法务合规内控风险工作职责

刚接手法务合规或内控岗，最常见的问题不是不懂法条，而是不知道自己到底该管什么：业务来问一句「这事合规吗」，你答了算不算数？出了事该谁背？这份速查把岗位职责拆成可核对的动作清单，让你知道自己要做什么、做到什么程度算交差、哪些事不该由你一个人扛，并给出可直接引用的站内页面查当时的数字与口径。

刚接手法务合规或内控岗，最难的不是背法条，而是搞不清自己到底管什么。业务跑过来问一句「这事合规吗」，你张口答了，这句话算不算公司意见？将来真出事，是你背还是业务背？这种模糊地带，往往比条文本身更折腾人。

下面这份速查，把岗位职责拆成能核对的动作：四类角色各管什么、一周里你实际会动手的事、哪些必须推回去、怎么知道自己做到位了。会变动的数字和规格，一律去站内对应页面看当时的口径，别写死在制度里。

先分清四顶帽子：法务、合规、内控、风险各管什么

法务

偏向「能不能做」，管合同怎么签、纠纷怎么打、对外承诺有没有法律依据

合规

偏向「按不按规则做」，把外部要求翻译成内部流程和节点，盯执行

内控

偏向「流程有没有防错和制衡」，看审批、复核、权限分离这些设计是否有效

风险

偏向「有哪些不确定性与敞口」，做识别、评估、排序和预警

小公司常把四顶帽子扣在一个人头上，帽子可以合并，责任不能合并。判断自己偏哪一类，先看部门汇报线和考核项：考核合同质量还是考核检查覆盖率，动作重点完全不同。组织分工的常见做法，可到站内安全与合规分区看组织架构类文章对照。

日常职责清单：一周里你真正会动手的事

1. 规则侧把外部要求拆成内部能执行的条款，做成制度、指引、模板，并确保业务能随手拿到，不是丢在共享盘里没人看
2. 审查侧合同、宣传物料、功能上线前过一遍，输出书面意见和具体修改建议，别用口头一句「应该没问题」交差
3. 检查侧按周期抽取实际执行记录做抽样复核，发现偏差写成问题项并跟踪关闭，这一步最容易被跳过
4. 留证侧审查、举报、培训、整改全部留可追溯记录，举证思路可参考站内出事后的举证与维权这篇

这四件事里，检查侧和留证侧最不出彩，但恰恰是岗位价值所在。只出意见不查落地，等于把合规做成了建议书；只查不记，等于拿不出履职证据。没有独立的检查周期时，至少每季度挑一到两个高风险流程做一次抽样。

职责边界：哪些事你定，哪些事必须推回去

• 你定标准、给意见、留记录；业务定做不做、怎么做、担什么结果，这个分工不写进制度后面必吵
• 数据出境、个人信息、算法备案等专项，先到站内安全与合规找对应专题核对适用条件
• 拿不准就出「有条件同意 + 待补充材料」的意见，不给绝对结论
• 监管问询或已立案时，按公司应急机制走，第一时间上报而不是自行答复
• 业务催你「先放行后补材料」时，把风险写进意见书并让审批人签字，责任随签字走

这条边界的例外要说清：若公司制度明确授权你代行审批，那你就同时承担了批准责任，不能再说「我只是提意见」。所以接岗第一件事是把审批权限表翻出来看一遍，确认自己签的字属于哪种性质。

自检：怎么判断自己的职责履行到位了

价格、模型规格、测评数值这类信息随时会更新，任何对外的材料都不要写死，统一改成「以站内页面当时的数字为准」，到官方 API 价格和 AI 测评榜单核对当时的数字，写进制度时只写引用位置不写具体数值。

不适用的场景也留一句：公司只有几个人、没有独立合规岗时，上面这套流程可以简化成一张检查表，但「谁批、谁查、谁留痕」三件事不能省，否则只是把风险藏得更深。