合规管理“三张清单”的谬传及其纠正
发布时间：2025-12-30
作者： 陶光辉
“合规风险识别清单、岗位合规职责清单、流程管控清单”这三张清单的编制，一直是央国企合规管理建设的一项重点任务。
很多企业的合规人员，在一些咨询机构的鼓吹和推荐下，也认同“三张清单”是合规管理体系建设的必备动作。
也经常看到一些央企国企，将“三张清单的编制工作”单独拿出来，作为一个咨询项目进行采购招标。
一些咨询机构和律所也为此付出了大量的工时，委派一个庞大的助理团队来编制那些“细长细长”（最后基本上成了“又臭又长”）的表单，以满足企业自己都没有想清楚、搞明白的需求。
然而，经过这几年对“三张清单”在实践中的实施效果评价，我们不得不承认，“三张清单”在合规体系运行中，基本上是没有达到任何预期效果的。
有一些咨询和律所团队制作的“三张清单”结构和内容，除了体现为对一些法律法规和内部制度的“来回正反填写、反复摘录”，根本没有任何作用。
这与我们对“三张清单”的理论认知不足密切相关，也以我们对“三张清单”的“以讹传讹”相关。
这个认知，必须是基于“管理的逻辑”来认识，而不是根据这“三张清单名称”来认识，或者一些咨询机构提出的“想当然”的认识。
这些想当然的认识，因为听上去朗朗上口，所以很是流行，但其实它可谓是混淆和搞乱“三张清单底层逻辑”的“元凶”。
如，有机构提出，合规风险识别清单是指“管什么”，岗位合规职责清单是指“谁来管”，流程管控清单是指“怎么管”。
这种体系性的形容，看似清楚地表达了一个合规风险是如何受到管控的。
但如果深究，这种说法是完全不靠谱的，误导了不少的咨询和企业人员。还有不少专家，抓住所谓“合规要求入岗位、入流程”这种简单化的理解不放。其实，从某种角度，这些提法均是禁不起推敲的，也是无法落地的。首先，合规风险识别清单，在名称上就存在一定的误导。当然，这个可能是源头上的错误，与咨询机构无关。
第一张清单，其内容应是“合规风险清单”，而不是“合规风险识别清单”，合规风险清单，应当包括风险的识别、风险应对措施的列举等。特别是风险应对的措施，必须在这个清单就要体现，这样才能作为第二张清单——流程管控清单的前提。其原因，后文细说。
其次，在清单的顺序上，很多专家认为岗位合规职责清单应当是第二张清单，美其名为“合规要求入岗位”。
这个顺序，也是错的。这也是没有理解合规职责清单和流程管控清单的管理逻辑所造成的。
其实，不管是合规职责清单，还是流程管控清单，都是落实风险清单中的管控措施的，而并不是所谓落实合规要求进岗位、进流程。
合规要求或合规义务，是无法直接进入岗位或流程的。因为，这些要求或义务，都是以企业为主体，而不是以个人或流程为主体，除了内部规定，也极少以部门为主体。
因此，所谓合规要求入岗位，根本就是一个无法实现，存在逻辑错误的提法。
真正能入流程的，是管控措施中的控制措施，如审查、检查、核实、审议、批准等行为。
这些行为，才能进入所谓流程节点之中。而呈现这些行为的，要在合规风险应对措施中去寻找。
故，流程管控清单，其真正的涵义是指对合规风险管控措施中的各类控制行为进行梳理，然后编制这些控制行为的执行标准、输入与输出。
这样才能将基于风险的管控措施，落实到流程之中。
同理，岗位合规职责，也不是直接述说岗位应遵守的合规要求与合规义务，在这一点上，本人此前也犯过类似错误。
岗位合规职责，其实质是以流程管控清单中的控制行为（控制点）为起点，梳理如何将控制点所提出/对应的措施如何落实到各相关岗位之上，包括岗位应当做的和岗位禁止做的，并配以履职的证据说明。
这才能将基于风险的管控措施，基于流程的控制点，落实到岗位之上。
故，合规义务——合规风险描述——合规风险管控措施设计——在流程中设置和执行重要控制措施——在流程节点上明确特定岗位的合规动作（职责）与红线提示，这才是基于合规风险的“三张清单”的内在管理逻辑。
也即，正确的顺序是：合规风险清单——流程管控清单——岗位合规职责清单。如按这个顺序及其逻辑，可能绝大多数企业的“三张清单”都需要进行重大改造。
只有这套组合设计，才能真正实现管控那些已识别出来的重要合规风险。也只有这样设计，三张清单才能真正用起来，否则就成了前文所述“细长细长”的表格而已。
最后，要声明的是，对于不同的主体，如流程所有者，业务操作岗位、决策管理岗，合规管理人员以及审计人员，三张清单是有不同的用途的。
在合规管理数字化时代，三张清单才能真正从编制走向使用，也才不辜负其曾经的“盛名”。
—— 为法务人赋能，助企业家化险
