法律合规内控风险管理怎么协同

日常最常见的情况是：法务在审合同，合规在盯监管口径，内控在查流程留痕，风控在评损失概率，四拨人各交各的表，出事时却发现同一笔业务谁都没兜住。这篇不讲概念定义，只讲这四条线怎么排接口：谁先动、谁复核、信息怎么共用、什么情况下这套协同不适用。

日常最常见的情况是：法务在审合同，合规在盯监管口径，内控在查流程留痕，风控在评损失概率，四拨人各交各的表，出事时却发现同一笔业务谁都没兜住。这篇不讲概念定义，只讲这四条线怎么排接口：谁先动、谁复核、信息怎么共用、什么情况下这套协同不适用。

先明确一个前提：协同不是把四个部门合并成一个，也不是让某一个人全权负责。协同要解决的是「接口问题」——谁在什么节点把结论交给谁，交给谁之后谁必须回话。下面按边界、时点、信息、自测四段来拆。

先把四条线的边界划清楚，再谈协同

四者输出物不同，别用一张表硬套。法律看的是「这事合不合法、合同能不能站住」；合规看的是「符不符合外部监管口径和内部制度」；内控看的是「流程有没有留痕、职责有没有分开」；风险管理看的是「哪些不确定性会影响目标、概率和影响多大」。这四条线如果一开始就混在一起谈，后面所有协调都会变成互相推。

• 边界落地的判断方法：拿一件具体业务，比如一笔对外付款或一次数据导出，分别问四个问题——法律依据是什么、违反哪条监管要求、走没走审批留痕、万一出错损失多大；四个答案凑齐说明分工清楚，有两个答案重叠说明要么在抢活要么在漏活
• 把边界写进一份岗位说明，而不是留在每个人脑子里，人员一换就不散
• 岗位说明里至少要写清：谁负责给出结论、谁负责复核结论、结论不一致时谁拍板
• 每季度回看一次岗位说明，业务变了边界也要跟着调，别让一份三年前的说明管现在的事

不适用的情况：团队规模小到一个人兼四摊时，先不要照搬四套体系，只保留「外部硬约束（法律加监管）」和「内部留痕」两层，等业务量上来再拆。硬拆只会让同一个人自己给自己出结论、自己复核自己，留痕反而变成形式。

协同的接口在哪：三个必须交汇的时点

边界划清楚之后，真正让四条线合到一起的不是例会，而是三个必须交汇的时点：决策前、变更时、出事时。这三个时点不设交汇，平时看着相安无事，一出问题就是四份互相矛盾的结论。

1. 决策前交汇新业务、新合同类型、新数据用途在立项阶段就要过一遍：合规给外部口径结论，法务给条款风险，风控给量级，内控给能不能在现有流程里落住。缺一方的结论就往后压，不要等上线再补。
2. 变更时交汇监管口径变了、业务模式变了、供应商换了，这三类触发条件任意一条命中就要重跑一轮评估。判断标准是「这次变更会不会改变原来那份风险结论」，不会就不用再走全流程。
3. 出事时交汇由风控牵头做事实还原，法务判性质，合规判是否要对外报备，内控判流程哪一步断了。四方各出一段结论合成一份复盘，而不是各自写一份互相矛盾的报告。

台账要不要上系统？先看两件事：一是同一件事会不会被四方重复登记，二是复核时点有没有人真的去提醒。这两件解决不了，上系统只是把纸面混乱搬到线上。想对比工具和流程模板，可以到 /tools 看看站内收录的工具目录再决定。

信息怎么共用，又怎么不越线

协同最大的误解是「共用就是全公开」。实际上共用的是结论和执行依据，不是全部原始材料。合规口径、制度文本、流程节点可以共享；举报线索、调查材料、个人敏感信息按最小必要范围流转。判断标准很简单：对方拿这条信息是为了执行，还是只是好奇。

可共享

合规口径、制度文本、流程节点、风险清单

限制流转

举报线索、调查过程材料、个人敏感信息

共享前先问

对方是要执行还是要了解

上线前先定

哪些字段能进系统、能不能留存、要不要脱敏

• 给外部工具和系统做配置时先过数据边界这一关，先定规矩再上线，别先跑起来再补授权
• 跨部门例会不要只汇报进度，要固定留一段「本期新增的约束条件」，让四方同步外部变化，这条比汇报完成率有用
• 敏感事项的共享范围要写成名单，名单之外的人不进入流转，人员变动时同步更新名单
• 共享记录本身也要留痕，谁在什么时点拿到了什么，出问题时能还原

不适用的情况：涉及正在进行的调查或诉讼时，共用范围要收窄到指定人员，协同机制要让位于保密要求。这时候宁可协同慢一点，也不要为了同步效率把信息铺开。

自测：按这个顺序排查协同缺口

不需要一上来就做全面体检。按下面这个顺序走，前一步的结果会告诉你要不要做下一步，通常第一、二步就能暴露主要问题。

1. 第一步，查责任空白把最近半年出过的问题列出来，逐条问「按现有分工这件事本该谁先发现」，找不到人就是空白点。
2. 第二步，查结论冲突同一件事有没有出现两份口径不同的结论，有冲突说明接口没定，先解决接口再谈工具。
3. 第三步，查触发失灵抽查几次业务变更，看有没有按变更时点重跑评估，漏跑的比例能反映机制是活的还是纸面的。
4. 第四步，查留痕质量随机抽三份记录，看半年后的人能不能仅凭记录还原判断依据，还原不了说明留痕只留了结果没留理由。

不适用的情况：初创期业务还没定型时，可只做第一步和第四步，把空白点和留痕管住就够。第三步依赖业务变更频率，如果半年内没有实质性变更，抽查不出来东西，不用硬凑。

协同机制不是一次搭完就完事。业务变化、监管变化、人员变化都会让接口松动，所以自测要定期做，台账要持续记。想拿同行做法和可信度参考对照，可以到 /rankings 看站内当时整理的口径和数字，别凭感觉判断自己是不是做得太松或太紧。