一、第一年最容易做错的三件事
合规体系建设最常见的失败，不是做得太少，而是顺序错了。三件事如果放在第一步做，基本都会返工。
| 先做的事 | 看起来的理由 | 为什么一定返工 |
|---|---|---|
| 先写一套制度 | 上级要检查，先有文件好交差 | 制度是对义务的回应。义务还没识别完，制度只能抄模板，抄完与业务两张皮 |
| 先买一套合规系统 | 要留痕、要台账，先上工具 | 系统是承载流程的。流程没定，系统只能装一堆空字段，最后变成填报负担 |
| 先做全员培训 | 合规要人人有责，先统一认识 | 没有义务清单，培训只能讲大道理。员工听完知道「要合规」，但不知道自己明天该做什么 |
正确的顺序只有一句话：先确定「我们被哪些规则管着」，再确定「谁在什么时候做什么」，最后才是「用什么工具装」。 这三步对应适用性识别、义务落地、系统承载，颠倒任何一步，后面的工作都要重做。
二、第 1–2 周：定范围，别急着全覆盖
第一年最容易贪多。集团十几个主体、几十项业务、跨几个法域，一次全铺开，结果是每块都做了一半。 第一年应该只做一个能闭环的范围。
| 维度 | 第一年的建议 | 理由 |
|---|---|---|
| 主体范围 | 总部 + 1–2 家代表性子公司 | 先跑通一套流程，再复制；一开始就全覆盖，标准会被拉平到最低 |
| 业务范围 | 选风险最高的 2–3 个领域（如安全环保、劳动用工、数据合规） | 高风险领域的问题最具体，最容易做出可验证的成果 |
| 法域范围 | 先做境内，涉外单独一轮 | 跨境规则差异大，混在一起会把清单做成大杂烩 |
| 义务来源 | 法律法规 + 监管规定 + 强制性标准；合同与自愿承诺第二轮 | 前者是硬约束，后者需要逐份梳理，工作量大 |
范围要写成一句话，能被所有人复述：「第一年做总部和两家子公司，在安全环保、劳动用工、数据合规三个领域， 把法定义务落到岗位与记录上。」写不出这句话，说明范围还没定。
三、第 3–4 周：适用性识别，从法规库到「关我什么事」
适用性识别做的事，是把外部规则翻译成内部问题。判断分三层，逐层收窄：
| 层级 | 判断什么 | 操作方法 | 输出 |
|---|---|---|---|
| 地域与行业 | 这部法规管不管我们这个行业、这个地区 | 按行业分类、地域、企业性质筛选 | 初筛清单（通常几百部） |
| 主体与行为 | 我们有没有法规里说的那种行为、那种主体 | 对照业务清单逐条问「我们做不做这件事」 | 适用清单（通常几十部） |
| 条款级 | 这部法规里哪几条真正落到我们头上 | 拆到条款，逐条判断适用 / 不适用 / 部分适用 | 义务条目（通常几百条） |
这一步最容易被跳过的是第三层。很多企业的「适用法规清单」只到法规名称，比如「适用《安全生产法》」—— 这句话没有任何执行价值，因为《安全生产法》有一百多条，不可能全部同等重要。 必须落到具体条款，才知道要做的是什么。
判断「不适用」时也要留痕。写清「不适用」的理由，和写清「适用」同样重要—— 第二年业务变了、法规变了，回头看才知道当初为什么排除。
四、第 5–6 周：义务清单与责任矩阵
义务清单是合规体系的核心资产。它长这样（示意三条）：
| 编号 | 义务描述 | 来源 | 责任部门 | 频次 | 证据 |
|---|---|---|---|---|---|
| OB-017 | 危险化学品储存场所每季度进行一次安全检查并记录 | 《危险化学品安全管理条例》某条 | 安环部 | 季度 | 检查表 + 整改闭环记录 |
| OB-042 | 新员工入职 30 日内签订书面劳动合同 | 《劳动合同法》第十条 | 人力资源部 | 按事件 | 劳动合同 + 花名册 |
| OB-063 | 收集个人信息前告知目的、方式、范围并取得同意 | 《个人信息保护法》第十七条 | 市场部 / IT | 按事件 | 告知书 + 同意记录 |
责任矩阵要回答三个问题：谁负责做（R）、谁审批（A）、谁被咨询（C）。 只写「责任部门：安环部」是不够的——安环部里有五个人，具体到岗才算落地。 第一年可以只做到部门级，但要有向岗位细化的计划。
五、第 7–8 周：先跑三个高风险领域
义务清单可能有几百条，第一年不可能全部落地。选三条标准筛出先做的：
| 筛选标准 | 问什么 | 典型结果 |
|---|---|---|
| 法律后果重 | 违反会不会停产、吊证、追究刑责 | 安全环保、消防、特种设备 |
| 发生概率高 | 过去三年有没有被处罚、被投诉、被举报 | 劳动用工、发票与税务、广告宣传 |
| 监管关注度高 | 今年有没有专项行动、新规落地 | 数据合规、反商业贿赂、环保排放 |
选出来的领域要做一次「穿透测试」：随便挑一条义务，从总部问到现场，看能不能一路答到底。 比如「危化品仓库季度检查」——问仓库管理员知不知道要做、有没有检查表、上次检查是什么时候、 发现了什么问题、整改了没有。这一条能穿透，说明这条链路是通的；穿不透，就是第一年要修的地方。
六、第 9–10 周：只改需要改的制度
穿透测试会暴露两类问题：制度缺失和执行断点。两者的处理方式完全不同。
| 问题类型 | 表现 | 处理方式 |
|---|---|---|
| 制度缺失 | 清单里有义务，但公司没有任何文件规定怎么做 | 新写制度，篇幅可以很短，写清动作与证据即可 |
| 执行断点 | 有制度，但现场没做，或者做了没记录 | 不改制度，改流程与表单；加必填项比加条款有效 |
| 制度过时 | 制度写的还是三年前的流程与部门名 | 修订，重点是删掉不用的、补上新增的 |
| 制度重复 | 三份文件对同一件事有不同规定 | 合并为一份，其余废止并留废止记录 |
一个反直觉的经验：第一年新增的制度越少，体系越容易活下来。 制度一多，一线记不住，执行成本高于收益，最后变成「文件在柜子里，做事还是老样子」。 能靠表单解决的，不要写制度；能靠流程卡住的，不要靠培训。
七、第 11–12 周：运行、留痕、内审
体系的证据不是制度文本，是运行记录。第一年至少要能拿出四类：
- 义务履行的记录：检查表、审批单、培训签到、告知书。
- 风险处置的记录：发现了什么问题、谁处理的、什么时候闭环。
- 变更的记录：法规变了、业务变了，义务清单怎么跟着改。
- 监督的记录：内审计划、内审发现、整改跟踪、管理评审结论。
内审可以自己做，但要有独立性——执行的人不能审自己。第一年规模小，可以交叉审： A 部门的人审 B 部门的义务履行情况，用一个统一的检查表。形式可以简单，结论要留痕。
八、第一年结束时，怎么算做成了
验收标准不是「有几份制度」，而是下面五条能不能同时成立：
| 验收项 | 过关标准 | 不过关的典型表现 |
|---|---|---|
| 义务清单 | 覆盖选定范围的全部适用法规，落到条款级，每条有责任部门 | 只有法规名称，没有条款与责任 |
| 可穿透 | 随机抽 10 条义务，能从总部答到现场并拿出证据 | 问到现场就断，或证据是事后补的 |
| 高风险闭环 | 选定的三个领域，每条义务都有履行记录与整改闭环 | 有检查表，但整改没跟踪 |
| 变更机制 | 新法规发布后 30 天内完成适用性判断并更新清单 | 靠人偶然看到，没有固定渠道 |
| 管理评审 | 第一年至少一次，有议题、有结论、有后续动作 | 开会念一遍总结，没有决议 |
五条里，「可穿透」是最硬的指标。它检验的不是文件写得好不好，而是整套机制有没有真正转起来。 第一年能把 10 条义务穿透，比写 30 份制度更有价值——因为第二年的体系，就是从这 10 条长出来的。
说明：本文按公开政策口径整理，用于理解企业合规管理的通行做法，不构成法律意见，不构成法律意见。具体口径以申报当期有效的法规、公告及主管税务机关的执行要求为准。
制度写完了，现场还是老样子？
带上你们的义务清单和一份现场检查表，我们挑三条义务做一次穿透，看断点在哪一环。
关于合规体系落地，你可能想问
- 我们只有两百人，需要做完整的合规体系吗？
- 不需要按大集团的标准做全套。中小企业先做三件事：把适用法规落到条款、把高风险领域的义务落到岗位、把履行记录留下来。这三件做完，已经能应对绝大多数检查和合同要求。
- 合规体系一定要按 GB/T 35770 或 ISO 37301 建吗？
- 不是强制。这两个标准提供的是框架（范围、领导作用、策划、支持、运行、绩效评价、改进），参照它建的好处是结构完整、便于外部审核；不参照也能建，只要覆盖同样的要素。
- 第一年要不要请外部机构？
- 看内部有没有人能持续做。外部机构的价值在「法规库 + 条款级解析 + 初次搭建的方法」，但清单的适用性判断必须由业务部门确认——外部机构不知道你们实际做什么业务。
- 合规和法务、内控、风险管理是什么关系？
- 合规关注「是否遵守外部规则」，内控关注「流程是否有效」，风险管理关注「不确定性」，法务关注「具体法律事务」。四者有交叉但不能互相替代，实务上常见做法是共用一套风险清单，各取所需。
- 制度写得越细越好吗？
- 不是。制度写到「谁、什么时候、做什么、留什么证据」就够了，过细会脱离实际、无法执行。细节放在操作表单和作业指导书里，制度只定原则与责任。
- 第一年投入大概多少人力？
- 以 200–500 人的企业为例，通常需要一个牵头人投入 50% 以上精力，加上各业务部门配合，累计约 3–5 人月。第二年起维护成本降到每年 1–2 人月。