一、「遵守《XX 法》」不是一条义务
翻过很多企业的合规清单，第一页常常是这样写的：
这句话没有错，但它不是一条可执行的义务。因为它回答不了任何一个具体问题：谁去做、什么时候做、做什么、做完留什么。 一条义务如果落不到这四件事上，它就只是态度，不是管理。
判断标准很朴素：把这条义务交给一个新来的员工，他能不能照着做出正确的动作？ 不能，就说明还没写到可执行的程度。
二、四要素：主体、时点、动作、证据
| 要素 | 要回答的问题 | 写错的样子 | 写对的样子 |
|---|---|---|---|
| 主体 | 谁来做？具体到岗位，不是部门 | 「相关部门负责」 | 「各生产车间班组长」/「人力资源部薪酬专员」 |
| 时点 | 什么时候做？触发条件或频次 | 「及时」「定期」 | 「每月 5 日前」/「作业前」/「变更后 10 个工作日内」 |
| 动作 | 做什么？可观察的行为与标准 | 「加强管理」「严格遵守」 | 「对照 12 项检查表逐项确认，异常项拍照上传」 |
| 证据 | 留下什么？能被第三方查验 | 「做好记录」 | 「检查表（签字）+ 异常项照片 + 整改闭环单」 |
四要素里最容易被忽略的是证据。很多义务写得挺具体，但没说留什么， 执行的人做完了不记录，等于没做——核查时只能靠回忆，而回忆不算证据。
反过来，四要素齐全的义务有一个特征：它天然带着一张表。 写「每季度检查危化品仓库」这句话时，你脑子里已经有那张检查表的十二个检查项了。 如果写的时候想不出表长什么样，说明动作还没想清楚。
三、三个改写示例
拿三类最常见的义务做示范。左边是常见写法，右边是改到可执行的样子。
| 领域 | 常见写法 | 改写后 |
|---|---|---|
| 数据合规 （个人信息收集） | 「依法收集和使用客户个人信息，保护客户隐私。」 | 市场部在收集表单、活动报名、官网留资等场景收集个人信息前，须在页面展示《个人信息告知书》（含目的、方式、范围、保存期限、联系方式），并取得勾选同意；证据：页面截图、告知书版本号、同意记录（含时间戳）。第三方渠道收集的，须在 10 个工作日内补录来源与授权凭证。 |
| 劳动用工 （劳动合同签订） | 「规范劳动用工管理，依法签订劳动合同。」 | 人力资源部须在新员工入职之日起 30 日内与其签订书面劳动合同；超过 30 日未签的，系统自动预警至 HR 负责人；证据：劳动合同扫描件、花名册签订日期、预警处理记录。 |
| 环保 （排污许可执行） | 「严格执行环保法律法规，确保达标排放。」 | 安环部须按排污许可证要求开展自行监测：每季度 1 次（有特别规定的按许可证执行），委托有资质机构检测；发现超标，24 小时内向属地生态环境部门报告并启动整改；证据：检测报告、超标报告回执、整改方案与验收记录。 |
三处改写有一个共同点：把「依法」换成了具体的日期、数量、动作和文件名。 这不是把法条抄一遍，而是把法条翻译成这家公司这个岗位明天要做的事。
四、颗粒度：拆到一个岗位一个动作
「颗粒度」是这项工作的核心争议。拆太细，清单变成几千条没法维护；拆太粗，落不到人。 经验值是：一条义务对应一个岗位、一个动作、一份证据。
| 拆得过粗 | 拆得过细 | 合适的颗粒度 |
|---|---|---|
| 「落实安全生产责任制」 | 「每天上班前检查灭火器压力表、铅封、喷管、瓶体、标识、位置共 6 项」 | 「班组长每班开工前对照《消防设施检查表》（8 项）确认并签字」 |
| 一条义务覆盖十几个动作 | 一个动作拆成十几条 | 一条义务 = 一个岗位在某个时点的一组相关动作 |
还有一个实用判断：如果一条义务需要两个以上部门配合才能完成，它其实是两条义务加一个接口。 比如「危化品采购」涉及采购部（选供应商、查资质）和安环部（入库验收、登记台账）， 应该拆成两条，再用流程把接口接上；写成一条「采购与安环共同负责」，通常意味着两边都不负责。
五、义务与风险不是一对一
很多人把「义务清单」和「风险清单」当成同一张表，这是概念混淆。
| 义务清单 | 风险清单 | |
|---|---|---|
| 定义 | 外部规则要求我们做什么 | 我们可能做不到或做错什么 |
| 来源 | 法律法规、监管规定、标准、合同 | 义务 + 业务实际 + 历史事件 |
| 数量关系 | 一条义务 | 可能对应零到多个风险 |
| 用途 | 确定动作与责任人 | 确定优先级与资源投入 |
| 举例 | 「危化品仓库每季度检查」 | 「检查流于形式」「检查发现的问题无人跟踪」 |
理解这个区别很重要：义务是必须做的，风险是可能做不好的。 一条义务可能没有任何风险（做得很顺），也可能有好几个风险（人不固定、表单缺失、整改不闭环）。 合规体系的价值，一半在把义务列全，一半在把风险找准——后者决定第一年先修哪里。
六、法规变了怎么同步
义务清单是活文档，不是一次性交付物。新法规发布、旧法规修订、业务范围变化，都要触发更新。 要有一个固定的机制，而不是靠某个人偶尔看到新闻。
| 触发源 | 监测方式 | 响应时限 |
|---|---|---|
| 法律法规发布 | 官方渠道订阅（人大、司法部、行业主管部门）+ 专业数据库 | 30 日内完成适用性判断 |
| 监管专项行动 | 主管部门通知、行业协会通报 | 收到通知后 5 个工作日内评估 |
| 业务变化 | 新业务上线、新主体设立、新地区拓展 | 业务评审时同步评估 |
| 处罚与投诉 | 内部举报、外部处罚、客户投诉 | 事件处理时同步回溯义务清单 |
更新时建议保留历史版本：某条义务是什么时候加的、依据是哪部法规的哪一条、当时谁确认的。 这在与监管沟通时很有用——能证明你不是「现在才补」，而是「当时就按当时的规定做了」。
七、四种常见错误
| 错误 | 表现 | 后果 |
|---|---|---|
| 抄法条 | 把法规原文整段搬进清单 | 看不懂、记不住、落不下去 |
| 写口号 | 「高度重视」「切实加强」「严格落实」 | 无法判断是否做到，也无法验证 |
| 无时点 | 「定期」「及时」「必要时」 | 永远可以往后拖，最后都不做 |
| 无证据 | 只写做什么，不写留什么 | 做了等于没做，检查时拿不出东西 |
八、一份可直接用的模板
把上面的要素拼起来，一条义务的模板是这样的（建议直接做成表格字段）：
| 字段 | 填写要求 |
|---|---|
| 义务编号 | OB-序号，全公司唯一，不随部门调整而变 |
| 义务描述 | 一句话说清「谁在什么时点做什么」，不超过 80 字 |
| 法规依据 | 法规名称 + 条款号 + 施行日期 |
| 适用主体 | 哪些公司、哪些业务、哪些场景适用 |
| 责任岗位 | 具体岗位，不是部门；多个岗位时拆成多条 |
| 触发时点 | 事件触发（如入职 30 日内）或周期触发（如每季度） |
| 动作标准 | 可观察的行为，含量化标准（检查几项、几日内、几人签） |
| 证据清单 | 文件名 + 保存位置 + 保存期限 |
| 关联风险 | 对应风险编号，可多选 |
| 复核频次 | 谁在什么时候检查这条义务的履行情况 |
这套模板的价值在于可审计：任何一个外部检查者，拿着这张表就能判断你们有没有做到， 而不需要先理解你们的业务逻辑。这也是合规体系最终要交付的东西——不是让监管相信你， 而是让任何人都能自己验证。
说明：本文按公开政策口径整理，用于理解企业合规管理的通行做法，不构成法律意见，不构成法律意见。具体口径以申报当期有效的法规、公告及主管税务机关的执行要求为准。
清单写了几百条，现场一条都对不上？
挑十条最关键的义务，我们按主体、时点、动作、证据逐条过一遍，看哪一条落不下去。
关于合规义务清单，你可能想问
- 义务清单要列多少条才算完整？
- 没有统一数字。以一家 500 人左右的制造企业为例，第一年通常落在 150–300 条（含各领域），关键是覆盖选定范围内的全部适用法规条款，而不是凑数量。
- 一条义务可以由多个部门共同负责吗？
- 不建议。共同负责在实务中往往等于没人负责。正确做法是拆成多条，每条一个责任岗位，再用流程把接口明确（谁在什么节点把什么交给谁）。
- 「定期」这种表述真的不能用吗？
- 尽量不用。如果法规本身写的是「定期」，制度里要把它具体化为「每季度」「每年」等可执行频次，并说明依据（如许可证要求、行业惯例）。
- 义务和制度条款是什么关系？
- 义务是「必须做到什么」，制度是「我们决定怎么做」。一条义务可能对应一条制度条款，也可能只需一张表单。制度不是目的，让义务可执行才是。
- 清单建好之后，谁来维护？
- 建议由合规牵头部门维护结构（编号、法规依据、版本），业务部门确认适用性与动作标准。每年至少全面复核一次，法规变化时即时更新。
- 能用 Excel 管义务清单吗？
- 可以，几百条以内 Excel 完全够用。超过一千条、或需要按岗位推送、按频次提醒时，才会需要系统——那是「量」的问题，不是「合规」的问题。