三道防线模型在2026年的修订：二线角色可以混合之后独立性靠什么保证

三道防线模型在2026年的修订

二线角色可以混合之后，独立性靠什么保证本文档提供：表1混合类型识别与第一动作对照表；表2升级条款三要素检查表；表3二线负责人报告线配置表；表4职责分离矩阵（二线混合场景版）；表5自我审查暴露筛查表；式(1)二线混合暴露指数；表6董事会批准扩大授权的决议要素清单；表7独立性替代机制配置总表；表8排查顺序卡；案例“某金融机构操作风险与合规合并后的升级路径改造”；表9三套场景操作序列；表10数据来源与时效说明表。内部编号：RM-3L-2026-01。2026-11-02这一节的标题读完你能拿到什么这一节在全文中的功能二、2026年修订把“独立性”从结构问题改成了机制问题三句话演变判断，一张“结构分离”与“机制保障”的对照表定位2026年修订真正改变的东西，让读者不再从“组织图分没分”入手三、先判断你面对的是哪一类二线混合表1：混合类型识别与第一动作对照表把“混合”拆成可观察的类型，产出接手后十五秒能执行的第一动作四、升级条款：二线发现的问题有没有一条不经过一线的出口表2：升级条款三要素检查表；一段可直接抄进制度文件的条款模板给出混合场景下最优先配置的独立性替代机制五、报告线不能只写到“向CRO汇报”表3：二线负责人报告线配置表把报告线的实际到达层级和触发条件写成可检查的项六、职责分离矩阵：同一本台账不能由同一个人既填又签表4：职责分离矩阵（二线混合场景版）把“不相容职责”落到具体的表、行、签字动作上七、自我审查是混合之后最先出现的损伤点表5：自我审查暴露筛查表；式(1)二线混合暴露指数给出一张可逐行填写的筛查工具和一个用于排序的简易指数八、董事会批准扩大授权时，决议里必须留下什么表6：董事会批准扩大授权的决议要素清单把“董事会知道并同意”从口头共识变成可核查的决议文本九、把机制放进一张表里对一遍表7：独立性替代机制配置总表对前三节给出的机制做完整性校验，缺项直接暴露十、混合跑了半年，先查这七处表8：排查顺序卡给出失败后的排查顺序和每一步的直接动作十一、某金融机构操作风险与合规合并后的升级路径改造完整案例：起点、分步操作、四次试错、终点让读者看到四次试错之间的判断转折，以及机制替换的具体顺序十二、三套场景操作序列表9：完整版、精简版、极简版的操作序列与不能妥协的底线按交付对象和时间约束选择执行深度十三、差异化与来源表10：数据来源与时效说明表标明哪些判断来自公开框架、哪些是经验建议、哪些需要复核按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。接手的人最先面对的文件，是一份将风险管理部与合规部合并为“风险合规部”的内部通知，或者一份把操作风险监测、合规审查、内控评价放在同一个处室下的部门职责说明。卡点出现在第一次季度风险评审之前：二线负责人手里有一份一线业务单元提交的自我评估，同时他自己上周刚签发过同一业务单元的一份合规整改验收意见。他在犹豫，这份自我评估要不要直接采信，如果采信，三线在后续审计里会不会把“二线审自己签过字的东西”当作独立性缺陷提出来。二、2026年修订把“独立性”从结构问题改成了机制问题2026年7月8日，IIA发布了两份修订后的立场声明，一份关于三线模型，一份关于内部审计在企业风险管理中的作用。修订后的表述允许一线和二线角色在实务中混合，二线角色可以覆盖风险管理、合规、内部控制、质量保证等领域；同时，文件把独立性保障的重心从“角色之间保持结构分离”移到了“混合发生时有没有配套的可核查安排”。内审负责人承担二线相关工作时，必须建立隔离机制，这是文件直接写明的条件。下面这张表把两种保障方式放在一起对照。左边是多数组织在2020年前后按经典三线模型建立的做法，右边是2026年修订后、混合已经发生或即将发生时应切换到的检查对象。表的用途不是评价哪种更好，而是让接手的人知道：如果组织已经混合，继续拿左边的项去论证独立性，论证本身会失效。表1“结构分离”与“机制保障”的检查项对照检查维度结构分离时代检查什么混合发生后改查什么不改查会出什么事二线负责人的位置是否与一线业务单元在组织图上分开二线负责人的行政报告线之外，有没有一条直达董事会或其风险委员会的书面升级路径位置分开但报告线被一线截断，混合后的二线仍然无法把问题送上去二线对一线的输出是否由独立部门出具同一份输出里，出具意见的人和验收整改的人是不是同一个人自我审查在文件上留不下痕迹，三线审计时才发现签字链重叠二线与三线的任务边界是否分属两个部门内审参与二线任务时，有没有书面的任务划分和董事会批准参与的事实存在但无人批准，独立性问题暴露时没有可援引的授权依据董事会对混合的知情通常不涉及董事会或审计委员会是否在决议中记录了对混合安排的知悉和批准混合由中层推动，治理层不知情，出现争议时无人承担授权责任这张表的使用规则：逐行对照，左边项已经做到但右边项为空，说明组织仍停留在“结构分离”的论证逻辑里，而实际混合已经发生了。右边项为空的行，直接进入第三节的表1判断混合类型，再按对应板块配置机制。三、先判断你面对的是哪一类二线混合“二线混合”在实务中有几种不同的形态，对应不同的第一动作。接手的人不需要先判断“混合对不对”，需要先判断“混合落在哪一格”，然后执行那一格的第一动作。表1混合类型识别与第一动作对照表混合类型可观察的信号独立性的具体威胁第一动作（动哪一行、产出交给谁）A.二线职能之间合并（风险+合规/内控）同一份部门职责说明里同时列有“制定风险偏好”和“合规审查签字”同一负责人对同一业务单元既设定风险容忍度又出具合规通过意见，两个判断的来源重合打开合并后的部门职责说明，在“风险偏好制定”和“合规审查”两项后面分别标注执行人姓名；如果两个姓名为同一人，标红，交给审计委员会秘书B.二线与一线特定职能重叠（二线人员嵌入业务单元）二线人员的工位或预算落在业务单元内，但承担监控职责绩效评价和日常管理由一线负责人决定，二线人员提出异议的成本上升取该二线人员最近一次绩效评价表，看评价人是否为一线业务负责人；是，则将其行政报告线调整申请提交人力资源部门，同时抄送董事会风险委员会C.二线负责人同时承担三线任务（或内审负责人承担二线任务）内审负责人的职责清单里出现“风险管理体系维护”或“合规监测”自我审查：同一人先设计控制再评价控制打开内审负责人的岗位说明书，把“风险管理体系维护”逐字划出；划出的部分需要董事会决议批准，并按表6准备决议要素D.二线职能与一线决策在同一委员会中合议风险委员会或新产品委员会中，二线负责人有投票权且该投票与业务审批绑定二线在决策阶段已经站队，事后监控时难以推翻自己参与过的决定取该委员会议事规则，查二线负责人的投票权条款；若为正式投票权，将二线角色改为“无投票权的书面异议权”，修改稿交委员会秘书表后解释：四种类型可以同时出现。如果同时出现两种以上，先处理C，再处理A，再处理B，最后处理D。C涉及内审独立性的红线，A涉及二线内部自我审查，B涉及一线对二线的实际控制，D通常可以通过议事规则修订解决，紧迫性排在后面。四、升级条款：二线发现的问题有没有一条不经过一线的出口混合之后，二线最脆弱的时刻不是日常监控，是发现了一个一线不愿意接受的问题。如果二线负责人的行政报告线经过一线业务负责人，或者经过一个由一线主导的管理委员会，问题会在到达治理层之前被吸收。升级条款要解决的就是这一段路径。表2升级条款三要素检查表检查项什么样算合格不修会出什么事怎么改（判定位置与判定动作）触发条件条款里写明了具体的触发情形，例如“一线未在约定期限内关闭二线书面提出的高风险发现”，或“二线负责人的书面异议被否决且理由未记录”二线知道有问题但不知道什么条件下可以绕开常规报告线，实际上永远不会绕打开升级条款，在“触发条件”下把“重大”“必要时”替换为带天数或带签字动作的表述；修改稿交董事会风险委员会秘书接收人接收人是董事会风险委员会或审计委员会的主席，且写明在常规报告线未响应时可以直接送达接收人写成“高级管理层”或“CRO”，而CRO本身在混合结构中受同一行政线约束在条款中增加一行：“常规报告线未在X个工作日内响应时，二线负责人有权将书面异议直接提交董事会风险委员会主席。”接收人姓名和职务写入制度附件书面留痕每一次升级都有独立的编号、日期和接收确认升级发生了但没有记录，事后无法证明二线曾经把问题送上去在二线的问题台账中增加“升级编号”列和“接收确认日期”列；每次升级由二线负责人在台账中填一行，接收确认由委员会秘书回填表后解释：升级条款的写法不需要长。把三要素写进一段条款，读起来是这样的：“二线负责人在以下情形下，有权绕过常规行政报告线，将书面异议直接提交董事会风险委员会主席：（一）二线书面提出的高风险发现，一线未在30个工作日内关闭且未提供经二线认可的替代方案；（二）二线负责人的书面反对意见在管理委员会中被否决，且否决理由未载入会议记录。升级应以编号书面形式发出，接收人应在5个工作日内确认收到。每次升级记入二线问题台账‘升级’栏。”这段条款直接对应表2的三行，修改时逐行替换即可。五、报告线不能只写到“向CRO汇报”二线负责人的报告线是混合场景中最容易被写成一句空话的项。“向CRO汇报”本身不构成独立性保障，因为CRO可能同时受CEO或业务背景的CFO管理，而混合安排恰恰可能把二线负责人的日常考核放在CRO之下。需要检查的是报告线的实际到达层级，以及到达治理层有没有一个不依赖行政层级的前置条件。表3二线负责人报告线配置表报告线要素混合场景A（二线职能合并）混合场景B（二线嵌入一线）混合场景C（内审承担二线任务）失效信号行政报告线合并后的二线负责人向CRO或CEO报告，该行政线可以保留嵌入一线的二线人员不向业务单元负责人报告绩效内审负责人的行政线保持不变，不因承担二线任务而调整行政线随混合安排被下调到业务单元层级职能/专业报告线二线负责人每季度向董事会风险委员会提交独立的风险与合规意见嵌入一线的二线人员每年至少一次向董事会风险委员会提交关于一线风险状况的独立观察内审负责人就二线任务的执行情况向审计委员会单独报告，与内审工作报告分列职能报告线与行政线完全重合，治理层只收到一个版本直达触发条件当合并后的二线负责人与CRO在风险判断上出现书面分歧时，分歧文件直接送董事会风险委员会当嵌入一线的二线人员被排除在关键业务决策会议之外时，该人员有权直接向董事会风险委员会书面反映当内审负责人承担的二线任务与内审计划出现资源冲突时，冲突记录提交审计委员会触发条件写成“必要时”，没有可观察的判定动作考核与薪酬决定人二线负责人的考核中，风险与合规判断的质量由董事会风险委员会评价，业务指标占比有上限嵌入一线的二线人员的薪酬不与所监控业务单元的短期业绩直接挂钩内审负责人的薪酬不因二线任务的完成情况而调整考核表上业务指标占主导，风险判断质量没有评分项表后解释：这张表不是要求四条全做到才叫“有报告线”。场景A至少做到第一行、第三行和第四行；场景B至少做到第二行和第三行；场景C至少做到第二行和第四行。缺哪行，就回到表1确认混合类型是否判断准确，再按缺项行对应的动作改。六、职责分离矩阵：同一本台账不能由同一个人既填又签二线混合之后，不相容职责的重叠往往不发生在组织图上，发生在文件签字链上。一个人可能同时出现在“编制”“复核”“批准”三个位置上，而这三个位置在制度文本里分属不同角色。表4职责分离矩阵（二线混合场景版）活动/产出编制复核批准不许由同一人承担的组合混合场景下必须拆开的位置季度风险偏好陈述二线风险团队二线合规负责人董事会风险委员会编制与批准；复核与批准如果风险与合规合并，合规负责人复核后，批准权不得由合并后的同一负责人行使合规整改验收意见一线业务单元二线合规审查岗二线负责人复核与批准；编制与复核嵌入一线的二线人员不得同时编制验收意见和复核该意见内控自评价报告一线流程负责人二线内控团队二线负责人编制与批准内审参与二线内控评价时，内审人员不得批准自己参与编制的评价报告风险事件台账关闭事件所属业务单元二线风险监测岗二线负责人或授权人编制与关闭批准二线负责人本人的事件不得由本人批准关闭新产品风险审查一线产品团队二线风险与合规联合审查风险管理委员会（二线无投票权时由一线业务负责人批准）审查与批准；如果二线有投票权，审查与投票二线负责人在该委员会中的投票权按表1类型D改为书面异议表后解释：矩阵的用法是“逐行找同名”。取最近一个季度的实际文件签字记录，对每一行活动，把编制、复核、批准三个位置上的姓名填进去。任何一行出现同一个姓名占据两个位置，该行标红。标红的行不需要立即改组，先确认该姓名是否在另一个角色上拥有实质否决权；如果有，该行进入表8排查顺序卡的第一步。七、自我审查是混合之后最先出现的损伤点二线合并或嵌入之后，最常见的独立性损伤不是来自恶意的掩盖，来自一个人对自己参与过的工作做评价。表5用于在季度评审前做一次逐行筛查。式(1)给出一个把筛查结果转成分数的简易方法，用途是排序，不是精算。表5自我审查暴露筛查表筛查行观察什么（打开哪份文件、看哪一列）什么算暴露暴露等级（1/2/3）1.同一业务单元的“二线意见”与“二线验收”二线问题台账中，同一业务单元、同一风险领域，出具书面意见的人和验收整改关闭的人两列姓名为同一人32.二线负责人参与过的决策管理委员会会议记录中，二线负责人投过赞成票的议题，是否在后续二线监控报告中作为“被监控事项”出现该议题同时出现在投票记录和监控清单中23.内审计划中的二线任务内审年度计划中列为“咨询”或“二线支持”的项目，是否同时列入“确认”项目清单同一项目在两个清单中重叠34.风险模型的所有者与验证者风险模型清单中，“模型开发人”与“独立验证人”两列两列姓名为同一人25.二线负责人的绩效目标二线负责人的年度目标表中，业务增长类指标与风险监控类指标的权重业务类指标权重合计高于监控类1（若同时存在第1行暴露，升为3）表后解释：暴露等级3的行，在本季度评审前必须拆开，拆法按表4对应行执行。等级2的行，在两个季度内拆开。等级1的行，在下一次绩效目标设定时调整。式(1)把表5的结果转成一个用于跨业务单元排序的指数：E其中Ej为第j个业务单元或二线处室的混合暴露指数；Lij为表5第i行在第j单元的暴露等级（0、1、2、3）；wi为第变量定义和替换说明：Lij的取值来自表5的实际填列，不取“感觉上有没有风险”。w两个该公式特有的常见错误：第一，把Lij填成“风险程度”而不是“暴露等级”，导致一个存在等级3暴露但业务规模小的单元排在后面；第二，忘记对同一单元同时出现在第1行和第5行的情形做升权处理，式(1)本身不会自动升权，需要在填L校验方法：打开二线问题台账中上一季度的全部行，按表5五行逐行填列Lij，把wi和Lij代入式(1)得到E公式块之外的判定规则：Ej本身不设“合格线”。用途是把各单元按Ej从高到低排列，排在前20%的单元在本季度评审中逐行过表4，排在中间的单元抽查表5第1行和第3行，排在后面的单元保持常规筛查。如果某个单元连续两个季度Ej八、董事会批准扩大授权时，决议里必须留下什么当混合涉及内审负责人承担二线任务，或者二线负责人同时行使原本属于两个独立职能的权力，IIA2026年立场声明要求的条件包括书面的任务划分和董事会对扩大授权的批准。决议文本不能只写“同意”，需要留下可核查的要素。表6董事会批准扩大授权的决议要素清单决议要素合格写法缺了会出什么事补入位置混合安排的具体范围逐项列出被合并或交叉的职能名称，不写“风险管理与合规相关工作”范围模糊，执行中逐步扩大，董事会批准的边界失效决议正文第一段，以编号列表列出职能名称已识别的独立性威胁写明“因[具体职能]合并，[具体角色]将同时承担[活动A]和[活动B]，存在自我审查风险”威胁没有被命名，后续无法判断保障措施是否对准了问题决议正文第二段，与表5第1—3行对应配套保障措施逐项对应表2、表3、表4中已配置的机制，写明条款编号或矩阵行号批准了混合但没有要求保障，混合先于机制落地决议附件一，以表格列出机制名称和所在文件位置保障措施的复核人写明由审计委员会（或董事会风险委员会）在每次年度评审中复核保障措施的执行情况保障措施由执行混合的人自己评价，复核闭环缺失决议正文第三段，写明复核主体和复核周期触发回退的条件写明“若表5第1行或第3行出现等级3暴露且未在当季度拆开，本批准自动暂停”混合安排一旦批准就没有退出路径，暴露积累后只能事后追认决议正文第四段，以可观察的筛查结果作为回退条件表后解释：决议不需要长，但上述五段不能省。写法上，第三段引用的保障措施如果尚不存在，决议应先批准机制建设，再批准混合；机制未落地时，混合安排本身应推迟到下一个季度。九、把机制放进一张表里对一遍前面各节分别给出了升级条款、报告线、职责分离、自我审查筛查和董事会决议的检查项。表7做一次完整性校验。用法：左侧列是混合类型，右侧列是该类型下必须至少存在的机制；某一格为空，说明该类型在该机制上处于裸奔状态。表7独立性替代机制配置总表混合类型升级条款（表2）报告线（表3）职责分离（表4）自我审查筛查（表5/式1）董事会决议（表6）A.二线职能合并触发条件写明天数；接收人为董事会风险委员会主席行政线可以保留，职能线必须有独立季度意见编制与批准分离；复核与批准分离每季度跑第1行和第5行如果合并涉及风险偏好制定权转移，需要决议B.二线嵌入一线触发条件为“被排除在关键决策会议之外”绩效评价人不为一线业务负责人；薪酬不与所监控业务短期业绩挂钩嵌入人员的编制活动与复核活动分离每季度跑第1行和第4行如果嵌入涉及预算或人事控制权转移，需要决议C.内审承担二线任务触发条件为“二线任务与内审计划资源冲突”二线任务执行情况向审计委员会单独报告内审人员不批准自己参与编制的二线报告每季度跑第3行；第1行按参与范围扩展必须：任务划分书面化，董事会批准扩大授权D.二线与一线在同一委员会合议触发条件为“二线书面异议被否决且理由未记录”二线在该委员会的投票权改为无投票权的书面异议权审查与批准分离；投票与审查分离每季度跑第2行如果议事规则修改涉及授权变化，需要决议表后解释：表中写“需要决议”的格，不要求每个季度重批，要求至少有一份在混合安排启动前或启动后第一次董事会会议上通过的决议，且决议中包含表6的五项要素。表中写“必须”的格，没有决议时不应启动该混合安排。十、混合跑了半年，先查这七处混合安排运行一段时间后，独立性损伤不会以“独立性出了问题”的形式出现，会以“二线报告没人看”“一线自己改完就关了”“内审开始审自己参与过的东西”这些具体信号出现。表8按顺序列出排查动作，前一步的结果决定下一步是否继续。表8排查顺序卡顺序第一检查点（打开什么、数什么）什么算失败换哪条路1打开二线问题台账，数过去两个季度中“升级编号”列非空的行数非空行数为零，但同期二线书面意见中至少有3条被一线否决或未关闭先不查其他项，回到表2重写触发条件和接收人；条款修订前，二线负责人以临时书面函直接送董事会风险委员会主席2取二线负责人的最近一次绩效评价表，看“风险判断质量”是否有独立于业务指标的评分项没有该项，或该项权重低于业务指标合计将绩效评价表修改申请提交人力资源部门，同时把当前评价表作为表3第四行的证据附在董事会风险委员会材料中3打开表4，取最近一个季度实际签字记录逐行填姓名任一行出现同一姓名占据编制与批准，或复核与批准该行涉及的产出在本季度暂停由同一人签批，按表4对应行拆开后重签4跑表5，按式(1)计算各单元E任一季度出现第1行或第3行等级3且未拆开该单元的二线混合安排自动进入表6第四段的回退条件，向董事会风险委员会提交暂停或整改方案5查内审年度计划中“二线支持/咨询”项目和“确认”项目的重叠行重叠行存在，且内审负责人是重叠项目的批准人将重叠项目从确认清单中移出，或由另一位不参与该二线任务的合伙人/独立方出具确认意见6查董事会或审计委员会最近一次会议纪要中是否有表6五项要素的记录混合已运行两个季度以上但纪要中没有对应决议在下一次董事会会议前准备决议草案，按表6逐项填入；决议通过前不扩大混合范围7取升级条款原文，搜索“重大”“必要时”“适当时候”触发条件中至少一处使用无观察标准的词按表2第一行替换为带天数或带签字动作的表述，替换稿交制度管理部门发文表后解释：排查顺序不能跳。第1步失败时，第3、4步的结果会被“问题根本没有被送出去”这一事实掩盖；先修升级路径，再修报告线和分离矩阵。第4步的Ej结果如果与第1步的升级行数方向不一致（升级行数为零但Ej十一、某金融机构操作风险与合规合并后的升级路径改造示例案例，细节为合理设定。人物称“某风险合规负责人”。起点。某金融机构将原风险管理部的操作风险团队与原合规部的合规审查团队合并为“风险合规部”，由同一位负责人管理。合并后的第一个季度，操作风险监测发现某业务单元的关键风险指标连续两个月越限，合规审查团队同期正在对该业务单元进行合规整改验收。风险合规负责人手里有两份文件：一份是操作风险的越限报告，一份是合规整改验收的初稿。分步操作。第一步，风险合规负责人打开合并后的部门职责说明，在“操作风险监测”和“合规整改验收”两项后面分别标注执行人姓名，发现两个执行人不同，但验收意见的批准人写的是他自己。第二步，他取表2，发现升级条款的触发条件写的是“重大风险事项”，接收人写的是“CRO”，没有直达董事会风险委员会的路径。第三步，他按表4的“合规整改验收意见”行核对签字链，编制是一线业务单元，复核是合规审查岗，批准是他本人，而操作风险越限报告也需要他批准关闭。同一业务单元的两项产出，在他这里汇合为同一个人批准。第四步，他按式(1)粗算该业务单元的Ej，第1行（同一单元的二线意见与验收由同一人批准）填3，第2行（他本人在管理委员会上赞成过该业务单元的一项新产品方案，该方案现在在监控清单中）填2，加权后E不顺利环节。第一次试错。他看到的信号是：升级条款形同虚设，因为没有一条问题被送上去过。他当时的假设是：问题出在二线人员不敢升级。他做了一件事：在部门内发了一份邮件，要求所有二线人员“遇到一线不配合的情况及时向负责人报告”。结果是邮件发出后的一个月，升级编号列仍然为零。试完他发现的新信息是：二线人员不升级，不是因为不敢，是因为他们报告的“负责人”就是他自己，而他自己同时是批准关闭越限报告的人，报告到他这里就进入了自我审查环节。上一轮的假设“不敢升级”被推翻，问题出在接收人位置。第二次试错。他当时的假设是：把接收人从“CRO”改为“董事会风险委员会”就能解决问题。他起草了条款修订，把接收人改为董事会风险委员会主席。但在提交制度管理部门会签时，法务提出：条款没有写触发条件，委员会主席无法判断什么情况下应该收到升级。他意识到只改接收人不够，触发条件不写天数，升级仍然不会发生。这一轮的新信息是：接收人变了，但启动开关仍然是模糊的。第三次试错。他按表2把触发条件改为“二线书面提出的高风险发现，一线未在30个工作日内关闭且未提供经二线认可的替代方案”，接收人改为董事会风险委员会主席，并增加了“5个工作日内确认收到”和“每次升级记入台账”两条。条款修订稿通过了。但他随后发现，即使条款改了，他自己仍然在批准该业务单元的合规验收意见和操作风险越限关闭，表5第1行的等级3暴露没有变化。这一轮的结果把问题从“升级路径”推到了“职责分离”：条款给了出口，但出口后面站着的还是同一个人。第四次试错。他打开表4，把“合规整改验收意见”的批准人从自己改为CRO（合并后CRO不参与该业务单元的日常监控），把“风险事件台账关闭”中涉及该业务单元的行改为由另一名不参与该单元合规审查的二线负责人批准。操作风险越限报告仍然由他批准，但不再同时批准同一单元的合规验收关闭。改完后重跑表5第1行，等级从3降为0；式(1)的Ej终点。改造后的风险合规部保留合并结构，但升级条款有了带天数的触发条件、直达董事会风险委员会主席的接收人和台账留痕；同一业务单元的合规验收批准人与操作风险越限关闭人不再重合；表5第1行在该单元的筛查结果从3降为0。风险合规负责人手里仍然有两份文件，但批准栏上是两个不同的名字。表后说明：案例中变量表如下。变量案例中情形如果变量不同处置变化混合类型A（二线职能合并）若同时存在B（嵌入一线）先处理B的绩效评价人问题，再处理A的职责分离升级触发条件的天数30个工作日若业务周期更短（如15个工作日）表2第一行替换为15日，接收确认期同步缩短接收人董事会风险委员会主席若组织只设审计委员会接收人改为审计委员会主席，但需在决议中写明二线事项不改变审计委员会对三线的监督职责同一单元两项产出的批准人拆分后为两人若组织规模不足以拆分引入不参与该单元日常监控的另一位二线负责人作为批准人，或由CRO批准式(1)中的Ej不设固定线，按排位若董事会要求量化门槛以前20%分位作为逐行核查触发线，分位值每季度重算表后一句话：该案例中权重较高的变量是混合类型和批准人拆分能力，这两项决定了表2和表4能否同时落地。十二、三套场景操作序列表9三套场景操作序列版本选择判定操作序列不能妥协的底线完整版对外交付或监管报送跑表7全部五行做完整性校验；按表8排查顺序卡逐项定位；修复后从表5第1行和表2第一行重跑表7中标注“必须”的董事会决议项不得空缺；表5第1行和第3行不得存在等级3暴露精简版内部决策且时间受限只跑表8的前三步（升级行数、绩效评价、表4签字链）；用表2第一行和表4对应行修复；修复后只重跑表5第1行升级编号列在修复后第一个季度不得为零；同一业务单元的合规验收批准人与风险越限关闭