Internal Compliance Risk Identification

内部合规风险识别

概述表格

法律声明

重要提示：

1. 本技能提供的合规风险识别为辅助性分析，不构成正式法律意见书。

2. 合规审查结论依赖于企业提供信息的完整性和真实性，信息不完整可能导致遗漏重大风险。

3. 不同行业（金融、医疗、互联网、能源等）存在特殊的监管规则，需结合行业特殊规定进行审查。

4. 涉及跨境数据传输、反垄断、反贿赂等特殊领域的合规问题，建议另行委托专项审查。

5. 整改建议应经执业律师或合规专业人士审核后实施。

一、核心概念

1.1 三大审查维度

内部合规风险识别
├── 维度一：制度体系完整性审查
│   └── 核心问题：企业是否建立了覆盖全部合规义务的内部规章制度？
├── 维度二：业务流程控制有效性审查
│   └── 核心问题：核心业务流程中的控制节点是否完备、执行是否有效？
└── 维度三：个人信息保护合规性审查
    └── 核心问题：隐私政策协议及数据处理活动是否符合《个人信息保护法》等法规？

1.2 合规风险等级定义

1.3 常见合规义务来源

二、完整工作流程

阶段一：准备与信息收集

步骤 1：确认企业基本信息

• 企业名称、统一社会信用代码
• 所属行业（决定适用的特殊监管规则）
• 企业规模（影响合规义务的强度和范围）
• 业务区域（是否涉及跨境经营、多地经营）
• 本次审查范围：制度审查 / 流程审查 / 隐私审查 / 全部

步骤 2：收集审查所需材料

阶段二：制度体系完整性审查

步骤 3：梳理企业应遵守的合规义务

1. 根据企业所属行业，识别适用的法律法规清单 2. 从法律法规中提取对企业具有约束力的合规义务 3. 将合规义务分类（如：公司治理、劳动用工、安全生产、数据保护、反商业贿赂等）

步骤 4：建立制度-法规对照矩阵

步骤 5：审查现有制度内容的合规性

对已建立的制度，逐项审查：

• 制度内容是否与现行法律法规一致（无冲突、无过时条款）
• 制度规定的责任主体是否明确
• 制度规定的操作流程是否具体、可执行
• 制度是否规定了违规后果和问责机制

步骤 6：输出制度缺失审查结果

对每项发现的问题，按以下格式输出：

**问题编号：** G-01
**问题类型：** 制度缺失
**合规义务：** 建立反商业贿赂合规制度
**法律依据：** 《反不正当竞争法》第7条、第19条
**风险等级：** 🔴 重大
**问题描述：** 企业未建立反商业贿赂专项制度，销售人员佣金政策未经合规审核，存在商业贿赂风险敞口。
**整改建议：**
1. 制定《反商业贿赂合规制度》，明确禁止性行为清单
2. 建立经销商/代理商准入审查机制
3. 对销售人员进行反商业贿赂培训
4. 建立礼品、招待、佣金审批登记制度
**整改优先级：** 高

阶段三：业务流程控制有效性审查

步骤 7：获取并还原业务流程

1. 获取业务部门提供的书面操作指引或流程图 2. 若无书面文件，通过访谈还原流程，明确以下要素：

• 流程起点与终点
• 各环节名称及先后顺序
• 每个环节的参与岗位及职责
• 每个环节的审批人及审批权限
• 每个环节产生的记录表单或系统日志

3. 绘制流程还原图（标注岗位、审批节点、单据流向）

步骤 8：识别应设未设的合规控制节点

对照法律法规及行业规范，判断流程中是否缺失以下关键控制节点：

步骤 9：检查不相容岗位分离

不相容岗位是指根据内部控制要求，不能由同一人担任的岗位。常见的不相容岗位：

检查方法：

• 获取岗位人员名单，检查不相容岗位是否由不同人员担任
• 若因人员不足无法分离，检查是否有替代性控制措施（如定期轮岗、交叉复核、系统留痕）

步骤 10：评估审批权限设置合理性

• 审批权限是否按金额/风险等级分级设置
• 大额或高风险事项是否有更高层级审批要求
• 临时授权审批是否有事后追认机制
• 审批权限是否以书面形式明确，避免口头授权

步骤 11：检查记录留存可追溯性

• 每个环节是否产生书面或电子记录
• 记录是否完整保存、是否可追溯至具体操作人员及操作时间
• 电子审批系统是否留有操作日志，日志是否防篡改
• 纸质单据是否有编号管理、归档制度
• 记录保存期限是否符合法规要求

步骤 12：输出业务流程审查结果

**问题编号：** P-01
**问题类型：** 控制节点缺失
**流程节点：** 供应商选择
**法律依据：** 《企业内部控制基本规范》第29条
**风险等级：** 🔴 重大
**问题描述：** 无供应商准入审核机制，业务人员可自行确定供应商，无资质审查、背景调查环节。
**整改建议：**
1. 建立供应商准入流程，由采购部或指定部门对供应商资质进行审核
2. 形成合格供应商名录，定期更新
3. 对新增供应商进行背景调查，排除利益关联
**整改优先级：** 高

阶段四：个人信息保护合规性审查

步骤 13：获取并审查隐私政策协议

获取企业现行有效的隐私政策协议全文（包括网站版、App版、小程序版等所有版本）。

步骤 14：逐项审查隐私合规要点

步骤 15：输出隐私合规审查结果

**问题编号：** D-01
**问题类型：** 告知内容不完整
**审查项：** 保存期限告知
**法律依据：** 《个人信息保护法》第17条
**风险等级：** 🟡 重要
**问题描述：** 隐私政策未明确告知各类个人信息的保存期限，仅表述为"实现目的所需时间内"，不符合法律关于告知保存期限的要求。
**整改建议：**
1. 补充各类信息的保存期限说明
2. 对难以确定保存期限的信息，明确保存期限的确定方法（如"订单完成后保留5年，其后删除或匿名化"）
**整改优先级：** 中

阶段五：汇总与报告

步骤 16：汇总全部合规风险

1. 将三个维度的审查结果统一编号（制度类G-XX、流程类P-XX、数据类D-XX） 2. 按风险等级排序（🔴 重大 → 🟡 重要 → 🟢 一般） 3. 统计各类风险数量

步骤 17：生成合规风险审查报告

# 内部合规风险审查报告

**审查对象：** XXX公司  
**所属行业：** XXX  
**审查日期：** YYYY-MM-DD  
**审查范围：** 制度体系完整性 / 业务流程控制有效性 / 个人信息保护合规性

## 一、审查结论摘要

| 风险等级 | 数量 |
|----------|------|
| 🔴 重大风险 | X项 |
| 🟡 重要风险 | X项 |
| 🟢 一般风险 | X项 |
| **合计** | **X项** |

## 二、重大风险清单（🔴）

[列明全部重大风险，每项包含：问题编号、问题描述、法律依据、整改建议、整改期限]

## 三、重要风险清单（🟡）

[列明全部重要风险]

## 四、一般风险清单（🟢）

[列明全部一般风险]

## 五、整改建议汇总

| 序号 | 整改事项 | 责任部门 | 建议完成期限 | 优先级 |
|------|----------|----------|-------------|--------|
| 1 | ... | ... | ... | 高 |

## 六、免责声明

本报告基于审查日企业提供的信息作出，仅供内部合规管理参考，不构成正式法律意见。
特殊行业监管规则需另行专项审查。

三、输出格式模板

输出 1：单项问题记录卡

**问题编号：** [G/P/D]-[序号]
**问题类型：** [制度缺失/制度内容违规/控制节点缺失/不相容岗位未分离/审批权限不合理/记录留存缺陷/告知不完整/同意机制缺陷/第三方共享违规/用户权利保障不足/其他]
**审查维度：** [制度体系/业务流程/隐私合规]
**涉及制度/流程/政策：** [具体名称]
**法律依据：** [法律名称+条款]
**风险等级：** [🔴/🟡/🟢]
**问题描述：** [具体、可核查的描述]
**整改建议：** [具体、可操作的措施]
**整改优先级：** [高/中/低]
**预计整改工作量：** [如：需制定新制度1项、修订现有制度2项、系统改造1处]

输出 2：合规风险清单汇总表

| 编号 | 维度 | 类型 | 问题简述 | 等级 | 优先级 |
|------|------|------|----------|------|--------|
| G-01 | 制度 | 制度缺失 | 未建立反商业贿赂制度 | 🔴 | 高 |
| P-01 | 流程 | 控制节点缺失 | 供应商选择无准入审核 | 🔴 | 高 |
| D-01 | 数据 | 告知不完整 | 隐私政策未说明保存期限 | 🟡 | 中 |

四、示例

示例 1：采购流程合规审查

输入：

某企业采购流程描述：业务部门提出采购需求→部门负责人审批→业务人员自行寻找供应商（无资质审核、无比价）→业务人员草拟合同→部门负责人签字后用印（无法务审核）→仓库管理员验收并入库→财务付款。5万元以上采购同样由部门负责人审批。用印仅登记日期，不记录合同名称和相对方。采购申请单由业务人员自行保管。

审查输出（节选）：

示例 2：隐私政策合规审查

输入：

某App隐私政策要点：用户注册需授权手机号和微信OpenID；使用全球购需提供身份证号；与支付平台、物流服务商共享订单信息；隐私政策未明确说明各类信息保存期限；未说明账号注销的具体路径。

审查输出（节选）：

五、常见错误与防范

六、特殊场景处理

6.1 多行业集团企业

对于同时经营多个业务板块（如同时涉及金融、房地产、科技）的集团企业：

• 按业务板块分别梳理适用的监管规则
• 识别集团层面统一制度与板块特殊制度的冲突或空白
• 关注集团内部关联交易、资金调拨等跨板块的合规风险

6.2 拟上市企业

拟上市企业合规审查除一般审查外，还需特别关注：

• 历史沿革中的股权变动合规性
• 关联交易定价公允性
• 劳动用工合规（社保公积金缴纳、劳务派遣比例）
• 环保、安全生产等特殊行业许可
• 税务合规（税收优惠的合法性、转移定价）

6.3 外资企业/跨境经营

• 审查外商投资准入负面清单合规性
• 审查跨境数据传输合规性（安全评估、标准合同、认证）
• 审查本地化存储要求（如地图数据、基因数据、重要数据）
• 关注国际制裁合规（OFAC、欧盟制裁清单）

6.4 数据驱动的互联网企业

• 重点审查算法推荐合规性（是否提供关闭选项、是否进行算法备案）
• 审查自动化决策的透明度（是否告知用户、是否提供申诉渠道）
• 审查大规模个人信息处理活动的个人信息保护影响评估（PIA）

七、质量检查清单

□ 1. 企业所属行业是否已明确？
□ 2. 适用的法律法规清单是否已梳理完整（含行业特殊规定）？
□ 3. 制度-法规对照是否已覆盖全部关键合规义务？
□ 4. 业务流程还原是否基于实际操作（而非仅书面规定）？
□ 5. 不相容岗位分离检查是否已覆盖全部关键流程？
□ 6. 隐私政策审查是否已覆盖全部法定告知事项？
□ 7. 每项风险是否已标注法律依据、风险等级和整改建议？
□ 8. 整改建议是否具体、可操作、已明确责任主体？
□ 9. 重大风险（🔴）是否已全部列明并优先处理？
□ 10. 审查报告是否已包含免责声明和局限性说明？

八、关联技能

九、局限性与风险提示

• 信息依赖性：审查结论完全依赖企业提供的信息，企业故意隐瞒或提供虚假信息将导致重大遗漏。
• 动态变化性：法律法规持续更新，审查结论仅反映审查时点的合规状态。
• 行业特殊性：不同行业的特殊监管规则差异巨大，通用审查清单无法覆盖全部行业特殊要求。
• 深度限制：本技能为合规风险筛查，发现的问题需经专业律师或合规顾问进一步出具正式法律意见。