规部
• 在关键动作上留痕，能说清当时的依据、谁提的、谁批的
• 拿不准的事项按流程提交合规前置审查，提交前先自查材料是否齐全
• 对已发现的问题先自行整改并记录，不要等检查通知才动

什么情况下不适用？纯后台支持岗如果实际参与业务决策或对外承诺，同样落入第一道，不能以岗位名称免责。例如一家 5 人小团队里兼做运营和客服的人，只要对客户说了话，就在第一道里。

第二道防线：合规与风控的职责边界

第二道的核心动作是定规则、出审查意见、做监控、盯整改。它和业务的关系是「提意见 + 盯整改」，不是替业务做经营决策，也不是替业务签字背书。判断某个事项该不该第二道管，看它是不是需要统一口径、统一标准。

1. 定规则把监管要求翻译成内部可执行的标准和话术，明确触发前置审查的条件
2. 出意见对业务提交的事项给出明确结论：可以、不可以、附条件可以，不要只写「请审慎」
3. 做监控设定指标与异常信号，发现偏离时推动整改并跟踪闭环
4. 组织培训与检查把高频问题沉淀成检查项，而不是每次都从零讨论

什么情况下不适用？合规部门自己经手的事项，比如合规系统采购、合规咨询合同，此时它更像第一道，需要另设复核，否则就是自己审自己。

第三道防线：内审查什么，怎么和前两道区分

内审查的是前两道「有没有按自己定的规则做事」，以及规则本身是否被执行到位。它输出的是整改要求和后续跟踪，不是日常审批卡口。一旦内审开始天天签字放行，再检查的独立性就没了。

什么情况下不适用？内审不宜直接接手业务整改的执行。让检查的人去改，等于把独立立场交出去，下次再查同一问题就很难客观。

三个交接点最容易扯皮，附自查顺序

职责写清了，真正出问题往往在交接处。下面三个交接点，建议在职责文件里单独成段，写清触发条件和归口岗位。

• 交接点一：新业务上线前，谁判定合不合规、谁签字——先明确触发前置审查的条件
• 交接点二：检查发现问题的整改责任人与时限——业务整改、合规验收、内审抽样复核
• 交接点三：监管报送与重大事件上报的归口人——避免多头对外、口径不一致

1. 列责任矩阵横轴写关键事项，纵轴写三道防线，逐格填「谁负责、谁配合、谁复核」
2. 找空白格没有人认领的格子就是风险口，优先补规则而不是先追责
3. 看重复签字同一事项若两方都签字，往往意味着谁都不真正负责，需要指定唯一结论方
4. 核对留痕回头查几个真实事项，看当时的依据、意见、审批能不能串起来支撑结论

写职责文件时，别只写部门名，写到岗位和动作。想让判断有横向参照，可以到 /guides 看看同类机构的做法整理；涉及对外服务选型的部分，到 /sites 核对当时的口径说明；需要看数据类结论时，一切具体数字以站内页面当时显示的为准，不要凭记忆写进制度文件。