法律 合规 内控 风险管理 协同

很多公司把法律、合规、内控、风险管理四个词混着用：出了事都找法务，做检查都推给内控，写报告又变成风险管理部的事。结果就是四个职能互相等、材料重复交、真风险没人盯。这篇不讨论概念谁高谁低，只讲四者各自管什么、边界在哪、怎么用一张表把它们的输入输出接起来，让协同变成固定动作而不是靠人自觉。

很多公司把这四个词混着用：出了事先想到法务，做检查就推给内控，写报告又变成风险管理部的事。结果就是四个职能互相等，材料重复交，真风险反而没人盯。问题不在谁高谁低，而在没人说清楚各自管什么、边界在哪、信息怎么传。

这篇不讨论概念归属，只讲怎么把它们接起来：一张职责边界表、一份共用台账、几个固定会议和触发条件，让协同变成日历上的动作，而不是靠人自觉。适合法务、合规、内控和业务口的人对着做，也可以直接拿给上级当讨论材料。

四个词先分清：各自回答什么问题

这四个词不是同义词，各自盯着不同的问题。混着用的直接后果，是开会时谁都能插话、事后谁都能说「这不是我负责的」。先把每个职能回答的问题摆清楚，后面谈协同才有共同语言。

法律

回答「能不能做」：行为有没有法定依据，合同签了会不会输，争议怎么处理。

合规

回答「按不按规矩做」：规矩不只是法律，还包括监管要求、行业规范和公司自己对外承诺。

内控

回答「流程有没有防住错」：授权、复核、留痕、职责分离这些控制点是否真的在跑。

风险管理

回答「哪些事可能出事、概率和影响多大」：先识别和排序，再决定投多少资源去堵。

判断有没有分清，有个简单办法：拿一件具体的事问四个职能各自关注什么。如果四个人的回答高度雷同，说明边界没划开；如果回答互补，能拼出「先评估、再定规则、再嵌流程、最后兜底」的链条，说明分工基本到位。需要注意的是，这套分法更适合中大型组织；小团队里一人身兼数职很正常，重点是脑子里的四顶帽子别戴错，而不是硬设四个岗。

它们不是平行部门，是一条链上的四段

很多公司把四个职能并列挂在组织图上，各写各的制度、各发各的报表。真正有效的关系更像一条链：风险管理先识别并排序，合规把外部要求翻译成内部规则，内控把规则嵌进流程和系统控制点，法律在争议、合同和重大交易处兜底。

只有往下发还不够，回路的反向流动才是关键。内控发现某个控制点反复失效，要能回写到风险清单；法律案件暴露的败诉原因，要能回写成合规规则；合规环节卡住的义务，要能反过来调整风险等级。判断协同是否有效，就看这条回路在不在：只发不收，说明还是各干各的。

日常靠一张职责边界表，而不是靠开会吵

协同最耗人的地方是归属扯皮：一件事到底谁主责。与其每次开会吵，不如提前做一张职责边界表，把常见事项对照着填一遍，有争议时拿出来对着看，比反复解释快得多。

• 表里至少四列：事项类型、第一责任方、配合方、交付物。
• 交付物要具体到可验收，比如「一份含风险等级和整改建议的书面意见」，而不是「支持一下」。
• 新业务上线这类事：业务口是风险提出方，风险管理给评估口径，合规出规则清单，法务看合同与牌照，内控设计控制点。
• 拿不准归属时按两条判断：谁最接近事实谁主责，谁承担后果谁复核。
• 边界表每半年对一遍，组织或业务调整后立刻更新，否则很快过期。

这套办法的适用前提是事项类型比较稳定、能提前枚举。如果公司业务变化极快、每月都有全新形态，边界表只能覆盖高频项，剩下的靠「一事一议」快速定主责。反过来，如果连高频项都懒得枚举，那协同就只能靠人情和嗓门，迟早出问题。

四件固定动作，把协同变成日历上的事

协同不能靠觉悟，要靠机制。下面四件事都可以排进日历或流程，做了就有效果，不做也能立刻看出来缺哪一块。重点不是一次做全，而是先挑一件开始跑。

1. 统一风险语言口径、等级、影响维度用同一套。做法是先定义三到五个影响维度，再约定等级判定规则，所有部门都用这一套描述风险。验证方式是抽取三份不同部门的风险描述，看能不能按同一口径相互比较。
2. 重大事项联合评审重大项目、重大合同、新渠道上线走一次联合过会，输出一份合并意见而不是四份各自表述。验证方式是看会议纪要里有没有明确的第一责任方和截止时间。
3. 共享台账风险清单、合规义务、控制点、整改事项挂在同一个编号体系下，任何一项都能顺着编号找到关联项。验证方式是随便挑一条整改，看能不能在两分钟内追到它对应的风险和规则。
4. 统一汇报向管理层汇报时合并成一份材料，各职能只写自己那一段，避免同一件事被讲四遍、结论还不一致。验证方式是看管理层是否还需要额外开会来对齐各部门说法。

台账怎么设计才有人用

台账做出来没人用，通常不是态度问题，是字段太多、填起来太累，或者填完看不到变化。设计时按「够追溯就行」的原则，先把核心字段定下来，用起来之后再按需要加。

等级判定最容易卡在口径太虚。给一个可操作的过法：按三个问题依次过一遍——是否涉及处罚或诉讼、是否影响持续经营、是否可逆。三个都答完，等级基本就出来了，争议也小。具体到不同行业的参考区间，可以到站内的术语页和安全合规范畴页面核对当时的说法，别直接照搬别家公司的阈值。

台账要不要上系统，看规模和更新频率。几十条、每季度更新一次，表格就够；上百条、涉及多个部门联动，最好上系统，否则编号和状态很快对不上。这里没有绝对答案，判断标准是「更新一次要花多少人多少时间」。如果每次更新都要专人加班对表，就该考虑工具了。

哪些事必须联动，哪些事单部门就能拍

不是所有事都值得四个职能一起看，全联动等于没联动。真正要做的是把触发条件写进流程节点，让系统或流程自动判断，而不是靠个人记忆。忙起来的时候，靠记忆的联动一定会被跳过。

把这张表落到流程里有个实操技巧：在每个关键节点加一个判断框，回答「是否命中必联动清单」。命中就触发联合评审，没命中就走常规审批。这样既不漏，也不会把小事拖成大流程。需要提醒的是，这套触发条件适合流程相对固定的组织；如果业务本身处于试错期、规则频繁变化，触发条件要跟着调，否则要么误伤效率，要么漏掉真风险。

怎么知道协同真的在跑

制度写得漂亮不代表协同在跑。判断有没有效果，看四个信号就够了：同类问题是否重复发生、整改是否按期闭环、风险清单是否在持续更新、业务口是否愿意主动报风险。这四个信号里，最后一个最难装出来。

比看报表更能发现问题的是做一次小规模复盘演练：挑一个已经发生过的历史事件，从最早的风险信号开始，顺着时间线看四个职能各自在哪一步做了什么、信息在哪断了、谁该收到没收到。演练的目标不是追责，是找出链路断点。做一次通常比写一堆制度更能暴露真实问题。

协同做得好不好，看信息往回走的次数，而不是往下发的文件数量。

常见的四个坑

• 把合规当法务的下属职能：规则没人翻译成一线能执行的动作，员工只知道「合规很重要」但不知道具体怎么做。
• 把内控当检查部门：只管查出问题，不参与设计控制点，导致同样的问题年年查年年有。
• 风险清单一次性做完就锁进抽屉：不更新、不复核，等出事时翻出来一看全是过期信息。
• 制度文件齐全但控制点没进系统：靠人记、靠人提醒，人员一变动就断档。

这四个坑的共同点是：把协同当成了文档工作，而不是日常动作。要跳出来，最实际的一步是先挑一条最能落地的链路跑通——比如从风险清单到控制点再到整改复核——跑顺了再推广。如果一开始就想四件事齐头并进，通常哪个都推不动。