4. 合规审查机制顶层设计

合规审查机制能否长期运转，不取决于某一次审查做得多细，而取决于顶层设计是否把“为什么审、按什么审、谁来审、审到什么程度、审完谁负责”这五个问题一次性说清楚。顶层设计缺失时，最常见的后果是：业务部门认为合规是法务的事，法务认为业务不提供真实信息，审计又只能在事后追责，三道防线各自忙碌却互不衔接。本节围绕目标、原则、组织架构、职责分工与三道防线协同五个设计要素展开，并给出一份可直接改造使用的职责分工表。

一、审查目标：从“不出事”到“可证明的合规”

合规审查目标不能只写“防范合规风险”，这种表述无法指导具体判断。建议把目标拆成三层，并明确各层的验收标准：

• 底线目标——阻断重大违规：对法律法规明令禁止、可能引发行政处罚或刑事责任的事项，审查必须能识别并拦截。验收标准是“高风险事项审查覆盖率100%，拦截记录可追溯”。
• 过程目标——让决策有依据：审查意见要能回答“能不能做、在什么条件下做、需要补什么材料”，而不是只给“同意/不同意”。验收标准是审查意见中条件性结论占比可统计。
• 价值目标——支撑业务可持续：通过前置审查减少事后整改成本，把合规要求转化为可执行的业务规则。验收标准是重大项目的合规返工次数、整改周期等指标可观测。

三层目标对应不同的审查深度：底线目标要求“一票否决”的刚性，过程目标要求“条件+建议”的弹性，价值目标要求“规则前置”的嵌入性。设计时应明确哪些事项适用哪一层，避免所有事项都按最严标准审查，导致效率崩塌。

二、设计原则：四条不可妥协的约束

原则是目标与组织之间的“约束条件”，建议至少确立四条：

1. 独立性原则：合规审查职能不能由被审查业务的直接责任人兼任。例如，采购合同的合规审查不能由采购经办人自己完成，至少应由其上级或独立合规岗复核。
2. 前置性原则：高风险事项必须在决策或签约前完成审查，事后补审只能作为例外，且需记录原因并升级审批。
3. 可追溯原则：每一次审查的输入材料、审查人、审查意见、修改记录、最终结论都应留痕，形成可回溯的审查档案。
4. 比例原则：审查深度与风险等级匹配。低风险事项可采用清单式快审，高风险事项必须逐项实质审查，避免“一刀切”。

三、组织架构：三层结构 + 一个常设接口

合规审查的组织架构建议采用“决策层—统筹层—执行层”三层结构，并在业务部门设置合规接口人：

• 决策层（合规委员会）：由主要负责人、分管业务负责人、法务合规负责人组成，负责审定审查制度、裁决重大分歧、审议高风险事项的最终结论。
• 统筹层（合规审查归口部门）：通常设在法务合规部，负责制定审查标准、维护审查清单、组织审查、汇总数据、向决策层报告。
• 执行层（各业务单元合规接口人）：负责本单元审查事项的初步识别、材料准备、与归口部门对接，是审查机制落地的“最后一公里”。

三层之外，必须明确一个常设接口：谁有权发起审查、谁有权退回材料、谁有权升级到决策层。接口不清，审查就会卡在“材料不全—退回—再提交”的循环里。

四、职责分工：用一张表把“谁做什么”钉死

职责分工最容易犯的错误是写成“共同负责”。共同负责等于无人负责。建议按“发起—初审—复审—批准—归档”五个动作，把每类角色的具体职责写成可检查的动作。下表为示例，可根据企业规模调整角色名称。

表中“条件性意见”是关键设计：合规审查意见不应只有“通过/不通过”，而应包含“在满足某条件后可推进”的中间态。例如，某采购合同审查意见可写为“在补充供应商反腐败承诺函、且付款条件调整为验收后付款的前提下，可签署”。这样既守住底线，又不阻断业务。

五、三道防线协同：不是接力，而是分层过滤

三道防线的经典定义是：第一道防线为业务部门，第二道防线为合规与风控职能，第三道防线为内部审计。很多企业把它理解成“业务先做、合规再审、审计最后查”的接力赛，结果第一道防线形同虚设。正确的协同模式是分层过滤：每一道防线都有独立的过滤标准，且后一道防线不重复前一道的全部工作，而是聚焦前一道的薄弱环节。

具体协同要点：

• 第一道防线做“自检”：业务部门在发起审查前，必须完成标准化自检清单，确认材料齐全、风险点已标注。自检未完成，合规部门有权直接退回。
• 第二道防线做“专业审查”：合规部门不重复业务自检，而是聚焦法律适用、条款风险、监管口径等专业判断，并出具条件性意见。
• 第三道防线做“独立验证”：审计不参与日常审查，而是定期抽查审查档案，验证第一、二道防线的执行质量，例如抽查“高风险事项是否100%前置审查”“条件性意见的落实情况”。

三道防线之间需要共享同一套风险分级标准和审查台账，否则会出现“业务认为低风险、合规认为高风险、审计认为没记录”的割裂。建议由合规归口部门统一维护风险分级标准，并定期向三道防线通报审查数据。

上图把三道防线的分工、升级路径和共享层放在同一视图中。需要特别注意的是：第一道防线的“自检”不是形式，而是把合规要求翻译成业务人员能操作的检查项。例如，采购合同自检清单可包含“供应商是否在禁入名单”“是否涉及关联交易”“付款条件是否与验收挂钩”等具体问题，业务人员逐项勾选后才能提交。这样第二道防线才能从“查材料”转向“查风险”。

六、落地时的三个常见断点与处理

断点一：接口人形同虚设。业务部门指定了合规接口人，但接口人没有时间或权限。处理方式是给接口人明确的“退回权”和“升级权”，并将其合规审查配合情况纳入绩效考核，而不是只靠自觉。

断点二：条件性意见无人跟踪。合规部门出具“补充材料后可签署”的意见后，业务部门直接签署，条件未落实。处理方式是在审查台账中设置“条件落实状态”字段，由合规归口部门在约定期限内复核，未落实的自动升级到合规委员会。

断点三：审计与合规标准不一致。审计抽查时使用另一套风险定义，导致结论冲突。处理方式是由合规归口部门统一维护风险分级标准，审计在抽查时直接引用该标准，差异部分单独记录并反馈修订。

综上，合规审查机制的顶层设计可以概括为：用三层目标定义“审到什么程度”，用四条原则约束“怎么审”，用三层组织加接口人回答“谁来审”，用职责分工表钉死“谁做什么”，用三道防线分层过滤实现“协同而不重复”。这五个要素齐备后，审查机制才具备可执行、可追溯、可迭代的基础。