一份合规风险清单最容易失效的方式，是被当成「法务的文件」：法务写、法务填、法务存档，业务部门从头到尾没有参与。等到真正需要用的时候，清单上写的事项和业务实际做的事对不上。本文提供的是一份可以直接打印、按部门分发的风险清单框架——按业务条线列出常见合规风险方向，每个方向给出自查要点、责任部门与证据来源，让清单从法务手里走到部门手里。具体适用须结合个案事实与本企业情况；本文不构成对任何具体事项的法律意见。
一、清单的三种用法
同一份清单，在三个场景下的用法不同：
- 建立阶段：作为义务识别的底表，逐条判断「本企业是否涉及」，不涉及的写明理由后留空；
- 运行阶段：作为部门自查表，按固定节奏由责任部门填写现状、差距与证据位置；
- 复核阶段：作为内部检查与年度自评的取样依据，从清单中抽取条目逆向验证。
三种用法共用同一套条目，差别只在于谁来填、填什么。因此条目设计时就要考虑「部门能不能自己填」——写不到部门能填的颗粒度，清单就只会停在法务手里。
二、十条常见风险方向（按条线归口）
以下为通用方向，企业按自身业务筛选后使用；每条都应能落到一个责任部门。
- 经营资质与许可：证照是否在有效期内、经营范围与实际业务是否一致、续期是否有提醒机制——责任在行政或业务主办部门；
- 反腐败与商业往来：礼品招待、赞助捐赠、佣金与折扣是否有审批与登记，往来是否可追溯——责任在业务与财务；
- 第三方与合作方：准入核查、合同条款、履约复核是否留痕，异常情形是否有处置路径——责任在采购或业务；
- 公平竞争与市场行为：对外宣传用语、价格与促销安排、与同行的接触场景是否有内部口径——责任在市场与销售；
- 个人信息与数据（境内）：收集范围、告知方式、权限分配、委托处理是否有记录，离职与账号回收是否有流程——责任在人力与信息技术；
- 用工管理衔接：规章制度公示、岗位职责确认、关键岗位约束与离职交接是否留痕——责任在人力；
- 安全生产：责任制是否落到岗位、隐患发现与整改是否闭环、培训与演练是否有记录——责任在生产与安全管理部门；
- 环保与排污：手续是否齐备、设施运行与监测记录是否连续、委托处置是否有凭证——责任在生产与环保管理部门；
- 财税与票据：报销与付款审批链是否完整、票据与业务是否对应、异常往来是否有说明——责任在财务；
- 内部报告与调查：反映渠道是否已知、受理与初核是否登记、结论是否反馈并留痕——责任在合规或人力。
三、清单的字段结构
条目要能填、能查、能追责，字段不宜多。建议保留六列：
- 风险方向：对应上表中的哪一类；
- 自查要点：写成一句可以回答「是／否／部分」的问题；
- 责任部门与岗位：写到岗位，部门只作为归口；
- 现状与差距：写清差在制度、流程还是留痕；
- 证据来源：材料名称与存放位置，调不到即视为无留痕；
- 等级与安排：分为立即纠正与限期完善两类，写明后续动作与完成时点（时点由企业自定）。
字段确定后，建议用同一份文件同时充当「自查表」与「整改台账」：部门填完现状，合规汇总差距，整改完成后回填证据位置。这样清单会随着使用自然更新，而不是每年重新做一份。
四、怎么把义务落到部门：四个动作
- 先归口：每一条明确主办责任部门，涉及多部门的写清谁主办、谁配合；
- 再交底：由合规向责任部门讲清「为什么要查这一条」和「做到什么程度算做到」，避免只发一张表；
- 定期回收：设定固定回收节奏，回收时同步核对证据，不是只收表格；
- 闭环处理：发现差距即转入整改，整改完成后回到清单更新状态，形成一次完整循环。
这四个动作中，第二步常被省略。部门不理解条目含义时，填写结果会退化成形式化打勾。涉及采购、合同与付款等交易环节的条目，可结合商业分类的相关文档确定证据类型。
五、常见误区
误区一：清单越全越好
把不涉及的方向也写进去，只会稀释注意力。判断「本企业是否涉及」本身就是清单工作的一部分。
误区二：由法务代填所有条目
法务无法掌握每个业务节点的真实执行情况。代填得到的是一份看起来完整、实际不准的表。
误区三：只填现状不填证据位置
没有证据来源的「已做到」，在复核时无法验证，等同于未做。
误区四：一年填一次、填完即止
清单的价值在使用频率。业务变化、人员更替、交易对方新增要求，都应当在固定复核节奏中回到清单上。
前提与免责
- 本文为一般性介绍，不构成法律意见，也不能替代对具体事项的专项判断；
- 个案结论须结合具体材料、业务模式与本企业实际情况综合判断；
- 相关法定标准与监管口径可能调整，请以现行规定与官方来源为准；
- 我们不对办理结果与时限作出承诺。
联系我们
如您有具体的合规管理问题，欢迎把制度文本或事实经过发给我们做一次初步梳理。邮箱：services@legalidea.cn；或通过联系我们提交咨询。本分类其他文档见合规与风控；也可先阅读本分类置顶的企业合规与风控。
具体可能因个案而异，详情请咨询我们的律师。