法律合规风险包括哪三个方面

很多人被问到『法律合规风险包括哪三个方面』时，脑子里只有零散的合同、资质、隐私几个词，拼不出结构。结果排查风险时东一锤西一棒，漏掉的往往是没被归类的那些。这篇给一套分类框架，说清每个维度看什么、什么情况下这套分法不适用，并给出可直接照着走的排查顺序。

很多人被问到「法律合规风险包括哪三个方面」时，脑子里只有零散的合同、资质、隐私几个词，拼不出结构。结果排查风险时东一锤西一棒，漏掉的往往是没被归类的那些。真正实用的做法不是列一张「我们出过什么事」的清单，而是先分堆、再排查。

这篇给一套可对照的分类框架：三个维度分别看什么、每个维度在什么场景下权重会下降，最后给一条能照着走的排查顺序。目的是让法务、运营和管理者拿到同一套语言，知道该往哪个格子里放问题。

先搞清楚为什么要按维度分，而不是按事件列清单

按「出过的事」列风险清单，永远只覆盖已知案例。你写下的每一条都是过去踩过的坑，而新业务带来的往往是没被想到的那一面。分维度的意义在于穷尽未知面：只要你的业务落在某个维度里，那个维度的问题就存在，出没出过事只是概率问题。

• 三个维度的常见切法可以简化为：主体资质与外部监管、合同与交易行为、数据与内部管理
• 分类只是检索索引，不是判决书。真实案件常常跨维度叠加，判断时别只盯一个格子
• 先分堆的好处是分工明确：谁管资质、谁管合同、谁管数据，责任能落到具体人头上

第一类：主体与资质——你以什么身份做这件事

这一维度问的是一个根本问题：你有没有资格做这件事。看营业执照、经营范围、行业许可、备案是否覆盖当前实际业务，特别是有没有「照上没写、实际在做」的业务。很多风险不是做错了，而是没有身份去做。

跨境、医疗、金融、教育这类强监管场景，资质口径与普通贸易差别很大。同样一句「卖货」，在不同行业里对应的许可链条长度完全不同。这类场景建议单独拉一张资质台账，把每条业务线对应的许可项列清楚。

资质覆盖度

手上的证照和备案能不能覆盖你实际在做的每一类业务

超范围经营

营业执照或行业许可没写，但业务照跑，属于这一维度最典型的隐患

不适用情形

纯内部管理、不对外经营的主体，这一维度权重会明显下降，但并非归零

第二类：合同与交易行为——你怎么和对方约定和履约

这一维度看你对外怎么承诺、对内怎么留痕。合同条款、履约凭证、付款与发票链条、对外宣传承诺是否一致，是四个最常出问题的点。重点看权利义务对不对称、违约责任是否可执行、口头承诺有没有落纸。

1. 抽出在用合同模板把公司目前在用的全部合同模板按客户类型或业务线分组，别按年份堆在一起
2. 逐组过风险条款每组合同对照一张风险条款清单，标记条款空洞、责任单边、承诺未落纸的地方
3. 核对宣传口径把官网、店铺详情页、销售话术里对外的承诺，和合同条款做一次对照，看是否有说得到做不到的表述
4. 留存证据链确认付款、发货、验收、沟通记录是否能串成完整链条，链条断点本身就是风险点

挑合同审查工具时不必追求功能最全，先看它能不能按你的业务类型预设检查项。站内法律与合规工具目录可以按场景筛，找到适合自己合同体量的那一类。

第三类：数据与内部管理——人、资料和流程怎么管

这一维度管的是「看不见的资产」：个人信息收集授权、员工数据、客户资料留存与出境、供应商保密约定。它最容易被忽略，因为不出事时几乎没有存在感，一旦出问题往往牵涉面广、整改周期长。

制度和执行是两回事。「我们有隐私政策」不等于「我们按隐私政策执行」。留痕缺失本身就是风险点：你无法证明自己做过合规动作，在争议里等于没做。建议定期抽查几个真实场景，看流程是否真的走了。

一份能直接照做的排查顺序

有了三个维度，还需要一个执行顺序，否则照样会乱。推荐从主体开始，因为主体问题往往是前置条件，主体不成立，后面的合同和数据讨论意义有限。四步走下来，第一次做完大概需要几天，之后每季度复跑一遍即可。

1. 第一步列主体把公司、分支、店铺账号的主体和资质做成一张对照表，逐条标注覆盖与空缺
2. 第二步列交易按业务线抽取最近在用合同，标记条款空洞与承诺未落纸处，同步核对对外宣传口径
3. 第三步列数据把接触个人信息和客户资料的岗位标出来，逐个确认授权、权限与留存规则
4. 第四步做交叉对每条风险同时标注三个维度，跨维度的排前面处理，因为跨维度问题的后果通常更重

需要参考具体量级和横向对比时，不要凭印象估，到站内价格与模型资料库核对当时的数字；涉及服务商选择，可以先去站内站点导航页看分类整理。判断标准比数字更重要，数字只是验证手段。