企业合规官（CCO）（专员级） 三色笔记

团体标准第 4、5 章是全部内容的骨架：第 4 章讲岗位职责与行为规范，回答「该做什么、以什么姿态做」；第 5 章讲基础知识与基本技能，回答「凭什么做、做到什么程度」。附录 A 给权重，附录 B 给评定方法，附录 C 给培训要求。

本节拆成四块：定义与称谓口径、十一条职责、六条行为规范、与相邻岗位的边界。读法提醒：职责与行为规范经常在同一道题里互换选项，职责是「事项」，行为规范是「态度与操守」，看题干动词即可分辨。

数字清单

十项基本技能口诀：行业政策—规划执行—义务风险—制度—机制—沟通—工具—危机—文培—学习创新。

权重记忆：技能侧最重的是「义务风险」「制度」「机制」三项，各 15，合计 45，接近技能总分的一半；知识侧最重的是「治理风险」与「业务领域」，各 25。

团体标准不划分职业技能等级，因此没有分级权重表，只有指标权重表：附录 A 给出知识要求 5 项指标、技能要求 10 项指标的权重，供企业按行业与岗位实际调整。

表 A.1 知识要求指标及权重

表 A.2 技能要求指标及权重

合成规则：各分项指标按权重打分后相加，分别得出知识部分总分与技能部分总分，再按知识 40%、技能 60% 合成总成绩；60 分及以上为合格，以下为不合格。

团体标准把「行为规范」与「岗位职责」并列，职业道德的要求就藏在这六条行为规范里。合规官手里握着三样东西：审查意见、调查结论、问责建议。任何一样被利益影响，整个合规体系就会失去可信度。

专员级不需要讲治理大道理，但要守住三个具体场景：审查时不因催办而降标准；调查时不因关系而变口径；培训时不因省事而删掉红线内容。

基础知识分 4 大类：法律法规与行业规范、企业治理（含企业管理、风险管理、内部控制）、业务领域、信息化与数智化。四类的共同指向是「懂法律、懂管理、懂业务、懂技术」，这也是标准对合规官知识结构的一句概括。

另 15 分给「岗位职责与行为规范」，五项加总 100。

这是技能权重最高一档（15）的前半段。专员级不做顶层设计，做的是把义务找全、把风险列清——后续的审查、监测、培训、调查，全部建立在这两张清单上。清单不全，后面全是补丁；清单不准，补丁越打越乱。

本节两条要求是一条因果链：先有义务，才谈得上风险。顺序不能反：先列「应该怎样」，再列「可能怎样违背」，反过来做必然漏项。

识别之后要定级，定级之后要定策。这一环专员级不拍板，但要把分析做扎实、把方案提清楚：风险矩阵怎么画、等级怎么分、措施落到谁、什么时候复查。

做不好会出现两种结果：一是清单上一堆「高风险」，谁也不当回事；二是所有风险都写「加强管理」，年底无法验证是否改善。这一节的产出不是判断，是可复核的依据。

合规审查是专员级最高频的日常动作，也是「实施合规性审查，对重大经营事件发表意见」这项职责的载体。审查对象通常是规章制度、重大决策、重要合同、重大项目四类。

审查四步：一是找依据，定位适用的法律法规、监管规定、内部制度与合同承诺；二是比差距，逐条比对拟审事项与依据要求的偏离；三是判性质，区分禁止性、限制性、程序性三类问题；四是出意见，明确同意、有条件同意或不同意，并附修改建议。

三条纪律：审查要留痕，意见可追溯；不越位替业务决策；不以「业务急」为由只出口头意见。审查不是替业务做决定，而是在决策前把「不合规在哪、怎么改」说清楚。

培训与文化建设在技能权重中占 10，专员级是主要执行者。培训的目的不是「讲完」，而是让每个岗位知道自己那条义务是什么、踩线会怎样。

标准把这组能力拆成两半：设计分层培训（新员工基础课、管理层专项研讨），以及通过案例教学提升全员合规意识（内部违规事件复盘）。一半解决「教什么」，一半解决「怎么让人听得进去」。

调查是合规职能里最敏感的一块：既要查清事实，又要守住程序，还要保护举报人。专员级通常承担受理、初核、取证、起草报告的工作，处理决定由管理层作出。

程序一旦有瑕疵，结论再对也站不住。实务中最常见的翻案理由，不是事实认定错误，而是取证方式不当、未回避、未告知申辩权。

这是合规体系里最刚性的领域，也是外部监管与刑事风险最集中的地方。专员级要把三件事做扎实：礼品与招待的边界、利益冲突的申报、第三方的尽职调查。

灰色地带不清理，早晚变成案子。而灰色地带之所以难处理，往往不是不知道规则，而是「别人都这样」的氛围压力。这一节的学习目标不是背条款，而是建立可公开的判断标准。

数据合规在专员级是典型的横切能力：采购要看供应商的数据来源，营销要看个人信息授权，境外业务要看数据出境，人力资源要看员工信息处理。团体标准把「互联网数据安全及隐私保护」列为行业特定知识的典型例子，说明它不是 IT 部门一家的事。

四条主线：数据来源合法（采集是否告知同意、是否有权使用）；处理目的正当（是否超出原告知目的、是否最小必要）；共享与委托（第三方处理是否签约、是否监督）；跨境与存储（是否触发出境程序、保存期限是否明确）。

专员级的动作：在合同审查中加数据条款，在项目中做数据影响初评，在事件发生时按预案首报并保全日志。

合规工作的成效最终要靠文档证明。监管检查、外部审计、内部复核，看的都是记录：有没有制度、有没有执行痕迹、有没有整改闭环。专员级是这些记录的第一责任人。

四类必留文档：制度类（制度、细则、指引及修订记录）；运行类（审查意见、培训签到与考核、举报登记、调查报告）；证据类（审批单、合同、往来函件、系统日志）；整改类（问题清单、整改方案、验收结论）。

三条管理要求：命名与编号规则统一；保存期限与密级明确；调阅有审批、有登记。电子文档同时做好备份与权限控制。

价值：完整的档案既是履职证据，也是体系有效性的证明材料；档案缺失，等于没做过。

以下七组是本职业最容易混、也最常出题的地方。每一组都按「标准怎么写」来分，不按感觉分。对比表按「比什么—前者—后者」三列排，先看右边两列的定义差异，再回看左边的问题。

⭐ 记忆抓手：合法是最低线，合规是底线加上承诺；合规防火、法务救火；义务在前、风险在后；舞弊多一个「故意加掩盖」。

内容依据：本笔记依据中国企业改革与发展研究会、中国合作贸易企业协会发布的团体标准《企业合规官能力要求》（T/CERDS 18 / T/CC 9）整理，并参考 GB/T 35770《合规管理体系 要求及使用指南》、《中央企业合规管理办法》等公开文件。文中的岗位职责、行为规范、基础知识分类、基本技能十项、指标权重、40% 与 60% 的合成比例、60 分合格线、30 学时与 45 分钟等数值，均取自标准原文。

关于标准的性质（重要）：经检索，未找到公开发布的国家职业标准或官方评价标准。企业合规官属行业协会、团体标准的评价项目，不在国家职业技能等级制度内，因此本笔记不是国家职业标准配套资料，具体考试范围、题型与合格要求以主办机构的官方培训大纲和当期公告为准。

关于分级：该团体标准不划分职业技能等级，只按岗位职责与能力要求整体描述。本笔记的「专员级／管理级」是编者按岗位层级对同一能力框架所作的侧重切分，不是标准原文的等级设置，也不构成任何资格层级认定。

关于不臆造：标准未给出具体数值的地方（如审查时限、调查期限、处罚档次、礼品金额门槛），本笔记一律不写；「三道防线」属行业通行治理表述，标准原文未使用该术语，出现时已在正文标注。

关于年份：按题库体例，正文不标注标准与法规的版本年份，避免版本更替产生歧义。