合规风险识别：义务清单、控制映射、证据缺口三步法（义务提取、控制映射、缺口分析）

合规风险识别：义务清单、控制映射、证据缺口三步法（义务提取、控制映射、缺口分析）本文档提供：表2义务提取判定表；表3控制映射字段表；表4证据缺口分类表；式(1)义务控制覆盖率；式(2)证据缺口暴露指数；表5三步法联动检查表；表6停摆排查表；四条决策规则和一处矛盾；表7三套场景表；完整案例一个。2026-11-03表1目录与定位表这一节的标题读完你能拿到什么这一节在全文中的功能一、先把法规条文拆成可测试的义务句，不停在法规名称表2义务提取判定表把外部规则翻译成内部可检查的义务记录二、一条义务对应一个具名控制，不搞“多对多”的网表3控制映射字段表和式(1)把义务落到有负责人、有频率、有证据位置的控制上三、证据缺口分三类：义务缺控制、控制缺证据、控制无义务表4证据缺口分类表和式(2)把“看起来在管”和“能证明在管”之间的差距找出来四、三步怎么串：从义务清单到缺口关闭的联动路径表5三步法联动检查表让义务、控制、证据在同一条链上运行五、三步法跑了一轮就停在纸上，先查这五处表6停摆排查表定位义务清单不更新或缺口不关闭的环节六、什么时候补控制、什么时候记录接受：四条规则和一处矛盾四条决策规则和矛盾权衡规则处理证据缺口无法在当期关闭时的取舍七、完整版、精简版、极简版按合规成熟度选表7三套场景表按团队能力和监管强度选择执行范围按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。合规义务清单上有47条，其中31条只写了法规名称和“应建立相关制度”；控制矩阵有52个控制，但其中14个控制追溯不到任何一条义务；上一轮内部检查被问到“这条控制上个月运行的证据在哪”，负责部门翻了三小时系统，最后交上来一份截图，检查方说“截图不能证明运行过”。一、先把法规条文拆成可测试的义务句，不停在法规名称合规义务清单最常见的失败是把它做成“法律法规目录”。一条“应保护个人信息”的条文，到业务部门手里无法执行，因为它没有说清谁在什么条件下必须完成什么动作、做到什么算完成。义务提取要做的是把条文拆成可测试的陈述：动作、频率、触发条件、完成标准。表2义务提取判定表提取步骤判断什么不合格的写法合格的写法示例行识别适用规则这条规则对本组织是否适用，依据是什么只写法规名称，不写适用依据写明业务活动、地域或主体资格中的哪一项使该规则适用因处理客户个人信息，适用个人信息保护相关规定拆出动作条文要求谁在什么条件下做什么“应加强管理”“应建立机制”动作写到可观察的粒度客户个人信息用于新目的前，取得单独同意并留存同意记录确定频率或触发条件这条义务是定期做、事件触发做，还是持续保持全部填“定期”或空白定期填具体周期，事件触发填触发事件和相对时限，持续填“持续”事件触发：新目的使用前；持续：同意记录可查写完成标准做到什么程度算义务已履行，可核查的证据是什么“完成培训”“已建立制度”完成标准写到可核查的交付物、记录或状态同意记录含时间戳、目的描述和用户标识，可导出指定唯一责任部门谁对这条义务的履行负唯一责任责任部门空白，或填两个以上部门责任部门只填一个，配合部门可列多个责任部门：客户运营部；配合部门：法务部、信息技术部一张可用的义务清单，字段至少包含：义务编号、义务名称、来源依据（写到条款）、适用依据、动作、频率或触发条件、完成标准、责任部门、当前状态。法规条文不是管理动作，义务提取的任务是把条文翻译成“谁、在什么条件下、做什么、做到什么算完成”的内部语言。三类义务的管理方式不同：定期履行类有固定日期，事件触发类等事件发生才启动，持续履行类没有截止信号、最容易在清单上“看起来在管”但实际上已经失控。持续履行类义务的“完成标准”必须写到可随时抽查的状态，不能只写“保持合规”。二、一条义务对应一个具名控制，不搞“多对多”的网控制映射不是把“义务清单”和“控制清单”拼成一张大表。可审计的映射链条是：一条义务指向一个具名控制，该控制有负责人、有执行频率、有测试方法、有一个明确的证据存放位置。一个控制可以服务多条义务，但每条义务必须有自己单独的控制映射行，这样一次控制测试的结果可以回答多条义务，而不会出现“这几个控制大概覆盖了这条义务”的模糊回答。表3控制映射字段表字段填什么什么算填完缺了这一列会怎样示例义务编号表2中的义务编号能逐字回指到表2一行映射无法与义务清单对齐OBL-2026-014控制名称一个具名控制，不写“相关管理流程”控制有唯一名称，可被测试检查时无法指认“测的是哪个控制”新目的使用前单独同意校验控制类型预防性/检查性；人工/自动至少填一个分类无法判断控制的作用位置预防性，自动控制负责人一个具名角色，不是部门名有岗位和姓名控制失效时无人可问客户运营部合规专员甲执行频率每笔/每日/每月/每季度/每年/事件触发频率可复算无法判断某时间窗口内应有多少次执行记录事件触发（新目的使用前）测试方法怎么测、抽多少样本写到“看什么、比什么、多少样本”测试结论不可复核抽取20笔新目的使用记录，核对同意时间戳早于使用时间证据位置证据存放在哪个系统或记录中，不是“见附件”能凭此位置在5分钟内调出记录检查时靠人工回忆和翻找客户同意管理系统的consent_log表，按日期导出式(1)用于衡量义务是否真正落到了控制上，而不只是清单上写了“有控制”。式(1)义务控制覆盖率C=O控制÷O总×100%变量定义：C为义务控制覆盖率，以百分比表示；O控制为表2中有对应表3控制映射行、且该行的“控制负责人”和“证据位置”均非空的义务条数；O总为表2中状态不是“已豁免”的义务总条数。两个常见错误：把“有一个控制名称但没有负责人和证据位置”的行算作已覆盖；O总把“已豁免”的义务算进去，导致覆盖率被稀释。校验方法：手里有表2和表3；逐条核对义务对应的控制行是否同时具备负责人和证据位置；算出的C低于80%时，先补负责人和证据位置，不扩大义务清单范围。示例：O总=47，O控制=33（其中8条有控制名称但证据位置为空，不计入），C=33÷47×100%=70.2%。另有14个控制追溯不到任何义务，属于“无锚控制”，见下一步的缺口分析。控制映射中有三类结构性缺口需要在映射阶段就识别：孤儿声明（政策或义务承诺了某件事，但没有控制支撑）、无锚控制（控制存在但追溯不到任何义务，无法说明它证明了什么）、过期链接（控制映射到已被取代的政策版本或已废止的规则）。无锚控制不是“额外的保障”，是映射不完整的信号；如果一个控制无法回答“它满足哪条义务”，它无法在检查中证明任何东西。三、证据缺口分三类：义务缺控制、控制缺证据、控制无义务监管检查中导致发现的问题，更多来自“无法提供具体证据”而不是“控制本身弱”。一项控制如果缺少某个期间的记录，在那个期间的检查意义上等于没有运行过。证据缺口不是“做得不够好”，是“做没做、做没做到”在检查时无法被证明。合规但无法证明，是独立的合规风险。表4证据缺口分类表缺口类型什么情况打开什么什么算缺口缺口后果修复动作示例义务缺控制表2有义务，表3无对应控制表2与表3按义务编号比对义务状态非“已豁免”且无任何控制映射行义务无人执行，或执行完全依赖个人习惯补建控制，指定负责人、频率和证据位置OBL-2026-021（数据跨境传输前置评估）无控制映射控制缺证据表3有控制，但证据位置为空，或该位置在最近一个执行周期内调不出记录表3“证据位置”列，逐条实际调取一次调取失败，或记录不能覆盖“谁、何时、做了什么、结果如何”检查时无法证明控制在特定期间运行过补证据生成机制或补记录，不补“说明材料”审批控制有名称，但审批记录只显示“已通过”，无审批人和时间控制无义务表3有控制，但追溯不到表2任何义务表3按义务编号回查表2控制无对应义务行，或对应义务已“已豁免”控制消耗资源但不证明任何义务的履行；可能是历史遗留或过度控制撤销控制，或如果控制服务于内部管理需要，移出合规控制矩阵、另立管理控制清单14个控制追溯不到义务，其中3个是旧流程遗留证据不可用有记录，但记录的形式不能支撑检查结论打开记录，检查是否含来源、完整性、可复核性截图无系统时间戳、导出文件无来源标识、记录可被事后修改且无留痕记录存在但检查方不采纳，等同于缺口改为系统生成、带时间戳和来源标识的记录；或增加独立的复核签署客服提交的“同意记录截图”，无系统日志对应证据类型需要与控制实际测试的东西匹配。一次完成后的复核记录能证明“权限被复核过”，一份政策签收记录只能证明“有人读过政策”。如果控制的测试方法是“核对同意时间戳早于使用时间”，证据就必须是系统日志导出的含时间戳的记录，而不是一张说明“已执行”的邮件。式(2)证据缺口暴露指数G=(G义务缺控+G控制缺证+G无锚控制)÷(O总+K总)×100%变量定义：G为证据缺口暴露指数，以百分比表示；G义务缺控为表4中“义务缺控制”的条数；G控制缺证为“控制缺证据”的条数；G无锚控制为“控制无义务”的控制条数；O总为表2中状态不是“已豁免”的义务总条数；K总为表3中控制映射行的总条数。两个常见错误：把“证据不可用”的条数漏算，只统计“没有证据”而忽略“有证据但用不了”；分母只用义务总数，不加入控制总数，当控制数量远大于义务数量时，无锚控制的权重被低估。校验方法：手里有表2、表3和表4；按缺口类型分组计数；算出的G超过25%时，本轮不新增义务提取范围，先关闭已有缺口；G在15%至25%之间时，优先关闭“义务缺控制”和“控制缺证据”两类，无锚控制的撤销可以放入下一轮。示例：G义务缺控=6，G控制缺证=9，G无锚控制=14，O总=47，K总=52，G=(6+9+14)÷(47+52)×100%=29÷99×100%=29.3%。超过25%，本轮先关闭缺口，不扩展新的法规扫描范围。四、三步怎么串：从义务清单到缺口关闭的联动路径义务提取、控制映射、缺口分析三步不是三个独立的文档，是同一个链条上的三个截面。链条的可审计形态是：风险→流程→控制→证据→缺口→行动。每一步的判定不通过时，退回到指定位置补，而不是在缺口阶段用一个“说明”把前面的缺失掩盖过去。表5三步法联动检查表步骤动作打开什么判定条件不通过时退到哪里1义务提取完成度检查表2每条义务有动作、频率/触发条件、完成标准、唯一责任部门退回来源分析，重新拆条文2控制映射完整性检查表3每条非豁免义务至少一个具名控制，控制有负责人、频率、测试方法、证据位置退回义务清单，确认该义务是否确实适用；如适用，补建控制3证据可调取性检查表3“证据位置”列对每个控制，在最近一个执行周期内实际调取一次记录，能覆盖“谁、何时、做了什么、结果如何”退回控制映射，补证据生成机制或改证据位置4缺口分类与计数表4、式(1)、式(2)每类缺口有计数，C和G已计算退回第2步或第3步，确认缺口分类是否准确5缺口关闭与复核表4“修复动作”列每个缺口有责任人、关闭日期和关闭后的证据未关闭的缺口进入“接受”清单，具名签署第3步是最容易被跳过的一步。多数团队在映射阶段填了“证据位置：见XX系统”，但没有在映射当天实际调取一次。跳过调取的后果在检查时才暴露：位置是对的，但记录不覆盖测试方法所要求的字段，或者记录只存在于某个人的本地目录中。在映射阶段就做一次“调取测试”，把“证据位置存在”和“证据可用”区分开。五、三步法跑了一轮就停在纸上，先查这五处三步法第一轮跑完之后，义务清单不再更新、控制矩阵不再有人打开、缺口记录停在“待补证据”，按表6顺序查。第一检查点不打开义务清单，先打开上一轮检查或审计的发现记录。表6停摆排查表检查点打开什么看什么什么算正常不正常时怎么改一上一轮检查或审计的发现记录发现的每个问题是否在表4中有对应的缺口记录发现项与缺口记录一一对应，或有解释为什么不对应把未记录的发现补入表4，标注“检查驱动发现”二表2的义务状态过去一个季度是否有义务状态发生变化，或有新增义务至少有一条新增或状态更新记录恢复季度更新节律，把法规变化和新业务开展作为更新触发条件三式(2)的G值缺口总数是否在下降G不高于上一轮，或上升有新增义务或新增控制的解释优先关闭“义务缺控制”和“控制缺证据”，暂缓新增映射四表3“证据位置”列是否有超过两个执行周期未实际调取记录的位置每个证据位置在最近两个周期内至少被调取过一次对未调取的位置做一次调取测试，不能调出的转为“控制缺证据”五无锚控制14个无锚控制是否仍然存在且未被处理无锚控制已撤销、已移出，或已找到对应义务逐个处理：能撤销的撤销，能归入内部管理控制的移出合规矩阵，确实需要保留的补义务关联并说明依据示例：检查点一发现上一轮检查的4项发现中，只有2项在表4中有缺口记录。另外2项（“审批记录无审批人”“同意记录无系统日志对应”）在检查时被当作一次性整改，没有进入缺口分类。补入表4后，G从22.1%升至29.3%，触发检查点三的“先关闭缺口”动作。六、什么时候补控制、什么时候记录接受：四条规则和一处矛盾决策规则：规则一：如果表2中一条义务状态非“已豁免”且在表3中没有任何控制映射行，则该项标记为“义务缺控制”，在当个季度内必须补建控制或书面说明该义务不适用；如果连续两个季度仍无控制且无“不适用”说明，该义务在管理层报告中列为“未覆盖义务”，并指定一名高管作为临时责任人。规则二：如果表3中一个控制的“证据位置”在最近一个执行周期内实际调取失败，或调出的记录不能覆盖“谁、何时、做了什么、结果如何”四项中的任何一项，该控制标记为“控制缺证据”；补证据的动作只能是补生成机制或补记录，不接受用说明材料、回忆邮件或截图替代。如果连续两个周期无法补出可用证据，该控制从“已映射”状态改为“未验证”，式(1)的分子中剔除该条，式(2)的缺口计数保留。规则三：如果表3中一个控制追溯不到表2任何有效义务，且该控制不属于内部管理需要，则撤销该控制；如果撤销需要流程改造或系统变更，记录撤销计划和完成日期，在完成前该控制不计入合规控制总数，但保留在内部管理控制清单中。无锚控制不通过“补一条义务”来消除，义务必须有独立的外部或内部来源依据。规则四：如果式(2)的G超过25%，本轮合规风险识别的产出目标不是新增义务条数，是把G降到25%以下；如果G在15%至25%之间，新增义务和缺口关闭可以并行，但新增义务的每条必须有控制映射行和证据位置，不接受“先上清单、后补映射”。矛盾陈述：义务提取要求把条文拆到可测试的粒度，控制映射要求每条义务有具名控制和证据位置，但业务部门在正常运行时产生的记录往往不是按照“可被检查”的格式生成的；如果为了满足证据要求而额外生成一套记录，证据变成了合规部门的工作，而不是控制运行的自然副产品。实质分析：证据缺口不能靠事后补充记录来关闭。事后补出的记录没有独立的来源和时间戳，在检查中不被采纳；而且补记录的动作本身不改变控制在未来是否会产生证据。真正的关闭动作是调整控制的运行方式，让证据在控制执行时自然产生：审批在系统中完成，系统自动记录审批人和时间；同意在使用前通过系统校验，系统日志自动留存；复核在共享工作表中完成，时间戳和复核人自动记录。事后补记录只能关闭“有记录”的表象，不能关闭“可证明”的缺口。权衡规则：按缺口类型分配关闭动作。“义务缺控制”优先补控制，控制的设计中必须包含证据生成机制，不先建一个不产生证据的控制、再单独补证据。“控制缺证据”优先改控制的运行方式或记录方式，使证据成为运行的副产品；如果运行方式短期无法改，先建立最小可用的独立记录（带时间戳和操作人），同时把系统改造列入计划。“无锚控制”优先撤销或移出，不做“为了保留控制而编造义务来源”的操作。“证据不可用”的条目按“控制缺证据”同等处理，不因为“已有截图”而降低缺口等级。退路：如果某个“控制缺证据”的缺口连续两个周期无法通过改运行方式关闭，且系统改造在当个预算周期内无法获批，该缺口转为“接受”状态：由控制负责人和合规负责人共同签署接受记录，写明“该控制在当前运行方式下无法生成可检查证据，接受该期间的不可证明性”，并指定下一次复核日期。接受记录不改变式(2)的缺口计数，但把缺口从“待修复”转为“已接受”，避免同一缺口在每个季度重复出现在待办中而没有决策。七、完整版、精简版、极简版按合规成熟度选有专职合规职能、接受定期外部检查的组织走完整版；合规职能兼职、以内部管理为主的走精简版；初创团队或首次建立合规清单的走极简版。三套版本的差异写在表7。表7三套场景表场景跑什么用哪个公式不能妥协的底线修复后重跑什么完整版表2五步提取、表3全字段映射、表4四类缺口、表5五步联动、表6五项排查式(1)、式(2)C≥80%，G≤25%；每个控制有可调取的证据位置；无锚控制已处理或已移出全量重跑：表6五项、C和G、证据位置调取测试精简版表2前四步、表3前七字段、表4义务缺控制和控制缺证据两类、表5前四步、表6前三项式(1)每条非豁免义务有具名控制；每个控制有负责人和证据位置只重跑表6前三项和C值，补新增控制的证据位置极简版表2动作、频率/触发、完成标准、责任部门四字段；表3义务编号、控制名称、负责人、证据位置四字段；表6第一项不计算C和G，以“义务无控制清单”和“控制无证据清单”替代每条义务有一个可以问的人；每个控制有一个可以说出位置的记录只重跑“义务无控制清单”和“控制无证据清单”的逐条核对完整版适用于需要向外部检查方提交控制矩阵和证据包的组织。精简版去掉无锚控制的系统处理和证据不可用的细分，保留从义务到证据的最小链条。极简版的核心不是完成三步法，是先回答两个问题：哪条义务没有人负责，哪个控制找不到记录。这两个清单是后续扩展的起点。完整案例：某合规专员的第一轮三步法示例案例，细节为合理设定。起点：合规义务清单47条，其中31条只写了法规名称和“应建立相关制度”。控制矩阵52个控制，14个追溯不到义务。上一轮内部检查提出4项发现，其中2项涉及证据无法提供。第一轮试错。按清单逐条补控制映射，把52个控制逐一“挂”到47条义务上。信号：挂了三天，31条只有法规名称的义务无法判断该挂哪个控制，因为义务本身没有说清动作和完成标准；14个无锚控制被强行挂到了“看起来相关”的义务上，但挂完后问“这个控制证明了这条义务的什么”，答不出。当时以为问题在于控制数量不够，试了新增8个控制，新增后无锚控制变成22个，缺口扩大。新信息：控制映射的上游是义务提取，义务没有拆到可测试粒度时，映射无法建立。推翻“补控制即可”的假设，换路：先重做义务提取，把31条粗义务拆成可测试陈述。第二轮试错。按表2重做义务提取，47条拆成63条可测试义务。信号：拆完后发现其中6条义务在本组织当前业务中不适用（业务已停止或从未开展），另有4条义务是同一外部规则在不同业务线的重复表述。当时以为拆得越细越好，试了继续往下拆，拆到71条时，业务部门说“有些义务我们已经在做了，但清单上写得比我们实际做的复杂”。新信息：义务提取的粒度以“可测试”为上限，不以“越细越好”为目标；如果业务部门已经在做一个可观察的动作，义务描述应匹配那个动作的粒度，而不是另造一套更精细的描述。推翻“越细越好”的假设，换路：回到63条，把6条不适用的标为“已豁免”并附依据，4条重复的合并，保留53条有效义务。第三轮试错。53条义务映射到控制后，式(1)的C=41÷53×100%=77.4%，低于80%。信号：12条义务有控制名称，但“证据位置”为空。当时以为填一个系统名称即可，试了把12条的证据位置全填成“OA系统”，填完后做调取测试，发现其中7条在OA系统中找不到对应记录，3条能找到但记录只有“已审批”状态，没有审批人和时间。新信息：证据位置必须精确到“哪个系统、哪个表或文件夹、按什么字段筛选”，填系统名称不等于填证据位置。推翻“填系统名即可”的假设，换路：对12条逐条做调取测试，能调出的写精确位置，调不出的转为“控制缺证据”，进入表4。第四轮试错。缺口分类完成后，式(2)的G=(6+9+14)÷(53+52)×100%=27.6%，超过25%。信号：14个无锚控制中，9个是旧流程遗留，3个是内部管理需要（如员工考勤、办公用品采购），2个无法判断来源。当时以为无锚控制可以保留，试了保留，下一轮检查时检查方问“这14个控制分别证明哪条义务”，仍然答不出。新信息：无锚控制不产生合规证明价值，保留只会让控制矩阵在检查中显得“完整但不可追溯”。推翻“保留无锚控制”的假设，换路：9个旧流程遗留控制撤销，3个内部管理控制移出合规矩阵、另立清单，2个无法判断的逐个追溯来源，追溯到内部管理需要的移出，追溯不到任何来源的撤销。终点：义务53条（6条豁免、4条合并），控制矩阵43个控制（撤销9个、移出3个、新增3个补“义务缺控制”的6条），式(1)的C=41÷53×100