用途
内部合规风险识别是一项合规审查技能，用于从制度体系、业务流程、数据隐私三个维度识别企业内部合规缺口。典型触发场景包括：企业委托律师或合规顾问进行内部合规风险评估；企业拟上市、并购或接受监管检查前进行合规自查；发生合规事件后排查管理体系中的系统性缺陷。
主要能力
该技能围绕三大审查维度展开：
- 制度体系完整性审查：核心问题是企业是否建立了覆盖全部合规义务的内部规章制度。通过梳理适用法律法规、建立制度-法规对照矩阵、逐项审查现有制度内容合规性，识别制度缺失或内容违规。
- 业务流程控制有效性审查：核心问题是核心业务流程中的控制节点是否完备、执行是否有效。包括识别应设未设的合规控制节点、检查不相容岗位分离、评估审批权限设置合理性、检查记录留存可追溯性。
- 个人信息保护合规性审查：核心问题是隐私政策协议及数据处理活动是否符合《个人信息保护法》等法规。审查项包括处理合法性、最小必要原则、同意机制、敏感个人信息、告知完整性、第三方共享、SDK披露、用户权利保障、跨境传输、未成年人保护。
风险等级分为三级：重大风险（违反强制性法律规定，可能导致行政处罚、刑事责任或重大民事赔偿）、重要风险（违反监管规定或行业规范，可能导致监管措施、罚款或声誉损失）、一般风险（制度不完善或执行不到位，存在合规隐患但短期内不会导致严重后果）。
使用方式
工作流程分为五个阶段：
- 准备与信息收集：确认企业基本信息（名称、行业、规模、业务区域、审查范围），收集审查所需材料。
- 制度体系完整性审查：梳理合规义务、建立制度-法规对照矩阵、审查现有制度内容、输出制度缺失审查结果。
- 业务流程控制有效性审查：获取并还原业务流程、识别应设未设的控制节点、检查不相容岗位分离、评估审批权限、检查记录留存、输出审查结果。
- 个人信息保护合规性审查：获取隐私政策协议、逐项审查隐私合规要点、输出审查结果。
- 汇总与报告：统一编号（制度类G-XX、流程类P-XX、数据类D-XX），按风险等级排序，生成合规风险审查报告。
输出格式包括单项问题记录卡（含问题编号、类型、审查维度、涉及制度/流程/政策、法律依据、风险等级、问题描述、整改建议、整改优先级、预计整改工作量）和合规风险清单汇总表。
适用场景
- 企业委托律师或合规顾问进行内部合规风险评估
- 企业拟上市、并购或接受监管检查前进行合规自查
- 发生合规事件后排查管理体系中的系统性缺陷
- 采购流程、隐私政策等具体领域的合规审查
- 多行业集团企业、拟上市企业、外资企业/跨境经营、数据驱动互联网企业等特殊场景
限制
- 本技能提供的合规风险识别为辅助性分析，不构成正式法律意见书。
- 合规审查结论依赖于企业提供信息的完整性和真实性，信息不完整可能导致遗漏重大风险。
- 不同行业（金融、医疗、互联网、能源等）存在特殊的监管规则，需结合行业特殊规定进行审查。
- 涉及跨境数据传输、反垄断、反贿赂等特殊领域的合规问题，建议另行委托专项审查。
- 整改建议应经执业律师或合规专业人士审核后实施。
- 法律法规持续更新，审查结论仅反映审查时点的合规状态。
- 本技能为合规风险筛查，发现的问题需经专业律师或合规顾问进一步出具正式法律意见。