观察｜企业合规风险“三道防线”的体系搭建逻辑——律师视角下的权责边界与建设路径

题记：合规与后端的争议解决不同，不应当是事后救火，而是一套事前嵌入经营流程的预防性机制。不少企业在经历监管处罚、商誉受损、纠纷诉累之后，才开始补建合规体系；而一旦将合规仅视为“成本中心”，往往为时已晚。近年来，“三道防线”模型已成为企业搭建合规与内控体系的通用骨架，其与COSO内部控制框架、ISO 37301合规管理体系，以及国资委《中央企业合规管理办法》等监管文件对风险分层的管控理念高度一致。

摘要：合规体系的失效，往往不是缺少制度文本，而是三道防线的权责边界在落地执行中被稀释。厘清“谁是第一责任人、谁独立监督、谁来兜底”，是体系不走形的前提。
关键词：企业合规；三道防线；合规管理体系；ISO 37301；中央企业合规管理办法；内控体系；首席合规官

一、从监管框架看“三道防线”的由来与逻辑

“三道防线”模型由国际内部审计师协会（IIA）于2013年提出，2020年演进为“三线模型”（Three Lines Model）（参见注释2）。其逻辑与COSO《内部控制整合框架》（2013）、ISO 37301:2021《合规管理体系 要求及使用指南》（参见注释1）相互印证，共同指向同一结论：风险应在最接近发生的环节被识别与控制。

值得企业高度关注的是，国内监管已明确采纳该框架。国资委《中央企业合规管理办法》（国资委令第42号，2022年10月1日施行，以下简称“42号令”）在答记者问中明确指出，“进一步明确了业务及职能部门、合规管理部门和监督部门合规管理‘三道防线’职责”（参见注释3）。与之配套，42号令第二十一条设立首席合规官、将合规审查作为必经程序嵌入经营管理流程，重大决策事项的合规审查意见须由首席合规官签字，业务及职能部门、合规管理部门依据职责权限完善审查标准、流程、重点等，定期对审查情况开展后评估。这意味着三道防线已从国际最佳实践，上升为具有刚性约束的合规管理要求。

需要提示的是，42号令附则第四十条规定“地方国有资产监督管理机构参照本办法，指导所出资企业加强合规管理工作”。换言之，三道防线并非中央企业专属，地方国企及接受国资监管的企业同样应当构建并运行该体系。

二、第一道防线：业务一线——风险的第一发生地与第一责任人

（一）业务一线是第一发生地与第一责任人。42号令第五条确立“权责清晰”原则，要求“管业务必须管合规”；第十三条明确业务及职能部门承担合规管理主体责任，负责本领域合规风险识别、将合规要求纳入岗位职责。合规的第一责任，天然落在业务身上，而非后置的法务或合规部门。

（二）合规职责须下沉到岗位。通过岗位合规清单、审批节点嵌入、合同与交易的前置审查，让业务在“发生”的同时完成第一层自控。42号令要求业务部门设置合规管理员（由业务骨干担任），正是把防线建在流程最前端的制度体现。

常见误区是把合规推给法务部，结果一线缺乏风险意识，问题集中爆发后已难以挽回。我们见过不少企业，制度汇编厚达数百页，但业务签批时无人对照合规清单，最终风险在交割或监管检查中一次性暴露。

三、第二道防线：合规管理职能——独立性与专业性

（一）独立性与专业性是其核心价值。依据42号令第十四条，合规管理牵头部门负责制度建设、合规审查、风险识别预警、培训宣贯与违规举报受理。它不直接经营业务，而是为第一道防线提供标准、工具与监督，其价值在“独立性”与“专业性”两端。

（二）国资监管特别强调独立汇报线。42号令第十二条设立首席合规官（由总法律顾问兼任），对重大决策事项的合规审查意见签字；第二十一条将合规审查作为必经程序嵌入流程。此类制度安排，正是为避免合规被业务指标裹挟、沦为“盖章走过场”。对民营企业而言，亦应借鉴设立相对独立的合规牵头职能，而非由业务副总兼任、形同虚设。

四、第三道防线：内部审计与纪检监察——独立监督与闭环整改

（一）独立监督层。依据42号令第十五条，内部审计、纪检监察、巡视巡察等部门依据职权对合规要求落实情况进行监督，对违规行为调查并依规追责。它独立于前两道防线的经营与日常管理，构成体系最后的制衡。

（二）价值不在“找茬”，而在暴露漏洞、推动闭环。42号令第二十七条规定企业定期开展合规管理体系有效性评价。第三道防线的实质贡献，是通过持续评价发现前两道防线的体系性薄弱点，推动整改闭环，而非事后追责本身。评价流于形式、整改不了了之，是这道防线最常见的失效。

五、律师的定位：外部视角的三个介入节点

外部律师通常在三个节点介入，其独立性与跨行业经验是内部职能难以替代的补充。三道防线解决的是"企业自己怎么防"，而外部律师的价值在于以一个不受内部利益与层级约束的独立视角，在关键决策节点提供验证与方法论。二者相互补充，而非相互替代。结合实务，外部律师的介入可归纳为三个层面。

（一）体系搭建期：把监管框架翻译成可落地的内部规则

在合规体系从无到有、或既有体系需要迭代时，外部律师通常先行开展差距分析——以42号令、ISO 37301等标准为企业合规现状"画像"，识别制度缺口与职责悬空之处；进而起草或修订合规管理制度，绘制覆盖重点业务领域的风险地图，明确各岗位的合规控制点。这一阶段的实质，是帮助企业将抽象的监管框架"翻译"为自身可操作、可考核的内部规则，避免制度文本与现实运行"两张皮"。我们理解，体系搭建期的专业介入，往往能直接决定后续防线是否"建在前端"，而非事后补丁。

（二）日常经营期：前置识别红线与先决条件

在重大投资、并购重组、关联交易、涉外业务等高风险决策中，外部律师提供合规论证，前置识别法律红线、监管审批的先决条件以及交易结构中的合规隐患。相较于内部合规职能，外部律师的跨行业经验使其能够更快识别同类交易中的共性风险，并在交易谈判阶段即嵌入合规控制，而非在交割后被动补救。合规审查从"事后把关"前移为"事前论证"，是降低决策风险成本的关键路径。需要提示的是，外部论证不应架空内部合规审查的必经程序，而应与第二道防线的合规审查形成叠加验证。

（三）危机应对期：以有效运行转化为责任抗辩基础

当企业面临监管调查、行政处罚或商事争议时，外部律师提供应对与辩护。此时，一套此前有效运行的合规体系本身即可成为责任抗辩的事实基础——例如，能够证明已尽到合理注意义务、已建立并执行业务合规审查机制，往往能在责任认定与处罚幅度上产生实质性影响。换言之，企业日常在合规体系上的投入，会在危机时刻以"可举证的尽职调查与内控证据"形式兑现其价值。值得关注的是，危机应对越充分，越能反向检验第一、二道防线的薄弱点，为闭环整改提供第一手素材。

需要提示的是，外部律师不能也不应替代企业内部的三道防线；其作用是在关键节点提供独立验证与方法论，使内部体系运行更经得起检验。把外部律师当作"外包法务"长期使用，反而可能导致内部职能的能力空心化，使三道防线失去自我运行的根基。

六、体系不走形的关键：边界清晰与持续闭环

三道防线能否真正发挥效用，不在制度文件的厚度，而在落地执行的确定性。结合近期承办实务，体系"不走形"取决于三个支点。

其一，边界清晰：不越位，不缺位

三道防线的权责边界必须划清。"管业务必须管合规"是第一道防线的根，意味着风险自控是业务部门的天然义务，不能外推；"独立监督"是第三道防线的魂，审计与纪检必须独立于经营管理，否则监督将名存实亡；第二道防线居中，提供标准、工具与审查，既不能越俎代庖替业务做决策，也不应缺位于"盖章走流程"。职责一旦交叉或悬空，便成为体系走形的起点——实践中大量合规失效，正是源于"都管"与"都不管"之间的灰色地带。厘清"谁是第一责任人、谁独立监督、谁来兜底"，是体系不走形的前提。

其二，持续闭环：没有闭环的合规只是文档合规。风险识别、合规审查、应对处置、问题整改、有效性评价、回头看，六个环节首尾相接，构成42号令第二十至二十七条所要求的闭环机制（参见注释3）。闭环的要义在于"反馈"——一次监管处罚或一起内部违规，应当触发制度层面的复盘与修正，而非个案了结。缺少闭环的合规，往往停留为"文档合规"：制度汇编精美，却无执行痕迹、无整改证据、无效果评价，一旦面对穿透式检查便漏洞百出。我们理解，闭环运行的质量，才是区分"真合规"与"纸面合规"的分水岭。

其三，高层基调：治理层的真实承诺是第一推动力

42号令第七条、第八条分别明确党委（党组）把方向、管大局、保落实，董事会定战略、防风险的职责；企业主要负责人是推进法治建设的第一责任人。合规体系的生命力，最终取决于治理层是否给予真实而非口头的承诺——是否将合规纳入考核、是否保障合规职能的独立汇报线、是否在业务与合规冲突时真正站在合规一侧。治理层的"高层基调"（tone at the top），是三道防线得以运转的第一推动力；没有这一推动力，再精密的防线设计也会在落地中逐渐失灵。值得强调的是，高层基调不是一句口号，而是可观察、可追责的资源配置与决策取舍。

结语

一套真正“长”在流程里的合规体系，比一万份制度文件更有价值。三道防线的意义，不在于增加管理层级，而在于让风险在发生的第一现场就被识别、被自控、被监督。对志在行稳致远的企业而言，合规从来不是成本中心，而是治理能力的核心资产。当三道防线的边界清晰、闭环运转，企业的合规免疫力，也就有了可回溯、可验证的底座。

注释

1. ISO 37301:2021《合规管理体系 要求及使用指南》，详见 https://www.iso.org/iso-37301-compliance-management.html。

2. 国际内部审计师协会（IIA）《三线模型》（2020，前身为2013年《三道防线》模型）；COSO《内部控制整合框架》（2013）。

3. 《中央企业合规管理办法》（国资委令第42号，2022年10月1日施行），原文：https://www.gov.cn/zhengce/zhengceku/2022-09/19/content_5710633.htm；国资委政策法规局答记者问（明确“三道防线”职责）：http://www.sasac.gov.cn//n2588020/n2588072/n2590860/n2590862/c26039075/content.html。

4. 《企业内部控制基本规范》（财政部、证监会、审计署、银监会、保监会印发 财会[2008]7号）及配套指引（2010）。

作者简介

欧灿辉律师 北京市京师（武汉）律师事务所创始合伙人、管委会副主任、党委委员、证券法律事务部主任、青工委主任，法学硕士，武汉仲裁委员会仲裁员，湖北省律协涉外专业委员会副主任，武汉市律协 “双百”领军人才，国有企业外部董事。

拥有律师、证券、基金、独立董事、军工保密多项专业资格，深耕资本市场、国有资本合规、企业投融资、并购重组与涉外商事法律服务，执业十六年，具备法律与金融复合专业背景。

长期服务央企、省属国企，担任多家大型国企改制、债券发行、产业基金专项法律顾问，承办大量公司并购、私募基金、跨境投资项目与重大商事仲裁案件。欧灿辉律师个人主页oucanhui.com。

声明

本文仅为交流目的，不代表本所/本机构对于任何问题的法律意见或咨询建议。文章中所提及的信息和数据可能随着时间推移、法律法规变化、市场环境变动等因素而不再准确或适用。任何仅依照本文的全部或部分内容而作出的作为或不作为决定及因此造成的后果由行为人自行负责。如您需要法律意见或其他专家意见，应当向具有相关资格的专业人士寻求专业帮助。本文首发于作者个人官网oucanhui.com，转载请注明出处与作者“欧灿辉 律师”联系。