监管上门、客户审厂、投标要资质，这些是「要我合规」；自己想进新市场、想接大客户、想少出事故，这是「我要合规」。很多团队卡在同一处：预算和人力只够做一件事，先做哪边？这篇不讲合规的定义，只给一套可照着走的判断顺序、信号清单和落地动作，并说明哪些情况下这套分法不成立。
监管上门、客户审厂、投标要资质，这些是被动合规，也就是「要我合规」。自己想进新市场、想接大客户、想少出事故，这些是主动合规，也就是「我要合规」。很多团队卡在同一处：预算和人力只够做一件事，先做哪边？这篇不给定义，只给一套能照着走的判断顺序、信号清单和落地动作，并说清哪些情况下这套分法本身就不成立。
先记住一个区分口径：判断一件事属于哪一侧，不看它多重要、花多少钱，只看「你不做会不会有人来问」。有人会来问就是被动，没人问只是你自己想做得更稳，就是主动。这个口径后面每个小节都会用到，因为它直接决定排期和签字人。
两种合规到底差在哪，先对齐口径
| 对比维度 | 要我合规 | 我要合规 |
|---|---|---|
| 驱动来源 | 监管检查、客户合同、平台准入、招投标资格 | 进新市场、接大客户、压事故率 |
| 谁定优先级 | 外部，验收标准别人写 | 自己，节奏自己排 |
| 出事谁兜底 | 企业仍是最终承担方，供应商只承担约定部分 | 企业自己定责任边界 |
| 拖延后果 | 被驳回、被暂停、丢单 | 错过窗口期，或被对手先占位 |
- 「要我合规」的动作是被要求的，验收标准由别人定，通过与否有明确判据；
- 「我要合规」的动作是自选的，验收标准自己定，做多做少没有外部仲裁；
- 两者的差别不在做多少事，而在谁定优先级、谁签字、出事时谁兜底；
- 不适用情况：业务单一、只服务本地小微客户、没有任何外部准入要求的团队，硬做主动合规容易变成空转。
先做哪边：四个判断信号
不要凭感觉选，按下面四个信号过一遍。四个信号里同时命中两个以上外部相关的，被动合规优先；只命中后两个的，可以按主动来排。这套顺序的用意是：先把不可协商的期限兜住，再用剩余资源做能带来增量的事。
- 信号一：有没有硬期限有明确的检查、审厂、资质截止点，就先做被动合规。这是不可协商的，其它动作全部排到期限之后，先把台账上带日期的条目清掉。
- 信号二：丢单成本如果某个大客户的合同里写了合规条款，算一下丢这一单的损失，和做一次自查要花的人天对比。前者明显更大，就往主动一侧靠，别等客户来问。
- 信号三：事故历史过去一年出过数据外泄、账号封禁、内容违规之类的事，说明现状兜不住，主动合规的收益更实。没有事故不等于没问题，但优先级可以放后。
- 信号四：扩张意图半年内打算进新行业、新地区、新渠道，先把对应的合规动作排进计划。别等被卡住才补，补的时间往往比提前排多得多。
人手有限时的最小可行动作顺序
下面是给五到二十人规模团队的顺序，人更少也能照着走，只是把每一步的颗粒度调粗。原则是：先补会被外部直接看到的部分，再补内部治理；先有记录，再谈优化。顺序本身比做得多深更重要。
- 第一步，列清单：把外部要求逐条抄下来，注明来源和期限，到 安全与合规（/safety） 按主题对一遍，别凭记忆写；
- 第二步，定一个人：合规不能挂在一个部门名下，指定唯一负责人，哪怕是兼职，至少保证有人签字；
- 第三步，先补外部可见项：对外公示的条款、隐私说明、日志留存、账号权限，这些检查时最先被翻；
- 第四步，再补内部治理：制度文档、培训记录、自查台账，这些属于主动合规的部分，可放到第二阶段；
- 第五步，留痕：每次自查都产出可追溯的记录，举证材料怎么留可参考 出事后的举证与维权（/guides/dispute-evidence-keep）；
- 第六步，不想自己排的，对照 企业办公场景的自查与操作建议（/guides/enterprise-ai-compliance-selfcheck） 逐条过。
什么情况下这套选择法不成立
前面那套「先做哪边」的排序有前提，就是企业确实有选择空间。下面几类情况里，选择权不在自己手上，硬套前面的顺序会出问题。遇到这些，先承认没有选择空间，再在必须做的框架里排先后。
- 强监管行业：金融、医疗、政务数据处理，两边都是底线，只能排顺序不能砍；
- 跨境业务：涉及数据出境的，路径选择和评估要求由规则决定，先看 数据出境合规路径（/guides/data-export-compliance-paths） 再谈优先级；
- 使用第三方 AI 服务：边界在供应商侧，企业能控的主要是内部使用规范和账号权限，别指望靠内部制度改变上游责任划分；
- 只想省钱而完全不做：把合规当纯成本项，风险会在检查或审厂时集中爆发，补的时间和成本通常更多。
落地清单与复盘点
判断完优先级，剩下的就是台账和复盘节奏。台账不要做成一次性文档，要能持续更新，否则下一个检查周期又得从头整理。复盘节奏跟着检查周期和合同周期走，别按自然年机械地排。
- 外部要求台账
- 含来源、条款、期限、责任人、当前状态，每条都要有唯一负责人。
- 内部动作台账
- 含制度、培训、权限、日志四类，每类写明频率，避免只建一次就不动。
- 归档
- 把每次检查、审厂、客户问卷的结果归档，下次判断优先级直接用这份记录。
- 判断归属
- 如果一件事你不做也不会有人来问，那它属于主动合规；有人会来问，就是被动合规。
先分清「谁在问」，再决定「先做什么」，顺序错了，做得多也是白做。下一步想核对不同合规主题的覆盖范围和当前状态，到站内专题页对照自己的台账过一遍，比凭记忆列清单可靠。→
常见问题
小公司是不是只要应付检查就够了？
取决于你有没有扩张打算。只做本地小客户、没有外部准入要求，被动应付确实够用；但一旦要接大客户、进平台、参与投标，对方往往会先看你的制度和记录，这时候补的成本比提前做高。建议至少把对外公示类和账号权限类动作先做掉，这两类检查最常被翻。
主动合规会不会白花钱？
会，如果方向选错。判断标准是看它能不能对应到具体收益：拿到某个客户、通过某次审核、减少某类事故。说不出对应收益的主动合规，先别立项，写成待办观察即可。反过来，能明确指向一个业务动作的，就值得排进预算。
两种合规能不能完全分开做？
实操里分不太开。制度、权限、日志这些基础件，被动合规要交、主动合规也要用，做一次能同时满足两边。真正需要分开决策的只是优先级和投入节奏，不是工作内容本身。所以先做共用底座，再按外部期限插队，是省事的做法。
