法律合规风险控制

公司要出一份合规方针，或者老板问「我们到底有哪些法律风险」，很多法务会卡在没法把风险讲成人话、也落不到岗位上。这篇不聊法条细节，只给一套能照着走的动作：怎么把风险找出来、怎么分级定优先级、方针里该写什么、谁来盯、多久复盘一次。适合企业法务、合规负责人和中小团队管理者上手用。

公司要出一份合规方针，或者老板突然问「我们到底有哪些法律风险」，很多法务会卡在没法把风险讲成人话、也落不到具体岗位上。这份工作其实不复杂，难的是排序和收口：先找全，再分级，再写成谁都能看懂的动作清单。

这篇不聊法条细节，只给一套能照着走的顺序——怎么把风险找出来、怎么分级定优先级、方针里该写什么、谁来盯、多久复盘一次。适合企业法务、合规负责人和中小团队管理者直接拿来用。

第一步：先把风险画成一张全景图，别急着写制度

一上来就写制度，很容易写成一份没人看的文件。更稳的做法是先做一轮盘点，把风险摊开在一张表上，看清楚家里到底有哪些火点，再去谈怎么灭。盘点的目标是「先看见」，不是「先定性」。

• 按业务线、外部监管、内部流程三条线各走一遍，重点盯「谁在替你签字」的环节，风险多藏在这里
• 用「触发场景 + 可能后果 + 现有控制」三列表格记录，只写事实不写结论，避免一上来就下判断
• 区分法律风险、合规风险与内控缺陷三类，混在一起后面定责会互相推；三类边界可到 安全与合规术语对照（/ai-dict/category/safety） 核对当时的口径说明
• 涉及模型、数据、内容生成的业务，还要单独拉一条线看工具侧的合规边界

第二步：分级定优先级，先管后果不可逆的

盘点出来的清单通常很长，全部同等对待等于没管。分级的意义是决定资源先投到哪里，判断标准要提前说死，避免每次开会现吵。

每一档都要配一个响应动作：最高档立即处置，中间档限期整改，低档进观察清单按季度回看。还要写一句「什么情况下升级到上一档」，比如监管上门、媒体介入、牵涉多方主体，否则分级会慢慢变成摆设。

至于各家平台被处罚、被投诉的活跃度这类数字，不在正文里下结论，去 站内排行与追踪页（/rankings） 看当时的更新即可。

第三步：方针要写清「谁在什么时间做什么」，而不是写口号

一份能用的合规方针，读起来应该像操作手册，而不是倡议书。判断标准很简单：随便抽一条，能不能回答「谁、什么时候、做什么、做完交给谁」。答不上来的条款就是废话。

适用范围

写清覆盖哪些主体、哪些业务、哪些外部合作方，模糊的边界要单独点名

职责分工

落到岗位而不是部门，明确一线初判、法务定性、管理者批资源各自是谁

报告路径

发现问题几小时内报给谁、走什么形式，不写时间的事后基本没人报

复盘节奏

按风险档位分开定，高风险季度、低风险年度，别一刀切

• 与已有制度冲突时，以最新签署的版本为准，避免两套说法同时生效
• 方针里不写金额、不写具体天数以外没法定的事，宁可写「按当时审批结果执行」
• 新签合同、新供应商、新业务上线三类场景必须写进适用范围，这是最容易漏的口子
• 把方针压到两页以内，超过两页的版本基本没人真的读完

第四步：把方针接进日常动作，做三件可检查的事

方针签完只是开始，能不能落地看它有没有变成日常流程里的一个卡点。下面三件事都是可以检查的，做没做一验就知道，不靠感觉。

1. 上线前置检查新业务、新合同、新供应商上线前过一道固定检查表，检查项写死在表里，不靠个人经验，缺项不允许放行
2. 季度事件回放每季度抽一两个已发生的风险事件做回放，问清楚当时哪一层控制失效、方针里哪句话没被遵守，结论写进下次修订
3. 岗位清单拆解把风险清单拆到具体岗位，谁负责盯哪几条一目了然；工具侧的用法边界可参考 法律与合规工具分类（/ai-nav/category/ai-legal） 下的说明，别越界使用

最后提醒一句：合规方针的价值不在于写得多全，而在于出了事能顺着它找到人、找到动作、找到下一步。做不到这三点的版本，建议重写。