企业合规官（CCO）（管理级） 三色笔记

团体标准没有划分等级，但 11 条职责里，「制定合规目标并与战略一致」「确立制度及运行机制」「评价合规绩效」「培育合规文化」「向管理层提建议」这几条本质上属于管理动作，也是本笔记切分管理级的依据。

本节四块：管理级定位、治理架构、两级分工、评价与培训要求。阅读顺序建议：先看「两级分工」那张表，把边界框住，再看其余三节，否则很容易把专员的活写成管理级的职责。

数字清单

管理级六件事：定目标、搭架构、建制度、跑机制、育文化、严问责。

一句话串起来：目标定方向，架构定责任，制度定规则，机制定动作，文化定氛围，问责定底线。

团体标准不划分等级，只有指标权重表。管理级读这张表，重点不在「哪项分高」，而在「哪项最能区分层级」。

表 A.1 知识要求指标及权重

表 A.2 技能要求指标及权重

管理级解读：知识侧的「企业治理与风险管理」25、「业务领域」25 撑起管理判断；技能侧的「合规义务识别及风险管理」「制度体系建设」「运行机制建设」各 15，是管理级的主战场——恰好对应「看清风险、写成制度、跑成机制」三步。

合成规则：分项按权重打分相加，知识部分占 40%、技能部分占 60% 合成总成绩，60 分及以上合格。

管理级的职业道德难点不在「守不守」，而在「守的时候要付出什么」。当合规意见会直接影响一笔业务、一个部门的考核、一位同僚的晋升时，客观独立就从态度问题变成了利益问题。

团体标准把六条行为规范与十一条职责并列，说明操守不是附加项，而是履职前提。管理级还要额外承担一层责任：你的每一次取舍，都会被下属当成组织惯例。

管理级对知识的要求从「记住」变成「判断适用」。四类知识里，「企业治理与风险管理」与「业务领域」各占 25，合计一半——这正是管理判断的两条腿：一条是规则与风险，一条是业务与流程。

另有 15 分给「岗位职责与行为规范」，五项合计 100。

规划制定与执行在技能权重中只占 5，但这个 5 是指标权重，不是重要性排序。管理级真正的分水岭就在这里：有没有一份能落地的合规规划。

规划不是口号集，要有目标、有指标、有时限、有资源、有责任人。一份好规划读完之后，业务部门知道明年要改什么，财务知道要花多少钱，人力知道要补什么人。

治理架构解决「谁定、谁干、谁查」三个问题。管理级在这一环的产出是职责边界文件：委员会怎么议事、合规负责人向谁报告、业务部门承担什么责任、审计何时介入。

架构不清，后面所有机制都会互相打架：审查意见没人执行，因为没有执行主体；整改任务推不动，因为没有考核抓手；风险上报层层衰减，因为没有直达通道。

制度体系建设权重 15，是管理级最硬的产出。标准的要求是「分级分类」：按适用范围与效力层级搭骨架，再按重点领域补专项。

制度不是越多越好，而是越可执行越好。一个常见的失败样本是：制度汇编三百页，一线看完仍不知道这笔单子该不该签——问题不在篇幅，在于只写了原则、没写动作。

管理级不亲自画风险矩阵，但要定口径与定容忍度：什么算高风险、谁来批、什么情况下必须停。风险评估在这里的作用不是出一份报告，而是给决策提供可比较的依据。

如果评估结果从不影响预算和考核，这个机制就是空转——每年评一次，报告写完入柜，第二年重复上一年的结论。

运行机制权重 15，是把制度变成动作的部分。标准列出的机制清单很具体：风险识别评估预警、合规审查、合规报告、整改、举报调查、问责。六项机制串起来，才是一个能自我修复的闭环。

机制建设的难点不是设计，是持续。第一年靠热情能跑，第二年靠惯性，第三年如果没有考核和问责，基本就停了。

沟通权重 10，分值不高但最难。合规官没有直接指挥业务的权力，只能靠说服与机制推动。

管理级的沟通对象从「同事」扩展到「监管机构、董事会、投资者、客户、供应商、社会组织」。对内要争取资源，对外要守住口径，两者用的是同一套底层能力：把专业语言翻译成对方关心的问题。

文化听起来虚，实际有可观测指标：员工知不知道红线、敢不敢举报、管理层说不说合规、违规有没有被处理。

培训与文化建设权重 10，管理级要做的是体系，不是某一场课。一场热闹的宣讲会之后，如果第二个月同类问题照旧发生，那不叫文化建设，叫活动组织。

监督评价回答一个终极问题：这套合规体系到底有没有用。标准要求在运行机制中纳入合规管理体系有效性评价，针对重点业务适时开展专项评价，并强化评价结果运用。管理级是这项工作的组织者。

评价最怕两件事：一是自评自夸，二是把投入当产出。开会、培训、发文都是投入，风险是否下降、问题是否减少才是效果。

危机处理与决策权重 10。标准的要求是：能够制定合规突发事件响应预案（如数据泄露、监管调查）并落实；能够在生产经营活动中平衡合规与业务目标（如创新业务的合规性评估）。

预案四要素：触发条件（什么算事件）、响应层级（谁先动、谁上报、多久上报）、处置动作（止损、保全证据、对外口径）、恢复安排（整改、复盘、责任追究）。

处置的先后顺序：先止损（断开风险源）→ 再固证（日志、邮件、审批记录封存）→ 再上报（内部治理层与必要的外部报告）→ 最后对外（统一口径）。顺序颠倒，往往会造成二次损失：先对外解释，后补证据，最后说不清。

创新业务评估：不是一律否决，而是把风险说清、把条件列明、把监控做实——这正是「合规创造价值」的落点。

以下八组是管理级最容易混、也最常出题的地方。对比表按「比什么—前者—后者」三列排，先看定义差异，再回到题干动词判断问的是哪一方。

⭐ 记忆抓手：合规管「守不守规矩」，全面风险管「会不会受损」；业务扛第一责任，合规扛第二责任，审计独立评价；审查在事前，审计在事后；设计看纸面，运行看痕迹。

内容依据：本笔记依据中国企业改革与发展研究会、中国合作贸易企业协会发布的团体标准《企业合规官能力要求》（T/CERDS 18 / T/CC 9）整理，并参考 GB/T 35770《合规管理体系 要求及使用指南》、《中央企业合规管理办法》等公开文件。岗位职责、行为规范、基础知识分类、十项基本技能、附录 A 的指标权重、40% 与 60% 的合成比例、60 分合格线、3 年评定间隔、30 学时与 45 分钟等数值均取自标准原文。

关于标准的性质（重要）：经检索，未找到公开发布的国家职业标准或官方评价标准。企业合规官属行业协会与团体标准的评价项目，不在国家职业技能等级制度内，因此本笔记不是国家职业标准配套资料；具体考试范围、题型、合格要求以主办机构官方培训大纲与当期公告为准。

关于分级：该团体标准不划分职业技能等级，只按岗位职责与能力要求整体描述。本笔记的「管理级」是编者按岗位层级所作的侧重切分（重点放在体系建设、治理架构、风险评估与决策、跨部门协同、合规文化、监督问责），不是标准原文的等级设置，也不构成任何资格层级认定。

关于通行框架：文中的「三道防线」「合规委员会」「职责矩阵」属行业通行治理表述，团体标准原文未使用这些术语，正文出现处已逐处标注，作答时以标准列明的职责与协同要求为准。

关于不臆造：标准未给出具体数值的地方（审查时限、调查期限、问责档次、培训覆盖率目标等），本笔记一律不写；涉及具体法条的适用与处罚，以现行法律法规为准。

关于年份：按题库体例，正文不标注标准与法规的版本年份，避免版本更替产生歧义。