内控合规中常见的风险类型

内控合规岗最难受的不是不知道有风险，而是风险天天从眼前过却定不了性：这算流程缺陷、算舞弊苗头，还是只是业务没按新口径走。这篇不讲概念定义，按内控视角把常见风险类型拆成可观察的信号，给你一份按周、按月都能跑的排查顺序和留证要求，末尾附不适用的边界说明。

内控合规岗最难受的不是不知道有风险，而是风险天天从眼前过却定不了性：这算流程缺陷、算舞弊苗头，还是只是业务没按新口径走。定性偏差的代价是后续动作全走歪——本该调权限的写了整改报告，本该走调查通道的开了个培训会。

这篇不讲概念定义，按内控视角把常见风险类型拆成可观察的信号，给一份按周、按月都能跑的排查顺序和留证要求，末尾附不适用的边界说明。判断标准写清楚，动作写具体，但结论要你自己对着当时的材料下。

先按成因分类：四类风险各自长什么样

别按部门分，也别按业务线分，按成因分最实用，因为成因直接决定后续动作是改流程、调权限、补日志还是进调查流程。同一件事可能同时落两类，先定主类再谈措施，两个都想要往往哪个都做不实。

流程与控制缺陷

该拆的环节被合并、该留痕的只留结果、该复核的由本人复核，属于设计或执行层面的问题

权限与职责配置问题

岗位说明书、系统角色、实际操作三者对不上，包括共用账号、离职未回收、临时权限无到期

数据与信息传递问题

敏感字段超范围导出、口径不一致导致下游用错数、信息在部门交接处断档

人员行为与舞弊苗头

长期拒绝轮岗、关键环节一人独握、对询问口径反复变化，属于需要记录待查的行为类信号

流程与审批类风险：从单据和痕迹里找

这类风险最容易在纸面上看不出来，因为制度文本往往写得完整。真正的断点藏在单据和痕迹里，所以要养成「看痕迹而不是看制度」的习惯。制度文本只用来确认当时适用的是哪一版口径。

• 该拆分的环节被合并：同一笔业务由同一人从发起到复核做完，中间没有独立节点
• 该留痕的环节只留结果：审批流里只有一个「已通过」，看不到谁在什么时候基于什么材料批的
• 该复核的单据由本人复核：复核人签字和经办人一致，或者复核时间早于经办时间
• 审批层级与实际控制不匹配：层级很多，但每一层都默认通过，层级成了形式

1. 从结果数据倒推先拿业务结果数据，找到异常样本，再往回看这笔业务经过哪些节点。比顺着制度逐条比对快，也更容易找到真实断点。
2. 看审批记录的过程调出审批流，确认每个节点的操作人、时间和备注。只有结果没有过程的节点，登记为待查项。
3. 回到原始凭证挑待查项里影响最大的一两笔，看原始单据。这时候再下结论，不要停在审批记录层面。
4. 记最小证据每条登记经办人、时间点、单据编号、当时的制度版本。只记结论，三个月后没人能复原。

边界说明：流程长不等于控制好。审批层级多但每层都走过场时，风险反而更难被发现，因为表面证据看起来非常完整。

权限与数据类风险：权限表对不上就是线索

这一类的最好起点不是去猜谁越权，而是把三份材料摊在一张桌上对：岗位说明书、系统角色配置、实际操作日志。出现任何一条对不上，先登记为待查项，不要当场下结论——对不上可能是审批过的例外，也可能是遗漏，得靠材料说话。

节奏上建议按月抽样、按季度全量核对一次。全量核对不可能覆盖所有系统，优先覆盖财务、人事、客户数据这三类，其余按风险高低排优先级。临时权限的清理是内控里最容易被漏掉的一块，因为它不出事的时候完全没声音。

人员行为类风险：哪些苗头值得记录

这一类最容易被写成主观判断，也最容易误伤。原则是：值得记录的苗头必须是可复述的事实，而不是印象。记录和求证分开，个人不直接对质。

• 长期拒绝轮岗，或轮岗安排反复被以非业务理由推迟
• 关键环节只由一人掌握，且该人不愿做交接文档或代理安排
• 对审计或合规提问反复回避，或前后口径不一致且解释不充分
• 经手的业务在时间或金额分布上出现不符合业务规律的模式
• 与非授权外部人员就该业务的沟通频繁，且无法说明必要

1. 记录写入风险台账，只写事实：什么时间、什么行为、谁在场、有无材料。不写动机判断。
2. 标注观察期设定一个观察窗口，例如一个业务周期，期间继续累积事实。单项事实通常不足以定性。
3. 分流区分「能力不足」和「意图问题」。前者走培训和流程简化，后者才进入既定的调查通道。
4. 按通道推进由合规与内审按组织既定流程处理，发现人只负责记录和提交，不负责询问和结论。

不适用情形：没有举报与调查机制的团队，先建通道再谈识别。记录下来的苗头没有流转出口，反而会成为个人之间的矛盾来源。

风险台账与留证：记什么、放多久、谁来看

前面的识别动作能不能积累成能力，全看台账。台账不是给自己看的备忘录，是给下一个接手的人、给季度汇报、给外部检查用的材料，所以字段和格式要先定死。

• 证据留存按「原始优先」：系统截图带时间戳、单据扫描件、审批流导出文件，聊天记录只作辅助
• 访问范围要收口：台账本身也是敏感信息，谁能看、谁能改写清楚，改动留版本
• 月度更新台账状态，季度向管理层出一次汇总，汇总只讲未闭环项和新增项
• 到期项不要静默延期，延期也要留痕并说明原因

留证的深度不必一刀切，按风险类型分：流程类留到单据层面够用，权限类一定要留配置和日志，行为类以事实记录为主，具体深度可以参照组织内部的审计要求，别自己加码也别自己减配。

风险识别靠的是把对不上的地方记下来，而不是当场想明白它是什么。