法律风险和合规风险的区别

做合规的人常被一句话问住：这个到底算法律风险还是合规风险？两套词混着用，报告里写不清，责任也分不到人头上。这篇不抠法理，只讲怎么在工作里把两者分开：先看来源、再看触发方式、最后看谁来管、怎么记台账。看完你能拿一份对照表去对自家的风险清单，也能判断某个具体场景该归哪一类。

做合规的人常被一句话问住：这个到底算法律风险还是合规风险？两套词混着用，报告里写不清，责任也分不到人头上。更麻烦的是，同一个事项在法务的台账里是一个说法，在合规岗的清单里又是另一个说法，汇总到管理层那里数字对不上，最后谁也不认账。

这篇不抠法理，只讲怎么在工作里把两者分开：先看来源、再看触发方式、最后看谁来管、怎么记台账。看完你能拿一份对照表去对自家的风险清单，也能判断某个具体场景该归哪一类，至少不会在下次汇报时被问到答不上来。

为什么这两类风险总被混着说

日常语境里「合规」被当成「不违法」的同义词，一混就把两件事压成一件。嘴上说合规，脑子里想的是别踩法律红线，结果真正需要盯的监管细则、行业规范、平台规则和内部制度反而没人管。这种混用不是学术问题，是日常沟通的默认习惯，改起来得先承认它存在。

• 两者在触发链条上位置不同：一个看行为是否越了法律红线，一个看是否偏离了外部与内部规则的集合
• 混用的直接后果是报告口径不一、整改责任落不到具体岗位，回头看谁都没错
• 同一件事在两套台账里重复登记，或者两边都以为对方记了，最后漏项
• 对外报送时用词不稳，被追问一次口径就变一次，可信度往下掉

那什么情况下不必细分？小团队只有一个人兼管时，内部可以合并归档，一份台账管到底没问题。但对外口径仍要能说清，因为监管问询、合作方尽调、平台申诉不会因为你们人少就降低要求。合并的是内部管理工作量，不是对外解释的严谨度。判断标准很简单：如果对方会追问「这归属于哪一类责任」，你就得分得清。

把边界划清：来源、对象、后果三个维度

三个维度里，来源维度最好用也最快能判断。法律风险指向法律法规与司法解释，合规风险还包含监管细则、行业规范、平台规则与企业自定制度。你手上这份风险涉及的规则是谁发布的、有没有强制力、违反后由谁主张，基本就能定性。

对象维度和后果维度更多是用来交叉验证的。法律风险落在主体行为，合规风险落在流程、岗位与制度执行。后果上，前者常见赔偿、处罚、诉讼，后者更多是罚单、限业、资格暂停与内部问责。如果一件事情的后果既可能是诉讼又可能是内部问责，那说明它本身横跨两类，不是分类失败。

凡是「不合规但不必然违法」的，别硬套进法律风险，套进去只会让真正该关注的法律边界被稀释。

重叠区怎么处理：既不重复统计，也不漏项

重叠场景其实很常见。数据跨境同时涉及法律义务和监管规则要求，用工管理里既有劳动合同法的硬约束，也有内部制度执行的软要求。硬要二选一，归属写起来轻松，但后续追责时就会发现少了半个视角。

1. 第一步：双标签登记在清单里同时打上法律风险和合规风险两个标签，不强行二选一，标签只是描述性质，不是责任分配。
2. 第二步：定一个主责主责只归一个部门，写进负责人姓名和岗位，避免两边都管等于两边都不管。
3. 第三步：写清协办范围协办部门写明白配合什么，比如提供制度依据、配合问询回复、执行整改动作，不要只写「协办」两个字。
4. 第四步：核对汇总汇总时检查同一事项有没有在两张表里各记一次，有就合并成一条，保留两个标签即可。

别把同一件事在两张表里各记一次，否则汇总时数字会打架，管理层看到的是重复计数。什么情况下要拆开单独立项？涉及刑事边界的，单独立项，不要混在普通合规项里，走单独的汇报和处置通道，避免在普通清单里被淹没。

拿具体场景过一遍对照表

口说无凭，拿场景过一遍最直观。用工管理、广告宣传、数据处理、采购与付款、渠道合作这几类是高频争议区。每类都可以拆成「可能违法」「仅不合规」「两者都有」三档来归位，归位后再写触发信号。

通用场景举例：一家 5 人小团队接了境外订单，数据出境和平台规则要分开看。数据出境看的是法定要求，平台规则看的是平台定的准入与运营条款，两者的责任对象和处置路径不一样，混在一起写报告必然说不清。

至于具体处罚力度、判例走向、监管口径的时效性内容，站内资料库有整理，到 /guides 里的合规专题核对当时的说法，别拿旧结论套新情况。

归口与责任：谁管哪一类，怎么不打架

常见做法是法务管法律风险、合规岗管制度与规则符合性，但边界要写成文，不能靠默契。默契在人员变动时立刻失效，新来的人不知道过去的约定，重复劳动和推诿就都来了。

• 违反了谁定的规则：法律定的归法务主导，监管或平台或内部制度定的归合规主导
• 谁有权解释：能出正式解释意见的部门主责，其他部门配合
• 谁承担后果：对外承担责任的部门主责，哪怕它不负责日常执行
• 争议升级路径：跨部门谈不拢时，约定一个固定的升级节点和裁决人，写进制度

争议升级时要留痕，邮件、会议纪要、清单批注都算，别只在口头达成一致，过两个月谁都不记得。什么情况下这套归口不适用？没有独立法务岗的企业，建议按事项类型而非部门来分，比如把所有涉及外部监管的事归一个人，所有内部制度执行的事归另一个人，这样比硬凑部门更实际。

落地动作：把两类风险落到清单和台账

清单字段建议统一：风险描述、类别标签、来源依据、触发信号、责任岗、复核周期。字段定下来后不要频繁改，改一次全表都要重填，成本很高。类别标签就用法律、合规、双标签三档，不要再细分层级。

台账和报告要分开。台账记过程，包括每次复核、每次调整、每次争议的处理记录；报告只呈现结论和待办，不要把过程全倒进去，否则读者抓不住重点。复核周期按风险类别定，高频变化的类别周期短一些，稳定的类别可以拉长。

1. 先列全按业务场景把事项列全，不要一开始就分等级，先保证不漏项。
2. 再打标签逐条对照来源依据打法律、合规或双标签，打不出来的先标记待确认。
3. 后定等级标签打完后才谈等级和优先级，顺序颠倒会导致等级建立在错误分类上。
4. 签字确认清单定稿后由责任岗签字，下一轮复核时对照上一版看变动，变动要有理由。

复核与升级：什么时候这套分法要改

有三个触发点要主动改清单：监管口径变化、业务进入新地区、上线新产品。这三个场景都会引入过去没覆盖的规则来源，旧标签可能就不够用了。别等到出了问题才回头翻清单，那时候改已经晚了。

• 发现同一事项反复被归错类，说明标签定义本身需要重写，不是执行问题
• 监管问询口径发生变化，同一类事项的处理方式要整体复核一遍
• 业务进入新地区，先查当地规则来源再补标签，不要套用原地区结论
• 上线新产品，按场景重跑一遍分类流程，别直接复制旧产品的清单

改版记录要留，方便对外解释口径变化。监管或合作方问起「为什么上次是这么归、这次变了」，拿得出记录就好解释，拿不出来就是口径不稳。提醒一句：这套分法是管理工具，用于内部归口和汇报，不替代具体法律意见，遇到实质法律判断该找专业意见还是要找。