法务 合规 内控 风险四位一体

公司小、人手少，法务往往兼职、合规挂在行政、内控交给财务、风险谁都在管又谁都没管全，出事才发现四拨人各说各话。这篇不堆概念，先讲清四者边界在哪、什么时候必须合到一起，再给一份从零起步的分工表、落地顺序和定期复核清单，帮你把体系搭在纸上也能跑起来。

公司小、人手少，常见的画面是：法务挂在行政或外聘顾问手上，合规挂在谁有空谁做，内控默认是财务的事，风险则是谁都在管、又谁都没管全。平时业务跑得挺顺，真遇上监管问询、大客户尽调或者一次内部纠纷，才发现四拨人各说各话，材料凑不到一起，责任也追不到具体的人。

这篇不堆名词解释，先讲清四个角色各自的边界在哪、什么阶段必须合到一起、什么阶段分开反而更省事，再给一套从零起步的分工表写法、串线顺序和定期复核清单。目标很朴素：让这套东西写在纸上就能跑，而不是做成一摞没人翻的册子。

先把四个词摆清：谁管什么，边界在哪

这四个词经常混着用，但在具体事务上分工是清楚的。法务更偏事后救济和文本工作——合同怎么拟、条款怎么改、真出了纠纷怎么应对；合规偏事前，判断一件事能不能做、要不要报备、有没有踩线；内控关心的是流程和授权，谁申请、谁复核、谁签字、痕迹留没留；风险管理则是在一堆已知风险里排个先后，决定先处理哪个、暂时容忍哪个。四者有交叉，但不重合。

法务

管「打不打官司」，落点在合同文本、争议应对、权利义务归属

合规

管「能不能做」，落点在资质、许可、报备、对外承诺的口径

内控

管「谁批谁做」，落点在授权层级、复核环节、单据与留痕

风险管理

管「先做哪个」，落点在识别、排序、容忍度和复盘节奏

最常见的三个误区：把合规当成法务的下属部门，结果该事前拦的事被拖成事后补救；把内控等同于财务审计，只盯着钱数不盯授权；把风险管理做成一张谁都不看的表，填完就锁进抽屉。这三种做法在小团队里几乎不会立刻出问题，但会在两三年后集中暴露。

什么时候必须合到一起，什么时候可以分开跑

分开还是合并，不看公司大小，看协作成本。当同一件事需要过三拨人审批、外部问询时找不到唯一对接人、或者出了问题没人认领，这三个信号出现任意一个，说明该合并了。外部推力往往是催化剂：监管检查、大客户尽调、招投标资格审查，通常要的是一份统一口径的体系说明，而不是四份互相对不上的材料。

• 触发合并：同一事项审批链超过两层且跨职能，或外部问询需要临时找人对接
• 可以继续分开：四类事务量都不大，且由同一批人兼着做，此时合并只是换个封面
• 判断动作：把过去一段时间实际发生的风险事件列出来，逐件标出落在了谁头上，落不到人的就是空白区
• 合并的底线：至少明确一个总协调人，负责把台账、制度和外部口径对齐

这里要说明不适用的情况：如果流程本身还在频繁变动，比如刚换业务方向、组织架构一个季度调一次，这时硬把四类职能焊死反而拖慢决策。可以先做口头确认加事后补录，等流程稳定再固化。

分工表怎么写：一份能贴墙上的责任清单

写分工表最容易犯的错是按部门列——法务干什么、合规干什么，写完发现没人知道具体某件事该找谁。正确顺序是按事项列，而不是按部门列。事项从实际业务里抓，抓住十到十五条核心的，比写一百条没人执行的强得多。

1. 列事项把合同评审、资质许可、付款审批、数据合规、供应商准入、举报处理等逐条写下来，每条对应一个能说清边界的事
2. 标角色每条标清谁负责执行、谁配合、谁审批、谁留档。避免写「共同负责」这种没主语的表述，共同负责等于没人负责
3. 查分离审批人与执行人不能是同一个人，哪怕只是换个同事签字，也要留出这道缝
4. 先跑再补先落十条到十五条，跑一个季度，看哪些条目从没被触发过、哪些经常卡住，再增删调整

不是四套流程，是一个闭环：把制度串成一条线

四类职能合到一起之后，真正要做的是把它们串成一条业务线，而不是四套流程并行。串法可以固定成：业务发起 → 合规判断能不能做 → 法务看文本和权利义务风险 → 内控设授权层级和留痕要求 → 风险登记并入台账。每一步只回答一个问题，不要求每步都开一次会，多数情况在同一张表上流转即可。

这条线的关键节点是「登记」——必须是一个共享台账，而不是四份各自维护的表。四份表放在一起永远对不上号，对不上号就意味着出了问题要花大量时间还原事实。台账字段不用多，够用就行。

• 事项：一句话说清这是什么
• 触发时间：什么时候进入流程
• 责任人：这件事现在归谁
• 当前状态：进行中、已闭环、已搁置
• 依据：判断所依赖的制度条款或外部要求
• 留档位置：文件放在哪、谁能取
• 复核时间：下次什么时候回头看

留痕：体系好不好，最后看能不能拿出东西

体系做得漂不漂亮，检查的时候不看文档目录，看你能不能当场拿出证据。有三类必须留：审批记录、判断依据、沟通记录。缺审批记录说不清谁批的，缺判断依据说不清当时为什么这么做，缺沟通记录说不清是谁提的要求。这三样往往在事后补不回来，因为当事人都记不清当时的想法了。

留多久、谁能看、离职后怎么取，这三件事提前写清楚。最常见的坑是：需要用的那天，发现权限在已经离职的人手上，翻不出来只能重做。具体的留证口径、日志保存和脱敏处理做法，可以到站内的举证与留证方法、日志与脱敏留存相关页面核对当时的说明。

复核节奏：多久看一次，看什么

复核不是把制度重读一遍，而是拿实际发生的事去对制度。节奏可以分成三层：月度看执行，季度看变化，年度做复盘。月度和季度是轻量动作，半小时能完成，年度才需要坐下来认真对账。

1. 月度翻共享台账，看有没有逾期未闭环的事项，看有没有新出现的空白事项，只有动作不做评价
2. 季度对业务方向、外部监管口径、主要供应商做一次扫描，判断已有制度条款有没有过时
3. 年度把一年里实际发生的风险事件倒推回制度，看哪一条没兜住、哪一条从来没被触发过，前者补，后者删或简化
4. 输出复核结论必须具体：要么改制度、要么改流程、要么明确维持现状并写理由，避免只写「继续加强」这类没有下一步的话

不适用的情形也说一下：业务处在高速扩张期时，固定节奏可以缩短到更频繁，但不要取消。取消复核的体系会在半年内变成一堆没人更新的文档，等需要的时候已经和现实脱节。

四个最常见的翻车点，提前避开

• 制度抄大厂模板，条目上百、责任写空，执行三个月就废；改成十到十五条能落地的即可
• 只有合规或法务在动，业务部门觉得是额外负担，最后变成事后补材料，防线全部后移
• 风险台账只增不减，事项从不关闭，时间一长没人信这套数字，也就没人看
• 把责任全压在一个兼职法务或外聘顾问身上，人一离职体系就断线，必须设备份责任人

这四个问题的共同点是：都把体系建设当成了填表任务，而不是业务的一部分。判断有没有踩进去，可以问自己一个问题——如果明天负责这件事的人请假一个月，这套流程还能不能转。答案是否定的，就说明还停留在纸面。

用不用工具，用哪些

顺序上先手工跑通流程，再考虑上工具。反过来的结果是：工具买回来了，流程还没理顺，所有人都在忙着给工具喂数据，反而更慢。手工台账跑一个季度，知道哪些字段真正有人看、哪些环节真正会卡，再去选工具，需求会清楚很多。

• 能不能留审批痕迹：谁在什么时候改了什么，事后能查
• 能不能设权限：不同角色看到不同范围，离职能一键回收
• 导出后能不能给外部看：尽调或检查时能不能直接出一份体面的材料
• 数据放在哪：涉及把公司内部资料交给外部工具处理时，先筛一遍哪些能发、哪些不能发，站内有专文讲数据边界

选工具时不必追最新最全的功能，能覆盖台账、审批痕迹、权限三件事就够用；具体哪类工具、当前各家方案的差异和价格，到站内的工具目录与价格追踪页面核对当时的数字，别凭印象决定。