法律与合规风险管理职责落实

很多公司的合规制度写得挺全，一问「这条谁负责、出事谁签字」就没人接得上。问题通常不在制度本身，而在职责没落到岗位、没落到动作、没留下痕迹。这篇给一套梳理顺序：先把风险和责任人对上号，再定谁做什么、留什么证据、多久检查一次，最后把不合适的情况也说清楚。

很多公司的合规制度写得挺全，一问「这条谁负责、出事谁签字」就没人接得上。问题通常不在制度本身，而在职责没落到岗位、没落到动作、没留下痕迹。制度是纸，职责是活，纸和活之间差的就是一张对应表。

这篇按梳理顺序讲五件事：先把风险和责任人对上号，再切清决策、执行、监督三层，然后定留什么证据、多久检查一次，最后把不适合套用的情况说清楚。全程只给判断标准和可执行动作，不做绝对化承诺。

第一步：先把风险清单和责任人对上号

风险清单不要从法条抄，那抄出来的是别人的公司。从业务环节倒推：把公司实际在做的动作列出来，签合同、发广告、收用户数据、用工、采购，每条动作后面挂可能出的问题。这样出来的清单才是这家公司真正会踩的坑。

• 一条风险只认一个第一责任人，其他都写协作方；出现两个「主要负责人」等于没人负责
• 跨部门的事指定牵头方，别写「共同负责」，共同负责最后通常变成互相等
• 责任人写岗位名不写人名，人名只进联络表；岗位一变，责任矩阵不用重画
• 每条风险补一句触发条件，比如「金额超过某档」或「涉及个人信息」，方便执行层判断要不要往上送

三层职责怎么切：决策、执行、监督别混在一起

三层职责混在一起是常见病：定规矩的人顺手把活也干了，干活的人自己检查自己。切开的办法是先分动作性质，再分岗位。下面这张表可以作为对照起点。

执行层最容易写空。写「负责合规管理」等于没写，要写到能说清「做完是什么样」的程度，比如「合同发出前完成条款核对并在会签单上留名」。这一步描述得越具体，后面留痕和检查越省事。

监督层不能同时是执行方。小团队做不到完全分离，至少让不同岗位交叉看，并把这个变通约定写下来，别让它停在口头。不然出事时谁都说不清当时是怎么查的。

留痕：怎么证明职责真的履行了

1. 定证据形式每个关键动作留一样东西就够，审批记录、会签单、邮件确认或台账条目，选一种固定下来，别每次换
2. 绑定流程让留痕成为流程的必经一步，没这一步就走不到下一步；靠自觉补材料是最容易出问题的地方
3. 核对时间线定期抽查审批日期和实际日期是否对得上，对不上就是风险点，先查流程再查人
4. 归档交接写清保存位置和期限，换人接手时能找到；重要节点做一次书面交接

检查与复盘：怎么知道职责在跑而不是挂着

检查频率按风险高低定，高风险看得勤，低风险周期放长。检查要用固定表单，逐条打勾或写「不适用」，避免整页都是「已检查」三个字。表单本身可以去站内的资料库页面找模板思路，数字和频率按自己公司情况定，需要对照例子可以到 站内工具与指南页面（/tools/speed-test） 看看同类做法。

• 发现问题追到「哪一环没人做」，而不是「谁态度不好」；追人的复盘下次还会犯
• 同一类问题连着出现两次，说明是职责设计有问题，该改矩阵而不是改人
• 复盘结论要能落到动作，改流程、加校验、调权限；只写「加强管理」等于没改
• 每次复盘留一页纸，写清改了什么、谁跟、什么时候回看

检查表里的具体阈值、覆盖范围这些数字，不同行业差别很大，别照搬网上的通用表，到站内的价格追踪和资料页面核对当时的公开口径，再按自己的业务调。

什么时候这套梳理不适用

这套流程不是所有公司都该照做。业务还在快速试错、模式一个月一变的小团队，先做「高风险动作清单加一件事一个人」的最小版本就够了，完整矩阵画出来也赶不上变化，反而变成负担。

• 纯外包或代运营的业务，重点应放在合同里的责任划分和对方的履约证据上，内部职责梳理作用有限
• 已经上市或受强监管的行业，内部梳理只是基础，还要按监管口径单独对一遍，不能拿这份清单直接当合规结论
• 只有一两个人的合规岗，先保高风险环节，低风险项允许挂着；硬要全覆盖通常什么都做不深
• 集团有多套体系的，先确认各体系的口径是否冲突，冲突没解决之前画矩阵只会画出矛盾

职责落实的标志不是文件上有人名，而是随便抽一件事，都能说清谁做、做什么、留下什么。