3. 合规风险识别与评估方法
合规制度体系设计最容易犯的错误，是“先写制度、再找风险”。制度文本一旦脱离真实风险，就会变成挂在墙上的文件。因此在制度起草之前，必须先完成一轮结构化的风险识别与评估，把“企业可能因哪些行为、哪些环节、哪些外部要求而承担不利后果”摸清楚。本节聚焦四类在制度设计前最常用的方法：风险清单法、流程分析法、访谈法、案例对标法，并说明它们各自解决什么问题、如何操作、如何组合使用。
一、四类方法的定位差异
这四种方法不是互相替代的关系，而是从不同“视角”逼近同一组风险：
- 风险清单法：从“已知风险库”出发，做全面扫描，解决“有没有漏项”的问题，覆盖面广但深度有限。
- 流程分析法：从“业务实际怎么跑”出发，逐环节找控制缺失，解决“风险发生在哪里、由谁触发”的问题，定位精准。
- 访谈法：从“人的经验和隐忧”出发，挖掘清单和流程图上没有写出来的灰色地带，解决“纸面之外的真实风险”问题。
- 案例对标法：从“别人已经踩过的坑”出发，用监管处罚、司法判例、行业事故反推自身短板，解决“严重性和优先级”问题。
四者组合起来，形成“广度—深度—隐性—严重度”的互补结构。下图展示了它们在制度设计前的输入、加工与输出关系。
二、风险清单法：先建立“不漏项”的底稿
风险清单法的核心是“拿一份成熟的风险条目库，逐条对照企业自身情况打勾”。清单来源通常包括：行业监管处罚高频事项、法律法规义务条款、集团或行业协会发布的合规风险指引、以及企业历史内审与举报记录。
操作上建议分三步：建库、对照、标注。建库时按“领域—子领域—风险描述”三级组织，例如“劳动用工—加班管理—未依法支付加班费”。对照时逐条判断“本企业是否存在该风险敞口”，结论只有三种：存在、不存在、暂不明确。对“存在”和“暂不明确”的条目，标注初步责任部门和可能涉及的业务环节。
清单法的价值在于覆盖面，但它的局限也很明显：清单是通用的，企业是具体的。因此清单法通常作为第一轮“粗筛”，产出的条目必须交给流程分析法和访谈法去验证和细化。
三、流程分析法：把风险钉在具体环节上
流程分析法要求把一项业务从发起到结束画成流程图，然后逐个环节问三个问题：这个环节有没有合规义务？现有控制能不能覆盖？如果失控，后果是什么？
以“供应商付款”为例，流程可拆为：采购申请→供应商准入→合同签订→收货验收→发票校验→付款审批→资金支付。逐环节分析后可能得到：供应商准入环节缺少“黑名单/关联关系”核查，属于高风险；发票校验环节已有“三单匹配”控制，风险较低；付款审批环节存在“一人多岗”隐患，属于中风险。这样得到的风险点带有明确的环节位置和责任人，制度条款就能直接对应到“在准入环节增加关联关系核查”这样的可执行要求。
四、访谈法：挖出流程图上看不见的风险
访谈法针对的是“制度写了但没人执行”“流程图上没有但实际存在”的隐性风险。访谈对象应覆盖三类人：一线执行者（知道实际怎么绕开控制）、中层管理者（知道考核压力下哪些环节被牺牲）、财务/法务/内审等监督岗（知道历史问题和举报线索）。
访谈不是聊天，建议使用半结构化提纲，围绕“你最近一次遇到拿不准合规边界的事是什么”“哪些环节你觉得最容易出问题”“如果出问题，通常是谁先发现”展开。访谈记录要当场确认，避免事后转述失真。访谈产出的风险往往带有“场景感”，例如“销售为了赶季度末签约，先发货后补合同”，这类风险很难从清单里直接读到，但对制度设计极有价值。
五、案例对标法：用别人的代价确定优先级
案例对标法通过收集同行业、同规模企业的监管处罚决定书、司法判例、行业事故通报，反推自身是否存在同类风险。它的独特价值在于提供严重度参照：同样是“未按规定保存记录”，有的行业罚款几万元，有的行业可能触发停业整顿甚至刑事责任。
操作时建议建立“案例—风险点—本企业对照—严重度”四列表。例如某同行因“未对客户身份进行尽职调查”被处以高额罚款并暂停业务，对照本企业发现客户准入环节仅做形式审查，则该风险应被列为高优先级，制度设计中必须设置强制核查节点和留痕要求。
六、四类方法如何组合落地
实际项目中，四类方法通常按“清单法铺面→流程法定位→访谈法补盲→案例法定级”的顺序推进，但不必机械串行。一个可参考的组合节奏是：
- 先用风险清单法在1～2天内完成全领域粗筛，形成初始风险池；
- 选取3～5个高风险业务，用流程分析法逐环节细化，形成“环节—风险—控制”对照表；
- 针对流程分析中“暂不明确”和“控制缺失”的条目，安排访谈验证，补充隐性风险；
- 用案例对标法对全部风险条目做严重度校准，输出高/中/低分级；
- 将分级结果整理为“制度设计输入清单”，明确每条风险对应的制度条款方向、责任部门和优先顺序。
需要强调的是，风险识别与评估不是一次性的。制度设计前完成首轮评估后，应在制度试运行阶段用同样的方法做一次回检，确认高风险项是否已被制度覆盖、控制措施是否可执行。只有把“识别—评估—制度设计—回检”连成闭环，合规制度才不会沦为纸面文章。