# Internal Compliance Risk Identification

> 当需要对企业内部的合规管理体系进行系统性审查，识别制度缺漏、流程缺陷和数据隐私合规风险时触发此技能。 典型触发场景包括但不限于： - 企业委托律师或合规顾问进行内部合规风险评估 - 企业拟上市、并购或接受监管检查前进行合规自查 - 发生合规事件后，需要排查管理体系中的系统性缺陷 - 企业建立或更新合规管理体系时，需要评估现有制度与法律法规的匹配度 - 用户要求审查企业内部规章制度、核心业务流程或隐私政策协议的合规性 本技能覆盖三大审查维度：制度体系完整性审查、业务流程控制有效性审查、个人信息保护合规性审查。

- Skill: `thuyran/internal-compliance-risk-identification` (Agent Skill)
- Install (CLI): `npx skillmds@latest add thuyran/internal-compliance-risk-identification`
- Raw SKILL.md: https://api.skillmd.com/api/skills/thuyran/internal-compliance-risk-identification/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- Author: thuyran (https://skillmd.com/u/thuyran)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/thuyran/internal-compliance-risk-identification

---


# 内部合规风险识别

## 概述表格

| 项目 | 内容 |
|------|------|
| **能力编号** | 14 |
| **能力名称** | 内部合规风险识别 |
| **能力类型** | 合规审查 |
| **核心功能** | 从制度体系、业务流程、数据隐私三个维度识别企业内部合规缺口 |
| **输入** | 企业规章制度文件、业务流程描述/流程图、隐私政策协议、企业所属行业信息 |
| **输出** | 结构化合规风险清单（含问题描述、法律依据、风险等级、整改建议） |
| **关联能力** | 法律规范效力检查（确认适用法规的现行有效性）、法条检索（补充法规依据） |
| **风险等级** | 高（合规漏洞可能导致行政处罚、民事责任或刑事责任） |

## 法律声明

> **重要提示：**
> 1. 本技能提供的合规风险识别为辅助性分析，不构成正式法律意见书。
> 2. 合规审查结论依赖于企业提供信息的完整性和真实性，信息不完整可能导致遗漏重大风险。
> 3. 不同行业（金融、医疗、互联网、能源等）存在特殊的监管规则，需结合行业特殊规定进行审查。
> 4. 涉及跨境数据传输、反垄断、反贿赂等特殊领域的合规问题，建议另行委托专项审查。
> 5. 整改建议应经执业律师或合规专业人士审核后实施。

## 一、核心概念

### 1.1 三大审查维度

```
内部合规风险识别
├── 维度一：制度体系完整性审查
│   └── 核心问题：企业是否建立了覆盖全部合规义务的内部规章制度？
├── 维度二：业务流程控制有效性审查
│   └── 核心问题：核心业务流程中的控制节点是否完备、执行是否有效？
└── 维度三：个人信息保护合规性审查
    └── 核心问题：隐私政策协议及数据处理活动是否符合《个人信息保护法》等法规？
```

### 1.2 合规风险等级定义

| 等级 | 标记 | 定义 | 典型情形 |
|------|------|------|----------|
| **重大风险** | 🔴 | 违反强制性法律规定，可能导致行政处罚、刑事责任或重大民事赔偿 | 未建立反洗钱制度（金融机构）、未履行网络安全等级保护义务 |
| **重要风险** | 🟡 | 违反监管规定或行业规范，可能导致监管措施、罚款或声誉损失 | 采购流程缺少三方比价、隐私政策未告知保存期限 |
| **一般风险** | 🟢 | 制度不完善或执行不到位，存在合规隐患但短期内不会导致严重后果 | 制度更新滞后于法规修订、审批权限设置不够细化 |

### 1.3 常见合规义务来源

| 来源类型 | 示例 | 效力层级 |
|----------|------|----------|
| 法律 | 《公司法》《个人信息保护法》《反不正当竞争法》 | 最高 |
| 行政法规 | 《网络数据安全条例》 | 高 |
| 部门规章 | 证监会规章、银保监会规章、工信部规章 | 高 |
| 司法解释 | 最高法关于个人信息保护的司法解释 | 高 |
| 行业标准 | 各行业自律规范、技术安全标准 | 中 |
| 地方性法规 | 各地数据条例、消费者保护条例 | 中（地域限制） |

## 二、完整工作流程

### 阶段一：准备与信息收集

#### 步骤 1：确认企业基本信息

- **企业名称**、**统一社会信用代码**
- **所属行业**（决定适用的特殊监管规则）
- **企业规模**（影响合规义务的强度和范围）
- **业务区域**（是否涉及跨境经营、多地经营）
- **本次审查范围**：制度审查 / 流程审查 / 隐私审查 / 全部

#### 步骤 2：收集审查所需材料

| 审查维度 | 所需材料 |
|----------|----------|
| 制度体系审查 | 现行全部内部规章制度文件清单及正文 |
| 业务流程审查 | 核心业务流程的书面操作指引、流程图、相关表单样本 |
| 隐私合规审查 | 现行隐私政策协议全文、数据处理活动说明、第三方合作清单 |

### 阶段二：制度体系完整性审查

#### 步骤 3：梳理企业应遵守的合规义务

1. 根据企业所属行业，识别适用的法律法规清单
2. 从法律法规中提取对企业具有约束力的合规义务
3. 将合规义务分类（如：公司治理、劳动用工、安全生产、数据保护、反商业贿赂等）

#### 步骤 4：建立制度-法规对照矩阵

| 合规义务类别 | 应建制度 | 现有制度 | 制度状态 |
|-------------|----------|----------|----------|
| 数据保护 | 《数据安全管理制度》 | 《信息安全管理办法》 | 🟡 部分覆盖 |
| 反商业贿赂 | 《反商业贿赂合规制度》 | （无） | 🔴 缺失 |

#### 步骤 5：审查现有制度内容的合规性

对已建立的制度，逐项审查：
- 制度内容是否与现行法律法规一致（无冲突、无过时条款）
- 制度规定的责任主体是否明确
- 制度规定的操作流程是否具体、可执行
- 制度是否规定了违规后果和问责机制

#### 步骤 6：输出制度缺失审查结果

对每项发现的问题，按以下格式输出：

```markdown
**问题编号：** G-01
**问题类型：** 制度缺失
**合规义务：** 建立反商业贿赂合规制度
**法律依据：** 《反不正当竞争法》第7条、第19条
**风险等级：** 🔴 重大
**问题描述：** 企业未建立反商业贿赂专项制度，销售人员佣金政策未经合规审核，存在商业贿赂风险敞口。
**整改建议：**
1. 制定《反商业贿赂合规制度》，明确禁止性行为清单
2. 建立经销商/代理商准入审查机制
3. 对销售人员进行反商业贿赂培训
4. 建立礼品、招待、佣金审批登记制度
**整改优先级：** 高
```

### 阶段三：业务流程控制有效性审查

#### 步骤 7：获取并还原业务流程

1. 获取业务部门提供的书面操作指引或流程图
2. 若无书面文件，通过访谈还原流程，明确以下要素：
   - 流程起点与终点
   - 各环节名称及先后顺序
   - 每个环节的参与岗位及职责
   - 每个环节的审批人及审批权限
   - 每个环节产生的记录表单或系统日志
3. 绘制流程还原图（标注岗位、审批节点、单据流向）

#### 步骤 8：识别应设未设的合规控制节点

对照法律法规及行业规范，判断流程中是否缺失以下关键控制节点：

| 控制节点 | 适用场景 | 缺失风险 |
|----------|----------|----------|
| 供应商/合作方准入审核 | 采购、外包、合作 | 资质不符、利益关联 |
| 利益冲突申报 | 涉及关联交易、个人利益 | 利益输送、自我交易 |
| 三方比价或招标 | 采购金额达到规定标准 | 价格虚高、腐败风险 |
| 合同法律审核 | 签约前 | 条款不利、权利缺失 |
| 用印审批与登记 | 印章使用 | 印章滥用、合同伪造 |
| 验收与确认 | 货物/服务交付 | 质量不符、数量短缺 |
| 异常事项报告与处理 | 流程偏离正常路径 | 风险隐瞒、损失扩大 |

#### 步骤 9：检查不相容岗位分离

不相容岗位是指根据内部控制要求，不能由同一人担任的岗位。常见的不相容岗位：

| 岗位组合 | 风险说明 |
|----------|----------|
| 采购申请与采购审批 | 自行申请、自行批准，缺乏监督 |
| 选择供应商与验收货物 | 可能选择关联供应商并放松验收标准 |
| 资金支付与账务记录 | 可能挪用资金并篡改账目 |
| 合同签订与合同审核 | 可能签订不利于公司的合同 |
| 用印申请与用印审批 | 可能私自用印 |

**检查方法：**
- 获取岗位人员名单，检查不相容岗位是否由不同人员担任
- 若因人员不足无法分离，检查是否有替代性控制措施（如定期轮岗、交叉复核、系统留痕）

#### 步骤 10：评估审批权限设置合理性

- 审批权限是否按金额/风险等级分级设置
- 大额或高风险事项是否有更高层级审批要求
- 临时授权审批是否有事后追认机制
- 审批权限是否以书面形式明确，避免口头授权

#### 步骤 11：检查记录留存可追溯性

- 每个环节是否产生书面或电子记录
- 记录是否完整保存、是否可追溯至具体操作人员及操作时间
- 电子审批系统是否留有操作日志，日志是否防篡改
- 纸质单据是否有编号管理、归档制度
- 记录保存期限是否符合法规要求

#### 步骤 12：输出业务流程审查结果

```markdown
**问题编号：** P-01
**问题类型：** 控制节点缺失
**流程节点：** 供应商选择
**法律依据：** 《企业内部控制基本规范》第29条
**风险等级：** 🔴 重大
**问题描述：** 无供应商准入审核机制，业务人员可自行确定供应商，无资质审查、背景调查环节。
**整改建议：**
1. 建立供应商准入流程，由采购部或指定部门对供应商资质进行审核
2. 形成合格供应商名录，定期更新
3. 对新增供应商进行背景调查，排除利益关联
**整改优先级：** 高
```

### 阶段四：个人信息保护合规性审查

#### 步骤 13：获取并审查隐私政策协议

获取企业现行有效的隐私政策协议全文（包括网站版、App版、小程序版等所有版本）。

#### 步骤 14：逐项审查隐私合规要点

| 审查项 | 审查要点 | 法律依据 |
|--------|----------|----------|
| **处理合法性** | 是否明确告知处理目的、方式、种类；是否取得用户同意（或具备其他合法基础） | 《个人信息保护法》第13-17条 |
| **最小必要原则** | 收集的个人信息范围是否与提供产品/服务所必需；是否存在过度收集 | 《个人信息保护法》第6条 |
| **同意机制** | 首次使用时是否取得用户自愿、明确的同意；是否提供拒绝选项；是否区分基本功能与扩展功能 | 《个人信息保护法》第14、16条 |
| **敏感个人信息** | 收集生物识别、金融账户、行踪轨迹等敏感信息前，是否取得用户的单独同意 | 《个人信息保护法》第29条 |
| **告知完整性** | 是否告知处理目的、方式、保存期限；保存期限难以确定的，是否说明确定方法 | 《个人信息保护法》第17条 |
| **第三方共享** | 向第三方提供个人信息是否取得单独同意；是否以清单形式列明第三方名称、共享信息种类、目的 | 《个人信息保护法》第23条；《网络数据安全管理条例》第21条 |
| **SDK披露** | 嵌入的第三方SDK是否列明名称、包名、收集信息类型、目的；是否可便捷访问SDK条款 | 《个人信息保护法》第17条 |
| **用户权利保障** | 是否告知用户查阅、复制、更正、删除、撤回同意、注销账号的方式和路径 | 《个人信息保护法》第44-47条 |
| **跨境传输** | 向境外提供个人信息是否具备合法基础（安全评估、标准合同、认证之一） | 《个人信息保护法》第38-43条 |
| **未成年人保护** | 处理不满14周岁未成年人信息是否取得监护人同意、是否有专门规则 | 《个人信息保护法》第31条 |

#### 步骤 15：输出隐私合规审查结果

```markdown
**问题编号：** D-01
**问题类型：** 告知内容不完整
**审查项：** 保存期限告知
**法律依据：** 《个人信息保护法》第17条
**风险等级：** 🟡 重要
**问题描述：** 隐私政策未明确告知各类个人信息的保存期限，仅表述为"实现目的所需时间内"，不符合法律关于告知保存期限的要求。
**整改建议：**
1. 补充各类信息的保存期限说明
2. 对难以确定保存期限的信息，明确保存期限的确定方法（如"订单完成后保留5年，其后删除或匿名化"）
**整改优先级：** 中
```

### 阶段五：汇总与报告

#### 步骤 16：汇总全部合规风险

1. 将三个维度的审查结果统一编号（制度类G-XX、流程类P-XX、数据类D-XX）
2. 按风险等级排序（🔴 重大 → 🟡 重要 → 🟢 一般）
3. 统计各类风险数量

#### 步骤 17：生成合规风险审查报告

```markdown
# 内部合规风险审查报告

**审查对象：** XXX公司  
**所属行业：** XXX  
**审查日期：** YYYY-MM-DD  
**审查范围：** 制度体系完整性 / 业务流程控制有效性 / 个人信息保护合规性

## 一、审查结论摘要

| 风险等级 | 数量 |
|----------|------|
| 🔴 重大风险 | X项 |
| 🟡 重要风险 | X项 |
| 🟢 一般风险 | X项 |
| **合计** | **X项** |

## 二、重大风险清单（🔴）

[列明全部重大风险，每项包含：问题编号、问题描述、法律依据、整改建议、整改期限]

## 三、重要风险清单（🟡）

[列明全部重要风险]

## 四、一般风险清单（🟢）

[列明全部一般风险]

## 五、整改建议汇总

| 序号 | 整改事项 | 责任部门 | 建议完成期限 | 优先级 |
|------|----------|----------|-------------|--------|
| 1 | ... | ... | ... | 高 |

## 六、免责声明

本报告基于审查日企业提供的信息作出，仅供内部合规管理参考，不构成正式法律意见。
特殊行业监管规则需另行专项审查。
```

## 三、输出格式模板

### 输出 1：单项问题记录卡

```markdown
**问题编号：** [G/P/D]-[序号]
**问题类型：** [制度缺失/制度内容违规/控制节点缺失/不相容岗位未分离/审批权限不合理/记录留存缺陷/告知不完整/同意机制缺陷/第三方共享违规/用户权利保障不足/其他]
**审查维度：** [制度体系/业务流程/隐私合规]
**涉及制度/流程/政策：** [具体名称]
**法律依据：** [法律名称+条款]
**风险等级：** [🔴/🟡/🟢]
**问题描述：** [具体、可核查的描述]
**整改建议：** [具体、可操作的措施]
**整改优先级：** [高/中/低]
**预计整改工作量：** [如：需制定新制度1项、修订现有制度2项、系统改造1处]
```

### 输出 2：合规风险清单汇总表

```markdown
| 编号 | 维度 | 类型 | 问题简述 | 等级 | 优先级 |
|------|------|------|----------|------|--------|
| G-01 | 制度 | 制度缺失 | 未建立反商业贿赂制度 | 🔴 | 高 |
| P-01 | 流程 | 控制节点缺失 | 供应商选择无准入审核 | 🔴 | 高 |
| D-01 | 数据 | 告知不完整 | 隐私政策未说明保存期限 | 🟡 | 中 |
```

## 四、示例

### 示例 1：采购流程合规审查

**输入：**
> 某企业采购流程描述：业务部门提出采购需求→部门负责人审批→业务人员自行寻找供应商（无资质审核、无比价）→业务人员草拟合同→部门负责人签字后用印（无法务审核）→仓库管理员验收并入库→财务付款。5万元以上采购同样由部门负责人审批。用印仅登记日期，不记录合同名称和相对方。采购申请单由业务人员自行保管。

**审查输出（节选）：**

| 编号 | 节点 | 问题 | 等级 | 整改建议 |
|------|------|------|------|----------|
| P-01 | 供应商选择 | 无准入审核、无比价机制 | 🔴 | 建立供应商准入和比价制度 |
| P-02 | 合同签订 | 无法务审核 | 🔴 | 增设合同法律审核节点 |
| P-03 | 审批权限 | 大额采购无分级审批 | 🟡 | 5万→部门负责人；5-20万→副总；20万+→总经理 |
| P-04 | 验收与入库 | 验收与入库岗位未分离 | 🟡 | 由不同人员分别负责 |
| P-05 | 用印管理 | 用印登记信息不完整 | 🟡 | 登记合同名称、相对方、金额、事由 |
| P-06 | 记录留存 | 缺乏统一归档制度 | 🟢 | 建立采购档案管理制度 |

### 示例 2：隐私政策合规审查

**输入：**
> 某App隐私政策要点：用户注册需授权手机号和微信OpenID；使用全球购需提供身份证号；与支付平台、物流服务商共享订单信息；隐私政策未明确说明各类信息保存期限；未说明账号注销的具体路径。

**审查输出（节选）：**

| 编号 | 审查项 | 问题 | 等级 | 整改建议 |
|------|--------|------|------|----------|
| D-01 | 敏感信息同意 | 身份证号收集未说明是否取得单独同意 | 🔴 | 全球购首次使用前设置单独同意弹窗 |
| D-02 | 保存期限 | 未明确告知各类信息保存期限 | 🟡 | 补充保存期限或确定方法 |
| D-03 | 第三方共享 | 未以清单形式列明各第三方具体信息 | 🟡 | 以表格列明第三方名称、共享种类、目的 |
| D-04 | 用户权利 | 未说明注销账号的具体路径 | 🟡 | 补充权利行使操作路径 |

## 五、常见错误与防范

| 错误类型 | 错误描述 | 后果 | 防范措施 |
|----------|----------|------|----------|
| **法规梳理不全** | 仅检索通用法律，遗漏行业特殊监管规定 | 重大合规风险被遗漏 | 建立行业法规清单，必要时咨询行业专家 |
| **制度-法规对照流于形式** | 只看制度名称，不审查具体内容是否与法规一致 | 制度内容过时或与法规冲突 | 对现有制度进行逐条合规性审查 |
| **访谈对象单一** | 仅访谈法务或合规部门，未访谈业务部门 | 流程实际操作与书面规定不符 | 访谈业务一线人员，获取真实操作信息 |
| **隐私审查范围过窄** | 仅审查隐私政策文本，未核查实际数据处理活动 | 实际处理与政策声明不符 | 要求企业提供数据处理活动说明，对照核查 |
| **整改建议不可操作** | 建议过于笼统（如"加强管理"），无具体措施 | 企业无法执行，问题持续存在 | 整改建议应具体到责任部门、完成期限、验收标准 |
| **忽视跨境合规** | 未识别企业是否存在跨境数据传输活动 | 违反数据出境安全评估义务 | 主动询问企业是否存在境外服务器、境外合作方 |

## 六、特殊场景处理

### 6.1 多行业集团企业

对于同时经营多个业务板块（如同时涉及金融、房地产、科技）的集团企业：
- 按业务板块分别梳理适用的监管规则
- 识别集团层面统一制度与板块特殊制度的冲突或空白
- 关注集团内部关联交易、资金调拨等跨板块的合规风险

### 6.2 拟上市企业

拟上市企业合规审查除一般审查外，还需特别关注：
- 历史沿革中的股权变动合规性
- 关联交易定价公允性
- 劳动用工合规（社保公积金缴纳、劳务派遣比例）
- 环保、安全生产等特殊行业许可
- 税务合规（税收优惠的合法性、转移定价）

### 6.3 外资企业/跨境经营

- 审查外商投资准入负面清单合规性
- 审查跨境数据传输合规性（安全评估、标准合同、认证）
- 审查本地化存储要求（如地图数据、基因数据、重要数据）
- 关注国际制裁合规（OFAC、欧盟制裁清单）

### 6.4 数据驱动的互联网企业

- 重点审查算法推荐合规性（是否提供关闭选项、是否进行算法备案）
- 审查自动化决策的透明度（是否告知用户、是否提供申诉渠道）
- 审查大规模个人信息处理活动的个人信息保护影响评估（PIA）

## 七、质量检查清单

```markdown
□ 1. 企业所属行业是否已明确？
□ 2. 适用的法律法规清单是否已梳理完整（含行业特殊规定）？
□ 3. 制度-法规对照是否已覆盖全部关键合规义务？
□ 4. 业务流程还原是否基于实际操作（而非仅书面规定）？
□ 5. 不相容岗位分离检查是否已覆盖全部关键流程？
□ 6. 隐私政策审查是否已覆盖全部法定告知事项？
□ 7. 每项风险是否已标注法律依据、风险等级和整改建议？
□ 8. 整改建议是否具体、可操作、已明确责任主体？
□ 9. 重大风险（🔴）是否已全部列明并优先处理？
□ 10. 审查报告是否已包含免责声明和局限性说明？
```

## 八、关联技能

| 关联技能 | 关系 | 说明 |
|----------|------|------|
| 法律规范效力检查 | 前置/并行 | 确认审查所依据的法律法规是否现行有效 |
| 法条检索 | 前置/并行 | 补充检索特定合规义务的法律依据 |
| 法律风险识别 | 互补 | 本技能聚焦管理体系层面的合规缺口，法律风险识别聚焦具体法律行为的合法性 |

## 九、局限性与风险提示

- **信息依赖性**：审查结论完全依赖企业提供的信息，企业故意隐瞒或提供虚假信息将导致重大遗漏。
- **动态变化性**：法律法规持续更新，审查结论仅反映审查时点的合规状态。
- **行业特殊性**：不同行业的特殊监管规则差异巨大，通用审查清单无法覆盖全部行业特殊要求。
- **深度限制**：本技能为合规风险筛查，发现的问题需经专业律师或合规顾问进一步出具正式法律意见。