风险管理、内部控制与合规管理操作指南

很多团队把风险、内控、合规当成三拨人各干各的：风控在写台账，内控在补流程，合规在追政策，出事时却发现谁都说不上话。这篇不讨论概念差别，只讲三件事怎么串成一条操作线——从识别到控制到留痕，什么情况下该合并、什么情况下必须拆开。

很多团队把风险、内控、合规当成三拨人各干各的：风控在写台账，内控在补流程，合规在追政策。平时看不出问题，真出事时却发现谁都说不上话——翻台账的不知道流程卡在哪，管流程的不知道外部要求怎么写的，追政策的又没参与过实际操作。这篇不讨论概念差别，只讲这三件事怎么串成一条操作线：从识别到控制到留痕，谁牵头、按什么顺序做、留哪些证据。

核心思路很简单：同一条业务动作，用一张表把三种视角叠上去。但叠之前得先分清各自管什么，不然表会越画越乱。下面按边界、映射、触发、留证四步拆开讲，每步都给能直接抄的动作。

先分清三者各管什么，再谈协同

风险管理

盯「可能出什么事」，输出风险清单与等级，回答的是概率和影响

内部控制

盯「流程有没有防住」，输出控制点与责任人，回答的是动作有没有被执行

合规管理

盯「外部要求有没有满足」，输出义务清单与证据，回答的是能不能自证

三者重叠的部分才是协同区。同一份数据、同一个审批动作，可能同时是风险缓释手段、内控措施和合规证据。协同要做的就是找到这些重叠点，把它们标出来统一管理，而不是逼着三拨人共用一套模板。

• 先问一句：这个动作不做会出什么事——归到风险
• 再问一句：谁能保证它每次都做——归到控制
• 最后问一句：外部要求里有没有这条——归到合规
• 三个问题指向同一个动作的，就是协同点，优先处理
• 指向不同动作的，各自管，不必强行合并

用一张对照表把三者接到同一件事上

表建好之后按季度维护：只挑变更最大的几行重看，没变更的行不必重写。控制措施这一列最容易写虚，写完后自己念一遍，如果一句话无法判断「做没做」，就说明还得改具体。具体条款和术语口径会变，别抄别人表格里的旧描述，到站内的安全与合规页面和术语对照页核对当时的写法。

1. 第一步：列动作把业务按环节拆成 10 到 20 个可观察动作，太多说明粒度太细，太少说明还没拆到位。
2. 第二步：填风险与外部要求每个动作后面接它可能出的事和有关要求，空缺的动作说明要么没风险，要么你还没查过要求。
3. 第三步：补控制与证据给每个动作配一条能验证的控制措施，并写明证据存放位置，两列缺一不可。

什么时候触发、按什么顺序动

表只是静态映射，真正考验协同的是什么时候动、按什么顺序动。触发分三类：新业务上线、外部口径变化、出现实际事件。前两类可以走计划流程，排期做；第三类必须走应急流程，先止血再补流程。

• 新业务上线：先做映射表，再放行，别倒过来
• 外部口径变化：先比对差异，再判断哪些动作受影响，最后改控制点
• 出现实际事件：先控损，再定性，后补流程
• 顺序反了的典型表现：事件当天先开会追责，结果损失还在扩大
• 自查发现文档缺失但没有实际损失：进常规整改，不必启动应急

应急阶段的时间线可以借鉴站内那篇 Key 泄露处置的文章，把主体换成你的业务对象：谁在第几分钟做什么、谁复核、谁对外口径。计划流程不适用应急场景，反之亦然，别拿常规排期去处理正在扩大的损失。

留证与复盘：能自证才算做完

做完不等于能证明做完。每项控制至少留三类痕迹：谁做的、什么时候做的、依据是什么。前两类多数团队都有，缺的往往是第三类。缺依据的控制点，事后很难解释为什么这么做，检查时容易被判为无效。

复盘只问三个问题：控制点为什么没拦住、当时有没有更早的信号、下次改哪个具体动作。第三问最重要，答不出具体动作的复盘等于没做。另外对外报送口径和内部整改口径分开记录，混用会在下次检查时对不上。

风险、内控、合规不是三套台账，而是同一条业务动作上的三个观察角度——角度能对齐，台账自然就少了。