很多企业的第一次合规建设，是从「找一套制度模板」开始的：制度汇编、员工手册、合规管理办法，装订成册放进抽屉。半年后再看，除了封面，其余内容没人翻过。问题往往不出在制度写得不好，而在于没有先回答一个更前面的问题：这家企业到底被哪些要求管着，哪些要求已经做到、哪些没有、做没做到由什么材料证明。本文给出一套可以在一到两周内跑完的合规义务识别与风险清单方法，作为合规体系的起点。具体适用须结合个案事实与本企业情况；本文不构成对任何具体事项的法律意见。
一、为什么「先列清单」比「先写制度」更重要
制度是结果，不是起点。企业拿到模板就能写出「合规管理办法」，但模板回答不了三个只有自己才知道的问题：这条要求对应我们哪个业务动作？由哪个岗位执行？做完之后留下什么材料？
一套合规体系的最小可用形态，其实只需要三件东西：
- 一份义务清单：把「我们要遵守什么」写成一条条可执行的事项，而不是法律章节；
- 一份风险清单：标出每一条当前做到什么程度、差距在哪里、属于哪一级风险；
- 一套留痕机制：让「做了」可以被证明——审批记录、培训签到、检查记录、整改凭证。
判断清单是否合格，有一个简单标准：随便抽一条，能不能当场回答「谁负责、做到什么程度算做到、用什么材料证明」。三问答不上来，这条就还停在口号层面。
二、合规义务从哪里来：四个来源
义务识别不是凭感觉列举，而是沿着四条固定线索去找。建议每条线索各花半天，由法务牵头、业务配合。
来源一：行业与业务属性
做制造、做贸易、做平台、做医疗健康、做金融服务，监管重点完全不同。先确认企业涉及的许可、资质、备案与专项监管领域，把与之对应的持续义务列出来（不是列法规名称，而是列「我们要持续做到的事」）。
来源二：业务模式与交易结构
采购、生产、仓储、销售、外包、代理、线上经营，每一种模式都会带来不同的义务。方法很简单：把业务流程图摊开，逐个节点问「这一步有没有外部要求」。凡是有对手方、有资金流、有数据流、有交付标准的节点，通常都有义务。
来源三：交易对方与平台要求
大型客户、核心供应商、电商平台、招投标文件、融资协议，往往会附加大量的合规条款（供应商行为准则、审核清单、反腐败承诺、数据保护要求）。这些不是法律义务，但违反后果同样直接——降级、暂停合作、取消资格。它们应当与法定义务一并进清单，只是标注来源不同、处置优先级不同。
来源四：内部事件与既有问题
过去一段时间的处罚、投诉、诉讼、审计发现、离职人员反馈，是最真实的风险样本。把每一个事件倒推成一条义务，比凭空推演有效得多。建议由法务与内审一起过一遍近两年的记录。
三、把义务翻成风险清单：三列法与两级分级
义务清单只回答「要做什么」，风险清单回答「我们差在哪」。建议在义务条目上增加三列：
- 现状与差距：已完全做到／部分做到／完全未做，并写清差在制度、流程还是留痕；
- 证据：能证明已做到的材料名称与存放位置；没有材料的，视为未做；
- 责任人：写到岗位（如采购主管、生产经理、HR 专员），不写部门。
分级建议只分两级，避免在体系尚未跑通时陷入复杂评分：
- 立即纠正：涉及法定强制义务的缺口（例如资质失效仍在经营、按规定必须留痕却完全空白），先停止或纠正现状，再讨论历史问题；
- 限期完善：制度与留痕类缺口，按月排期，指定责任人与完成时点（时点由企业自定，不照搬外部模板）。
四、一份清单长什么样
清单宜用表格，一行动作、一行证据，颗粒度到「可执行」为止。示例结构（内容按本企业实际填写）：
- 事项：供应商准入前完成合规尽调｜来源：交易对方要求｜现状：仅口头询问｜差距：无书面记录｜责任人：采购主管｜级别：限期完善｜证据：尽调表＋审批记录；
- 事项：关键岗位年度合规培训并留痕｜来源：内部制度要求｜现状：已做但无签到｜差距：留痕缺失｜责任人：HR 专员｜级别：限期完善｜证据：签到表或系统记录；
- 事项：经营资质到期前完成续期复核｜来源：行业监管｜现状：无提醒机制｜差距：无台账｜责任人：行政负责人｜级别：立即纠正｜证据：资质台账＋续期凭证。
清单最容易犯的错，是写成一章法律。判断颗粒度是否合适，仍用三问法：谁负责、做到什么程度、拿什么证明。写不到这一步的条目，继续拆。
五、常见误区
误区一：把义务清单做成法规摘抄
摘抄看起来专业，但业务看不懂、用不上。清单的读者是执行岗位，语言应当是动作，而不是条文。
误区二：只列风险，不列证据
没有证据栏，清单就永远是「差不多做了」。争议或检查到来时，起作用的是材料，不是口头说明。
误区三：由法务一个人闭门完成
义务多半产生在业务流程里，业务不参与，清单必然与实际脱节，最后变成一份没人认领的文件。
误区四：做完一次就归档
业务模式变化、交易对方新增要求、人员更替都会让清单过期。建议固定节奏复核，并在新业务立项前做一次合规预审。
六、从清单到体系：四步落地
- 认领：每条义务指定岗位责任人，责任人签字或系统确认；
- 补制度：只补缺的部分，已有制度能覆盖的不重写，避免「重新造一遍文件」；
- 嵌流程：把关键控制点做进业务节点（准入、审批、用印、付款、离职），让合规动作成为流程的必经环节；
- 复核：按固定周期复盘清单与证据，更新状态，并把新发生的事件倒推成新条目。
做到这一步，企业就具备了一个能自我更新的合规起点：清单会随业务长，证据会随流程留。后续的制度完善、培训安排、检查应对，都可以挂在这份清单上，而不是各自为政。涉及用工管理部分的合规事项，可先看本分类的相邻分类劳动关系。
前提与免责
- 本文为一般性介绍，不构成法律意见，也不能替代对具体事项的专项判断；
- 个案结论须结合具体材料、业务模式与本企业实际情况综合判断；
- 相关法定标准与监管口径可能调整，请以现行规定与官方来源为准；
- 我们不对办理结果与时限作出承诺。
联系我们
如您有具体的合规管理问题，欢迎把制度文本或事实经过发给我们做一次初步梳理。邮箱：services@legalidea.cn；或通过联系我们提交咨询。本分类其他文档见合规与风控；也可先阅读本分类置顶的企业合规与风控。
具体可能因个案而异，详情请咨询我们的律师。