内控合规三道防线如何协同运作

很多团队三道防线写在制度里挺好看，一到具体事上就乱：一笔业务出问题，业务部门说是合规没拦住，合规说是内控流程没设卡，内控说风险条线没给指标。这篇不讲概念定义，只讲三条线日常怎么交接：什么信息必须往下传、什么事必须一起签、出了问题谁先动。银行场景单独拎出来说，因为它受监管检查最密，问题也最典型。

很多团队三道防线写在制度里挺好看，一到具体事上就乱：一笔业务出问题，业务部门说是合规没拦住，合规说是内控流程没设卡，内控说风险条线没给指标。根子不在定义没背熟，而在三条线平时怎么交接根本没约定。这篇只讲日常协同：什么信息必须往下传、什么事必须一起签、出了问题谁先动。

银行场景会单独拎出来讲，因为受监管检查最密，问题也最典型，很多毛病在小机构还没暴露，在银行已经反复出现。看的时候可以先对照自己的工作，把能对上号的挑出来。想先补基础概念，可以到 指南中心（/guides） 看已有条目，这里不重复讲定义。

先把三条线各自能决定什么说清楚

协同乱，多半是因为没人说得清哪条线能拍板。第一道是业务和一线，对风险结果负第一责任，不是只负责执行；第二道是合规与内控，能要求停、能要求补材料，但对业务结果不兜底；第三道是内部审计，只看别人做没做到，不替人改流程。这三句话背下来容易，落到权限表上难。

既制定规则又自己执行

占了两样就要把制定和执行拆到不同人手上

既执行又自己检查

同样是越位信号，检查权要挪出去

第二道替业务写规程

边界不清的典型，规程该由业务写、合规审

第三道替合规出整改措施

更严重，审计只评价不代改

• 判断一条线是否越位：看它是不是既定规则、又自己执行、又自己检查，占了两样以上就得拆开
• 边界不清的信号：第二道防线在替业务写操作规程、第三道防线在替合规出整改措施
• 不适用的情况：几十人的小机构没必要硬拆三条线，先把「定规则的人不查自己」这一条守住就够用
• 权限表要落到纸面：每类事项写清谁提、谁审、谁批，避免事后各说各话

三条线之间的四类交接动作

分工清楚只是起点，真正容易掉链子的是交接。四条线之间每天在传的东西，大体能归成四类：信息、决策、整改、留痕。每一类都要有固定的载体和确认方式，否则就是口头说说，出了事谁都不认。下面这张表可以直接拿去对照自己的流程。

信息交接最容易做成单向发文，第二道把要求发下去就完了，一线的例外情况和实际困难上不来，结果制度越写越细、执行越来越假。要专门设一个回传口子，哪怕只是定期收一次例外清单，也比只发不收强。

多久碰一次、什么情况下必须往上报

1. 定固定节奏常规事项走例会同步，把议题和时间提前发出去；重大风险事项不排进下一次例会，触发即时上报
2. 提前写死升级条件涉及监管检查、涉及跨条线、涉及金额或客户量达到某个量级，只要命中就上报，免得每次靠人情推动；具体量级按自家业务规模定，写进制度
3. 给上报配闭环谁受理、给不给答复、多久回，都要写清。没有闭环的上报，第二次就没人愿意报了
4. 验证闭环是否真跑通挑最近三次上报，看有没有受理记录和回复记录，缺一次就说明流程只是写在纸上

银行场景里最容易卡住的三处和改法

银行受检查最密，三类问题几乎每轮都能碰到：一线人手紧、条线竖向管、检查前临时拼材料。共同点是流程设计把成本压给了执行端，问题却记在执行端的账上。改的方向是往回收，不是往上加。

有一个很好用的判断标准：如果一件事只有靠加班才能合规完成，说明流程设计本身有问题，不是执行不到位。这时候该改的是流程，而不是再去要求一线提高责任心。

一份可以照着走的自查顺序

不用一次改完三条线，挑一个下午，按下面四步走一遍，能发现的问题通常比想象的集中。每步都别只看制度写了什么，要看最近实际发生的事。

1. 翻旧账找出最近几件被通报或整改过的事，逐件标出三条线各自做了什么、缺哪一环，用同一张纸并排写
2. 查自己查自己看有没有第二道防线既定规则又自己检查的情况，有就先拆，这是协同的地基
3. 抽查在办事项挑三件正在推进的事，看交接有没有留痕、升级有没有闭环，缺哪类交接就补哪类
4. 分类收口把问题按「流程问题」和「人的问题」分开，流程问题改制度，人的问题改培训或考核，别混在一起谈

• 每件整改事项只挂一个责任部门，参与可以多条线，签字只能一个人
• 跨条线事项必须有主办方，其余条线出人不出决定
• 上报必须有受理和回复记录，否则下次没人报
• 制度里的量级和触发条件要写明，不要留模糊描述