很多公司到了要设岗、要分预算、要追责的时候，才发现四个部门听起来都像在「管风险」，事到临头互相推。这篇不绕概念，直接给一套判断标准：先看每个部门盯的是什么风险、交付什么产物、什么时候必须一起坐一桌。看完你能把现有岗位表对一遍，也能在新设部门时少扯皮。
很多公司到了要设岗、要分预算、要追责的时候，才发现四个部门听起来都像在「管风险」，事到临头互相推。真出事的时候，四个部门都说「这不是我们第一步该管的」，最后老板自己扛。这篇不绕概念，直接给一套判断标准：先看每个部门盯的是什么风险、交付什么产物、什么时候必须一起坐一桌。
看完你能把现有岗位表对一遍，也能在新设部门时少扯皮。注意一点，这套划分是给中型以上、业务线比较多的公司用的；如果是三五人的小团队，四个部门通常由一两个人兼着，重点不是分部门，而是分清「哪一步该谁先开口」。
四个部门为什么总是分不清
四个词都带「风险」，但风险来源完全不同。法律风险来自外部规则与合同，合规风险来自监管要求与行业规范，内控风险来自流程执行与舞弊，经营风险来自业务决策。来源不同，管的动作就不同，混在一起讲必然打架。
最常见的误区是拿「谁签字」当职责划分。谁签字谁负责听起来公平，实际结果是所有人都往后退，因为签字权可以推，风险来源推不掉。出事之后复盘，你会发现签字的人根本不知道风险从哪来。
- 风险来源不同：外部规则对应法律，监管要求对应合规，流程执行对应内控，业务决策对应风控
- 判断口径有没有对齐，用一个土办法：把最近三次出问题的事，各自写清楚第一责任部门是谁
- 口径没对齐就先别设岗，先设岗后对口径一定返工
- 分部门之前先分动作：定标准、做检查、推整改，这三件事四个部门都做，差别只在标准从哪来
四个部门各自盯什么、交什么
把四个部门当成四副不同的眼镜，看同一件事会看到不同的东西。眼镜不同，交付物就不同，考核方式也应该不同。下面这张表按「盯的风险、主要产物、典型触发」三列拆开，可以直接拿去对现有岗位说明书。
| 部门 | 盯的风险来源 | 主要产物 |
|---|---|---|
| 法律 | 外部规则、合同、诉讼、知识产权 | 合同意见、授权文件、纠纷处置方案 |
| 合规 | 监管政策、牌照资质、员工行为规范 | 合规制度、培训记录、检查底稿 |
| 内控 | 流程设计、审批权限、职责分离、留痕 | 流程文件、控制点清单、测试报告 |
| 风控 | 信用、市场、操作等业务可量化风险 | 风险清单、限额口径、预警指标 |
四个部门都做「定标准、做检查、推整改」三件事，区别在于标准来自外部规则、监管要求、内部流程还是业务数据。搞清这一层，就不会出现「合规抢内控的活」或者「风控替法律背锅」的场面。
- 前置触发点
- 这件事最早该谁介入，比如新合同由法律先看，新流程由内控先画
- 交付节奏
- 法律看单点、合规看周期、内控看节点、风控看连续数据，节奏不同就别用同一套考核
- 不适用场景
- 业务早期快速试错时，内控和风控可以先做轻量版，但法律与合规的红线项不能省
一张对照表把边界钉死
与其写几页职责描述，不如做一张四列对照表：风险来源、主要产物、前置触发点、不适用场景。表比文章好用的地方在于，吵架时可以直接指着单元格说「这一格归你」。
不适用情形一定要写明，否则表会变成万能借口。业务快速试错阶段，风控与内控可以先做轻量版，但法律与合规的红线项不能省；等业务模式稳定了再把控制点补全，不能反过来先堆控制再找业务。
- 对照表每季度复核一次，监管口径和业务模式都会变，旧表不能当准
- 到 /ai-nav/category/ai-legal 看当时的资料与工具入口，别拿过期材料硬套
- 落表之后发给四个部门负责人各确认一遍，确认不通过的部分就是下一轮要吵清楚的议题
- 把确认结果存档，下次岗位调整或追责时直接引用，省掉重复解释
表不是给外人看的，是给自己用的。每季度复核时只改真正变动的行，不用整表重写，这样维护成本才压得住。
什么时候必须四个一起上
四个部门天天开会是灾难，但该一起上的时候不坐到一桌，后面就会出更大的事。关键是写清触发条件，而不是靠感觉叫人。
- 列触发条件新产品上线、新市场进入、重大合同签署、监管检查、重大事故复盘，这五类事件默认触发四方协同
- 固定协同方式一份问题清单加一个牵头人加一个复盘日期，避免四份材料互相打架
- 定牵头人按风险主导方确定：外部规则问题由法律牵头，监管落地由合规牵头，流程执行由内控牵头，业务损失由风控牵头
- 验证是否有效复盘时看两件事：问题清单有没有被真正回答，牵头人有没有权限推动其他三方
落地自查：五步把分工落到岗位
上面讲的是判断标准，这一段给可执行动作。按五步走一遍，你能把分工从口号落到岗位说明书上，也能发现现有编制里哪些是重复、哪些是空白。
- 列事件列出公司近一年出过的风险事件，逐条标注第一责任部门，标不出来的就是边界模糊点
- 对岗位把现有岗位说明书里的职责表述抄进对照表，看有没有一岗多责或整块空白
- 查汇报线看四个部门是汇报给同一个人还是分散，分散时要设定期联席会议，明确谁召集谁记录
- 统一模板把关键产物（制度、清单、报告）的模板统一，减少重复劳动，也方便交叉引用
- 定期核口径每隔一段时间到 /safety 与 /about 核对口径变更，避免沿用过期标准，具体频次按业务变化速度定
做完这五步，至少能回答一个具体问题：出了某类事，第一步该找谁。这比部门名称怎么写重要得多。
下一步想对照更多工具与资料入口，去站内 AI 法务工具目录看当时收录的内容，再回来更新你的对照表。→常见问题
小公司只有一个人管这些，还分什么角色？
分角色不等于分人。一个人可以兼四块，但四块的产物要分开留痕：合同意见、合规检查、流程文件、风险指标各自归档。否则出了事说不清当时按哪套逻辑做的判断，这也是更常见的踩坑方式。
内控和风控到底谁在前谁在后？
通常内控先定流程与审批权限，风控在此基础上设限额和预警。反过来做，风控指标没有流程支撑就落不了地。判断标准很简单：如果预警触发后找不到对应的审批动作，说明内控环节缺位，得回头补流程。
四个部门的口径老是对不上怎么办？
先对齐「风险分类表」这一张表，再谈职责。分类表统一之后，同一个事件只会被归到一个主责部门，争议自然减少。分类表建议每年复核，涉及外部规则变化的部分可以到站内 /ai-nav/category/ai-legal 查当时的资料入口再确认。
