3. 合规风险识别与评估的组织架构与职责设计

合规风险识别与评估不是某一个部门的“独角戏”，而是一套需要多角色分工、信息互通、结论互认的协同机制。很多企业把风险识别交给合规部单独完成，结果往往是：合规部列出的风险清单与业务实际脱节，业务部门觉得“被找麻烦”，审计和法务又各自掌握一部分信息却不共享，最终评估结论既无法落地，也无法追溯。要解决这个问题，核心在于把合规委员会、合规部门、业务部门、审计与法务四类主体在识别评估中的角色、输入、输出和衔接关系定义清楚。

一、四类主体的角色定位

合规委员会是识别评估工作的决策与统筹机构。它不直接做具体的风险清单编制，而是负责审批年度合规风险评估的范围、方法和优先级，裁定跨部门争议，并对重大风险的处理方案作出决策。典型输入包括：合规部门提交的年度评估方案、重大风险事项报告、审计与法务提供的专项发现；典型输出是经审议的评估范围、风险等级判定规则和重大风险应对决议。

合规部门是识别评估的组织者与执行中枢。它负责设计评估方法、编制风险清单模板、组织访谈与研讨、汇总评分、维护风险台账，并跟踪整改。合规部门的关键价值在于“翻译”：把法规要求翻译成业务可理解的风险场景，把业务反馈翻译成可评估的风险条目。

业务部门是风险信息的首要来源和风险责任主体。风险识别如果脱离业务，就会变成纸面文章。业务部门需要提供本领域的流程、系统、岗位、历史事件和外部合作情况，参与风险场景确认和可能性、影响程度的初评，并对本部门风险的整改负责。

审计与法务是独立验证与专业支撑力量。内部审计提供历史审计发现、控制缺陷和舞弊线索，并对评估过程的充分性进行独立复核；法务提供法律法规、监管处罚、合同争议和诉讼趋势的解读，帮助判断风险的法律后果与合规边界。二者不替代合规部门的组织职能，但为评估结论提供独立性和专业深度。

二、协同机制：从信息输入到结论互认

四类主体的协同可以概括为“业务供场景、合规做组织、法务审计给支撑、委员会定结论”。在具体运行中，建议按以下方式衔接：

• 信息汇集阶段：合规部门下发风险信息采集表，业务部门填报流程节点、控制措施和已知问题；审计提供近三年审计发现；法务提供监管处罚和诉讼数据。合规部门汇总后形成初筛风险池。
• 联合评估阶段：由合规部门主持，业务部门、法务、审计共同参加评估研讨会，对风险池中的条目逐项确认“是否真实存在、发生在哪个环节、可能性和影响如何”。
• 独立复核阶段：审计对评估过程的证据充分性和评分一致性进行抽查复核，法务对涉及法律后果的评分给出专业意见。
• 决策与发布阶段：合规委员会审议风险等级和重大风险清单，形成决议后由合规部门发布台账并分解整改责任。

三、职责分工与协同关系图

下图展示了四类主体在合规风险识别与评估中的职责边界、信息流向和协同关系。图中实线箭头表示主要信息或工作流，虚线箭头表示独立复核与专业支撑关系。

四、协同运行中的关键控制点

要让上述架构真正运转，需要在流程中设置几个关键控制点。第一，风险场景确认会必须由业务部门主导陈述，合规部门记录，避免合规部门替业务“编风险”。第二，评分校准环节应引入审计或法务对争议条目进行独立打分，当业务部门与合规部门对同一风险的可能性评分差异超过两级时，提交合规委员会裁定。第三，评估证据留痕，每条风险的评分依据、参与人、数据来源都应记录在台账中，便于审计复核和后续追溯。

以某制造企业为例，其在评估“危险废物处置合规风险”时，业务部门（生产与EHS）提供实际产废种类、暂存周期和处置合同；法务提供《固体废物污染环境防治法》最新处罚案例；审计提供上年度危废台账与转移联单的抽查缺陷；合规部门汇总后组织联合评估，最终将该风险的可能性评为“中高”、影响评为“高”，列入重大风险清单，并由合规委员会决议要求EHS部门在三个月内完成处置商资质复核和联单电子化。这个过程中，四类主体各自贡献了不可替代的信息，评估结论也因此具备了可执行性。

五、职责分工速查表

总体而言，合规风险识别与评估的组织设计，本质上是把“谁掌握信息、谁承担后果、谁提供独立判断”这三件事对应到具体角色上。合规委员会解决“谁来定”，合规部门解决“谁来组织”，业务部门解决“谁最清楚”，审计与法务解决“谁来验证和支撑”。四者各司其职又相互衔接，评估结论才既有业务根基，又有独立性和法律专业度，后续的整改和监控也才能真正落地。