合规管理的三道防线包括哪些

很多团队一说合规就默认全是法务的事，业务照跑、技术照发，出了事才发现没人接。这篇不讲大道理，只把三道防线分别管什么、上下游在哪里交接、日常按什么节奏碰头摊开。适合刚被安排牵头合规、或者想把现有分工理顺的人，照着对一遍就能看出自己团队缺了哪一环。

很多团队一说合规，默认就是法务的事，业务照跑、技术照发，等到监管问话或者客户审厂才发现没人接。问题通常不在态度，而在分工没摊开：谁定规则、谁执行、谁复核，三件事混在一起，出了事第一反应是找个人背锅，而不是看哪个环节断了。

这篇按三道防线的划分把角色、交接点和日常节奏拆开讲，最后给一份能直接照着分工的清单。适合刚被安排牵头合规的人，或者想把现有分工理顺的人，照着对一遍就能看出自己团队缺了哪一环。需要说明的是，这套结构不是越复杂越好，小团队照着抄部门反而会拖慢节奏，关键是三类职能有人认领。

三道防线指的是哪三类角色

第一道是业务与研发本身。日常动作的合规性是他们的直接责任，不是把风险往上一交就完事。比如签合同、调数据、上功能，做的人要知道这一步碰了哪条红线。第二道是合规、法务、风控这类专职职能，负责定规则、给判断标准、做独立评估，但他们不下场干业务。第三道是内部审计，或者直接向决策层汇报的监督方，只对最终结果负责，既不参与定规则，也不参与执行。

适用边界要写清楚：团队小于十来人时，不必硬凑三个独立部门，但三类职能必须有人认领。最容易出问题的是同一个人既定规则又查自己，这种结构表面上省人力，实际上把第二道和第三道合并了，监督等于空转。真要一人多岗，至少把「定规则」和「验证结果」这两件事拆给不同的人。

三个角色在哪里交接：四条最容易漏的缝

三道防线之间真正的风险不在各自干什么，而在交接的地方。规则从第二道传到第一道、问题从第二道传到第一道再回到第三道，每一处交接都可能掉链子。下面四条是实际工作中最常漏的。

1. 规则落地口径第二道给的是原则，第一道要把它翻译成具体动作。翻译这一步如果没人负责，规则就只是墙上的纸。做法是每条规则都指定一个责任人，输出一份「什么情况下做什么、留什么记录」的动作清单，第二道签字确认口径对得上。
2. 例外与豁免审批业务想破例时，审批权不能在业务自己手里，也不能全压在第二道。提前定好分级：影响范围小的由第一道负责人加合规联系人双签，影响大的升到第二道。判断标准是审批人有没有能力看懂这次破例的真实风险。
3. 数据与证据留存谁产生记录、谁负责归档、谁有权调取，这三件事要分开写清。出事时对不上账，多半是这里没约定。建议做一份记录清单，列明每类动作对应的留存位置和保留期限。
4. 整改闭环第二道提出的问题由第一道改，第三道验证改没改完。缺了验证这一环等于没改。验证结论要书面留档，并注明是当场关闭还是需要下次复查。

• 规则的落地口径：没指定翻译责任人，规则就停在纸面
• 例外审批：审批权在业务自己手里，等于没有审批
• 证据留存：产生、归档、调取三个动作没分人，出事就对不上账
• 整改闭环：没人验证改没改完，问题会反复出现

协作节奏：日常、月度、年度各看什么

三道防线不能只在出事后才联动，日常节奏定下来，大家才不用每次都靠临时拉会解决。节奏的价值在于让每一道知道什么时候该找另外两道，而不是等事情闹大。

• 日常：第一道把高频动作做成自查清单，固化成可勾选的步骤，而不是每次临时讨论
• 月度或季度：第二道做一次独立抽样复核，重点看上次提的问题有没有反复出现
• 年度：第三道做一次全流程穿透，覆盖范围、抽查口径和结论都要有书面记录
• 触发式：新功能上线、换供应商、进入新市场这类变动，强制走一遍三道确认，不等固定周期

不适用的情况也要说清：业务变动极快的团队，固定周期的复核可能根本来不及，等一个季度过去业务形态已经变了。这类团队应把节奏改成事件驱动，把固定碰头降为兜底，重点放在变动发生时强制三道过一遍。

给自己团队对一遍：六个判断题

不用一次全改，先拿这六个问题对一遍，标出哪些答不上来。答不上来的地方，通常就是当前最该补的交接点。定完分工后，把关键动作和判断标准落到文档里，方便后面追溯。

如果答下来发现第二道和第三道分不开，或者规则更新后一线还在用旧版本，那就不用急着加流程，先把这几个口子堵上。具体的评估口径和检查项，可以到站内的指南中心对照查看当时的版本。