法律风险廉洁风险合规风险

企业里三个词经常被混着用：出了事先叫法律风险，内部吃拿卡要叫廉洁风险，违反行业规矩又叫合规风险，结果谁牵头、谁上报、什么时候请外部律师全说不清。这篇不背定义，只给你一套分辨口径、一张归类对照表和一份处置顺序，让风控和合规岗在写报告、开会分工时能当场用上。

企业里这三个词经常被混着用：出了事先喊法律风险，内部吃拿卡要叫廉洁风险，违反行业规矩又归到合规风险。结果谁牵头、谁上报、什么时候请外部律师，全说不清。这篇不背定义，只给一套分辨口径、一张归类对照表和一份处置顺序，让风控和合规岗在写报告、开会分工时能当场用上。

先把一个前提讲清楚：这三个词不是互斥的标签，同一件事可能同时命中两个甚至三个。真正要练的能力不是「选一个最像的」，而是「判断命中几个、主责归谁、按哪条路径先动」。下面按这个思路拆。

三类风险的边界：先看违反的是什么，再看谁来找你

法律风险看是否触碰强制性法律法规，后果通常由法院判决、监管处罚或合同索赔来体现。合规风险看是否违反外部规则与内部制度，被罚之前往往先由监管问询、平台规则或行业自律组织发现。廉洁风险看是否利用职权谋取不当利益，触发点常是内部举报、审计线索或巡视检查。三者的差别不在严重程度，而在「谁最先发现你」。

判断顺序建议倒着走：先问「有没有人靠职权拿了不该拿的」，再问「违反了哪条明文规则」，最后才问「这条规则是不是法律」。三问都能对上时，按风险叠加处理，不要只挂一个标签。反向确认一次：如果某一问找不到对应的事实或条文，这一层就不成立，不要为了保险硬加。

把线索对号入座：一张自查对照表

拿到线索先填四格：谁报的（内部举报、监管来函、客户投诉、审计发现）、涉及谁（外部主体、内部岗位、上下游供应商）、有没有凭证（合同、转账记录、聊天记录）、时间点在哪。这四格填不满的，先补材料再定性，别急着在系统里建单。

• 谁报的：决定后续保密级别和是否需要回避，内部举报比客户投诉更要注意信息隔离
• 涉及谁：决定走外部沟通还是内部调查，涉及外部主体时法务要提前介入
• 有没有凭证：决定定性强度，口说无凭的线索只做登记不做结论
• 时间点：决定适用哪一版制度和是否超过上报时限

常见错配要提前打预防针：把供应商回扣记成「商业纠纷」，把员工私收好处记成「劳动纠纷」，把平台违规下架记成「法律风险」。定错类的直接后果是走错流程、错过上报时限，后面再改口径会非常被动。

1. 指定初判人一般由合规岗担任，负责把线索按对照表填四格并给出初判类型
2. 指定复核人一般由法务或内审担任，独立复核初判结论，不看初判人的理由先自己判一次
3. 处理分歧两人意见不一致时不要折中，按更严的那一类先报，后续调查再修正
4. 留痕初判和复核记录都要留档，写明判断依据和分歧点，方便季度复盘

处置顺序：谁牵头、先做什么、什么时候找外部

顺序建议固定成四步：先做事实固定（截图、导出、封存账号权限），再定风险类型，再定上报范围，最后才决定要不要请外部律师或审计机构。反过来先找外部，成本高且容易打草惊蛇，尤其是廉洁类线索，消息一旦漏出去，取证难度会成倍上升。

分工上，廉洁风险一般由内审或纪检牵头，合规风险由合规岗牵头，法律风险由法务牵头；三类交叉时以廉洁风险的调查权限优先，因为它往往涉及取证手段的特殊要求。这条优先级不是理论偏好，是因为廉洁调查的取证窗口最短。

不适用的情形：涉及人身安全、数据泄露扩散、监管已明确立案的，不要按常规顺序慢慢来，第一动作是止损和按监管要求时限上报。这类情况先动再理，事后补流程说明。

具体时限、上报口径和罚款区间这类硬数字，去站内 /ai-nav/category/ai-legal 和 /safety 页面核对当期资料，别凭印象写进报告，写错一个数字整份报告的可信度都会打折。

写报告和用工具时容易踩的坑

报告里别写「存在一定法律风险」这种模糊句，改成「违反 X 类规则、可能触发 Y 种后果、当前证据支持程度如何」。这样写的好处是后续追责和复盘时能直接对表，而不是每次都要重新解释当初到底在说什么。

• 写清违反的规则类型，不要只写严重程度
• 写清可能的后果种类，不要预判具体金额
• 写清证据支持程度，区分「已证实」「待核实」「仅有线索」
• 写清建议动作和牵头人，不要只写「建议关注」
• 写清下次复核时间点，避免线索挂起后无人跟进

用 AI 辅助梳理线索时，注意不要上传含个人身份信息、账户信息或未脱敏的举报材料。工具选择和数据边界处理方式可以参考站内 /ai-nav/category/ai-legal 里的工具说明，不要图方便直接贴原始材料进去。

每季度做一次归类复盘：把过去定过错类的线索挑出来，标注更正原因。这比重新写一套制度更能减少下次的误判，因为错误往往出在判断环节，而不是制度缺失。