一、合规管理不是写制度
多数企业的合规建设是从一套制度汇编开始的：合规管理办法、员工行为准则、反舞弊规定……文件很厚，但一年后问「我们现在有哪些合规义务、谁在负责、上次履行是什么时候」，往往答不上来。
原因很简单：制度描述的是「应当」，合规管理要交付的是「已做」。监管检查、IPO 问询、客户尽调，要看的都是后者——有没有清单、有没有责任人、有没有记录。
二、第一步是适用性识别，不是抄模板
法规是面向所有企业的，但一家企业的实际义务通常只占其中一小部分。把不适用的条款也纳进来，结果不是更安全，而是清单臃肿、没人看、没人做。
适用性识别要回答三个问题：这条法规管不管我们这类主体；管不管我们这项业务；管不管我们所在的地区或行业。三个都成立才纳入。判断过程建议留档，因为「为什么这条不适用」本身也是需要解释的。
三、三张清单，各自解决一个问题
| 清单 | 回答的问题 | 产出形态 |
|---|---|---|
| 合规义务清单 | 有哪些法规要求我们必须遵守 | 按合规域组织的义务条目，每条对应法规出处与条款 |
| 合规风险清单 | 哪条义务我们最可能做不到、后果多大 | 义务 × 发生可能性 × 影响程度，形成优先级 |
| 责任事项清单 | 谁在什么时点做什么、留什么证据 | 部门 / 岗位 / 频次 / 动作 / 交付物 / 证据 |
三张清单是递进关系，不是并列的三份文件：义务清单回答「有什么要求」，风险清单回答「先做什么」，责任清单回答「谁来做、怎么证明做了」。跳过任何一张，链条就断了。
常见的失败模式是：只做了义务清单（法规汇编），没有风险排序，于是所有条目同等重要，执行时平均用力，真正高风险的反而没做扎实。
四、一条合规义务要写到什么程度才算可执行
判断标准只有一条：换一个人来读，能直接照着做，并且做完知道该留下什么。
对比两种写法：
- 不可执行：「应加强发票管理，确保发票取得、开具合法合规。」——谁加强？怎么算加强？做到什么程度算合规？
- 可执行：「每月 10 日前，财务部税务岗对进项发票做一次查验：核对开票方与合同主体一致、税率与业务相符；查验记录存入《进项发票查验台账》，异常项 3 个工作日内处理并留痕。」——有岗位、有时点、有动作、有交付物。
第二种写法看起来啰嗦，但它同时解决了执行、考核和举证三个问题。合规体系的质量，基本就取决于能把多少条义务改写成第二种。
五、合规、内控、法务、审计的边界
这四个概念经常被混在一起，职责不清就会互相推。一个简化的划分：
- 法务负责判断「这事合不合法」，出法律意见；
- 内控负责流程中的制衡与授权，防止错误与舞弊；
- 合规负责把外部要求转成内部义务并组织履责留痕；
- 审计负责事后独立检查前三条是否做到。
合规部门不替代法务的专业判断，也不替代审计的独立性。它做的是组织工作：把要求拆开、分下去、盯住、收上来。
六、90 天落地节奏
下面是一个可执行的节奏，前提是范围收窄——第一轮只做一个主体、一个业务条线、一组高优先级合规域。想一次覆盖全集团全业务，通常在第三周就停摆。
| 阶段 | 主要动作 | 交付物 |
|---|---|---|
| 第 1–2 周 | 确定范围与边界：哪些主体、哪些业务、哪些合规域纳入本期 | 范围说明书 |
| 第 3–4 周 | 适用性识别：逐条判断义务是否适用，剔除明显不涉及的 | 适用义务清单（初版） |
| 第 5–6 周 | 风险评估：对适用义务做可能性与影响评估，排优先级 | 合规风险清单 |
| 第 7–9 周 | 责任落地：把高优先级义务拆成责任事项，明确岗位与频次 | 责任事项清单 |
| 第 10–12 周 | 试运行与留痕：跑一个完整周期，检查证据是否真的产生 | 首轮履责记录与整改清单 |
第 10–12 周这一步最容易被省略，也最该保留：跑一个完整周期，看证据是不是真的产生了。很多清单设计得很漂亮，试运行一个月才发现责任人根本拿不到数据，或者频次设成了每日但实际业务是月度。
七、三张清单怎么从表格变成能跑的系统
三张清单（义务、风险、责任）做在 Excel 里能完成第一轮梳理，但会卡在两个地方：法规更新时不知道哪些义务要复核，以及履责记录散在各部门，年底收不齐。这两件事都不是靠催能解决的，需要结构。
企业合规知识服务平台把法规正文拆成义务项，义务项再派生责任事项与履责频次，责任事项直接派到部门和岗位；执行人按频次提交记录，未完成的在台账上就是空的，不用到年底才发现。法规修订时，受影响的义务项会被标出来提示复核——这正是第二节说的「适用性识别要持续做、而不是一次做完」的落地方式。
平台不替代法律判断，也不替企业决定某个风险能不能接受。它保证的是该做的有人做、做了有记录、换人接得上。
说明：本文按公开政策口径整理，用于理解研发费用与合规管理的通行做法，不构成税务意见或法律意见。具体口径以申报当期有效的法规、公告及主管税务机关的执行要求为准。
企业合规落地，最常被问到的三件事
- 合规管理体系有没有可以对照的标准？
- 有。国内有合规管理体系相关的国家标准，国际上有 ISO 37301 等可对照框架，都强调「识别义务—评估风险—落实责任—持续改进」的闭环。标准给的是框架，落到本企业的义务清单仍需自己识别。
- 中小企业也需要建合规体系吗？
- 需要，但范围可以窄得多。中小企业通常不需要一次覆盖全部合规域，先把与主营业务、资质、用工、税务最相关的一组义务做成可执行的清单，跑通一个周期再扩面，比一次性建大体系更现实。
- 合规平台能替代法律顾问吗？
- 不能。平台负责组织过程、留存证据、输出清单和台账，法律判断与最终结论仍由专业人员作出。
先从一条义务试一遍？
把一条你最不适的合规义务拿出来，我们按「谁、何时、做什么、留什么证据」拆给你看，再判断需要工具还是只需要表单。