根据《保险公司合规管理办法》的规定三道防线包括

保险公司做合规自查或迎接检查时，经常被问「你们三道防线怎么落的」，但真到写材料，很多人分不清第一道是业务部门还是合规部、第二道和第三道的边界在哪。这篇按办法的框架把三道防线的构成、职责和常见错位讲清楚，配一份对照表和排查顺序，方便你按自家组织架构往上套。

保险公司做合规自查或者迎接检查时，最常被问的一句话就是「你们三道防线怎么落的」。可真到了写材料的时候，不少人卡在一个地方：第一道到底算业务部门还是合规部？第二道和第三道的边界又在哪？名字都听过，落到自家组织架构上就模糊了。

这篇按《保险公司合规管理办法》的框架，把三道防线各自是谁、管什么拆开讲，再配一份能对照岗位的职责表和一套自查顺序。你不需要记住条文原文，只要能把自家每个部门贴到某一层上，并说清楚谁对什么结果负责，材料就立得住。

办法里的三道防线到底指哪三层

先把一个常见误解澄清掉：三道防线说的是职责分工，不是要求公司必须凑出三个部门。大公司可能一层对应好几个部门，小公司可能一个人兼几份活，但只要角色没分开、责任没写清，检查时照样会被挑。判断某块业务属于哪一层，不看它挂在谁的编制下，看它对这个环节的合规结果负不负责。

光知道三层是谁还不够，写材料时要能一眼看出每层的动作。下面这张表可以把自家制度文本逐格对照，缺哪格补哪格。注意表格只是共性框架，具体口径以你们公司现行制度和监管口径为准，不同业务条线的侧重会有差异。

防线	谁来做	核心动作	判断做没做到
第一道	业务、职能部门及其岗位人员	识别本条线合规风险、执行制度、按流程留痕、发现问题即时上报	问一线人员能不能说出自己岗位对应的合规要求
第二道	合规管理部门、合规负责人	制定合规政策、审查新产品新流程、组织培训、做合规风险监测与报告	看有没有独立的审查意见和定期合规报告
第三道	内部审计部门	定期审计合规体系有效性、出具独立意见、跟踪问题整改	看审计结论能不能直接到董事会或审计委员会

判断一条职责落在哪一层，一个简单办法是问「谁对结果负责」。填表、走流程、贴标签都不算数，真正拍板并对后果担责的那一方，才属于它该在的那一层。这条标准能把很多模糊地带一次分清。

实际做下来，问题很少出在「不知道有三层」，而是出在落位跑偏。下面几种错位在被问到「三道防线怎么落」的时候最容易露馅，值得先自查。

与其坐在会议室里争论概念，不如按下面这个顺序动手过一遍。整个过程不需要太多人配合，重点是留下能拿出来对着看的证据，而不是重写一版制度。

自查结论不用追求一次到位，能准确说出「哪一层缺什么、谁去补、怎么算补完」就已经达到目的。如果公司的组织架构近期有调整，分层标注也要跟着更新，否则制度里的防线图和实际运行对不上，反而更容易被看出问题。

三道防线是办法里明文写的表述吗？

办法确立的是业务部门、合规管理部门、内部审计三层分工与相互制衡的思路，业内通称三道防线。具体条文口径以监管发布的现行版本为准，站内安全与合规分区有相关概念页可对照，涉及自家落地时建议以监管原文和外部律师意见为准。

公司规模小，能不能只设两层？

可以合并岗位，但不建议合并职责。常见做法是第二道由指定人员承担、第三道委托上级机构或外部审计，关键是把「谁独立评价」写进制度并保留记录。什么情况下不适用：若公司同时是集团成员，要优先服从集团的合规体系安排。

三道防线和风险管理部门是什么关系？

风险管理通常落在第二道，与合规管理并列而不是替代。两者关注点不同：合规盯「是否符合规则」，风险管理盯「不确定性带来的损失」。边界不清时，建议在制度里分别写明各自触发条件与报告对象，避免同一件事两个部门都以为对方在管。