合规清单列出来之后，紧接着的问题往往是：先做哪一件。所有事项都写着「重要」，资源却只有那么多。缺乏统一的评级口径时，排序通常由嗓门大小、上次检查的关注点或最近一次事故决定，难以持续。本文给出一张可落地的风险矩阵：用「后果严重程度」与「发生可能性」两个维度、各分三档，把清单上的条目排成有优先级的处理顺序，并说明评级后如何使用。具体适用须结合个案事实与本企业情况；本文不构成对任何具体事项的法律意见。
一、评级前先明确三件事
- 评级对象：评的是「风险事件」，而不是「制度文件」。写「未按规定留痕」比写「采购制度不完善」更容易判断；
- 评级主体：由法务与合规提供判断框架，业务负责人参与打分，避免闭门评级；
- 评级用途：用于决定资源投放顺序与整改时限，不用于追责，否则业务会倾向于低报。
这三件事不先说清，矩阵很快会变成一张无人维护的表格。
二、两个维度各分三档
维度一：后果严重程度
建议只分三档，并用描述性语言界定，避免出现「严重程度按金额划分」这类无法统一的写法：
- 高：可能导致经营资格受影响、重大交易受阻、核心数据或资产受损、声誉事件被公开传播；
- 中：可能导致合同违约、合作方降级或暂停、监管关注并要求说明、内部出现较大争议；
- 低：主要表现为流程瑕疵、记录不完整，可在例行管理中修正。
维度二：发生可能性
- 高：本企业已发生过，或行业与同类业务中反复出现；
- 中：具备发生条件，但尚未出现，或历史上零星发生；
- 低：需要多个前提同时成立，本企业现有控制措施可以覆盖。
两维交叉后形成九宫格，按「高风险优先、同档看可控性」的顺序排列。
三、九宫格对应的处置口径
矩阵的用处在于把评级直接翻译成动作，而不是留在颜色上：
- 高后果 × 高可能：立即处置。先停止或收紧现状，指定负责人，在复核前不得恢复；
- 高后果 × 中可能：限期整改，纳入管理层关注清单，按固定节奏复核进展；
- 中后果 × 高可能：优先做流程与留痕改造，把控制点嵌进业务节点；
- 高后果 × 低可能：以预防为主，检查既有控制措施是否真实有效，保留证据；
- 其余组合：纳入常态管理，按年度或固定周期复核，不占用当期主要资源。
存在争议时，建议以「后果」优先：可能性再低，一旦发生会伤及经营资格或重大交易的，也应当先处理。
四、评级的常见偏差与校正方法
- 乐观偏差：业务倾向于低估可能性。校正方法是用历史事件频次作为参照，而不是凭印象；
- 平均主义：为省事把多数条目评为中档，矩阵失效。校正方法是限定高档条目的数量上限，强制做出取舍；
- 静态评级：评完一次就归档。校正方法是把评级写入复核节奏，业务模式、交易对方要求或人员变动时重新评估。
评级不是精确科学，它的价值在于让排序过程可被说明：为什么这条排在前面，依据是哪几个事实。
五、常见误区
误区一：把评级做成算分
设计复杂权重、加总得分，看似严谨，实际往往因为口径无法统一而反复返工。建议在体系运行初期保持定性三档，待数据积累后再考虑细化。
误区二：只评风险不评控制措施
同一风险在不同控制水平下，实际剩余风险并不相同。评级后应补一栏「现有控制措施及有效性」，否则会把已有控制的条目重复列为高优先。
误区三：评级结果不反馈给业务
业务不知道自己的事项被评为高档，就不会主动调整动作。建议评级结果由责任岗位确认，并明确整改要求。
误区四：用评级代替处置
矩阵只解决排序问题，不解决执行问题。评出高档事项后，仍需指定责任人、动作与复核时点。
六、一张矩阵用起来：六步流程
- 从义务与风险清单中抽取待评级条目，一条只写一个风险事件；
- 由业务负责人对后果与可能性分别给出档位，并写明依据事实；
- 法务与合规复核档位，重点校正被明显低估的条目；
- 按九宫格落入处置口径，形成当期的优先处理清单；
- 为每一条指定责任岗位、动作与复核时点（时点由企业自定）；
- 在固定周期复核评级结果，并把新发生的事件倒推为新的评级条目。
矩阵跑顺之后，合规工作就有了可解释的排序依据：向管理层汇报时说的是「哪几条、为什么排在前、进展如何」，而不是笼统的「都在推进」。涉及合同与交易环节的风险条目，可一并参考商业分类的相邻内容。
前提与免责
- 本文为一般性介绍，不构成法律意见，也不能替代对具体事项的专项判断；
- 个案结论须结合具体材料、业务模式与本企业实际情况综合判断；
- 相关法定标准与监管口径可能调整，请以现行规定与官方来源为准；
- 我们不对办理结果与时限作出承诺。
联系我们
如您有具体的合规管理问题，欢迎把制度文本或事实经过发给我们做一次初步梳理。邮箱：services@legalidea.cn；或通过联系我们提交咨询。本分类其他文档见合规与风控；也可先阅读本分类置顶的企业合规与风控。
具体可能因个案而异，详情请咨询我们的律师。