风险、牌照、合同、税务、用工与监管

01业务起点

02协作与交接

03结果与复盘

图11：真正有效的风控不是项目末尾盖章，而是在每个不可逆节点前把风险信号变成停、查、改或退出。

【风险提示】本章给出业务人员可执行的识别与升级框架，不替代针对具体机构、执业人员、业务、地区和日期的法律、会计、审计或税务意见。凡涉及设立许可、法定报告、诉讼代理、证券服务、税务鉴证、跨境数据和执业责任，应由适格专业人士按最新有效规则复核。

11.1 四层合规地图

第一层是主体层：谁有权设立、谁受监管、谁能开分所、谁承担责任。第二层是人员层：谁有执业资格、谁能签字、是否需要持续教育、轮换或名册登记。第三层是业务层：具体事项是否属于受限制、禁止、需批准或需独立的业务。第四层是项目层：客户诚信、利益冲突、范围、证据、收费、数据和报告使用是否可接受。只查营业执照解决不了后三层；只看个人证书也不能证明机构有权承接。

层级	核心问题	证据	红旗
主体	签约实体是否依法设立并有权开展该类业务	登记、许可、章程/合伙协议、官方名册	用咨询公司合同承接律所或审计业务
人员	执行和签字人员是否适格并保持资格	执业证、注册名册、培训、独立性确认	借证、挂名签字、资格过期
业务	服务类型、法域、客户和报告用途是否在允许范围	业务分类、监管规则、承接审批	用“顾问报告”规避法定报告要求
项目	具体事实、关系、数据、收费和证据是否可接受	问卷、检索、委托书、底稿、复核	客户要求预设结论或隐瞒关联方

11.2 律师事务所与法律服务

【可核验事实】律师事务所的设立、负责人、章程或合伙协议、分所、变更终止和内部监督适用专门管理规则。[SRC-L02-NPC-LAWYERS-LAW-2017] [SRC-L02-MOJ-LAWFIRM-MEASURES-2018] 业务系统应至少控制立案、委托冲突、律师指派、收费、印章、案件期限、客户资金（如适用）、重大事项、结案和档案。律师对共同委托、前客户、关联方、潜在对手和个人利益的冲突要持续评估；共同委托的客户之间一旦利益分化，应按规则与委托安排决定披露、同意、隔离或退出。

收费合同要写收费方式、金额或算法、工作范围、费用、支付节点、终止与退款。风险代理只在允许范围使用，并落实书面告知和适用限制。[SRC-L02-MOJ-LAWYER-FEE-OPINION-2021] 销售话术不得承诺诉讼胜率、审批结果或绝对无风险。案件宣传、案例复用和客户评价必须保护保密义务并遵守广告宣传要求。

11.3 会计师事务所、质量管理与2027切换

【可核验事实】会计师事务所从事注册会计师法定业务须有执业许可，组织形式、合伙人/股东和分所受专门监督。[SRC-L02-MOF-CPA-FIRM-LICENCE-2019] 【可核验事实】质量管理准则要求事务所设计、实施和运行质量管理体系，并覆盖治理、职业道德、客户关系与业务承接、业务执行、资源、信息沟通和监控整改等要素；证券服务事务所与其他事务所按通知分别进入执行期。[SRC-L02-MOF-QM-5101-5102-2020]

质量体系不是手册，而要能回答：高层如何对质量负责；哪些客户不能接；人员如何分派；复杂判断如何咨询；哪些项目需要质量复核；系统如何锁定签发；缺陷如何监控；整改如何验证。总分所还要按一体化要求在人事、财务、业务、技术标准、信息化和风险等方面真正统一，不能是各地借品牌独立经营。[SRC-L02-MOF-CPA-INTEGRATION-2022]

【日期门】2026年修改后的注册会计师法自2027-01-01施行，截至2026-08-10尚未生效。[SRC-L02-MOF-CPA-LAW-2026-FUTURE] 事务所应建立受影响制度、合同、许可、人员、系统字段和培训清单，在生效前完成准备；本篇所有“当前”判断仍以2026年有效规则为基础。

11.4 独立性不是一道单选题

威胁来源	例子	可能防范	无法降至可接受水平时
自身利益	对单一审计客户收费依赖、持有财务利益	退出利益、额外复核、降低依赖	拒绝或终止相关业务
自我评价	先设计财务系统或编制信息再审计	分团队、限制服务、客户承担决策	不提供冲突服务或不承接鉴证
过度推介	替客户交易立场背书后再鉴证	限制角色和表述	退出不相容角色
密切关系	长期人员关系、近亲属任关键职位	人员回避、轮换、复核	更换人员或拒接
外在压力	客户以撤单、拖款威胁修改结论	治理层沟通、技术咨询、法律支持	保留、退出或依法报告

【可核验事实】独立性要求需覆盖网络关系、非鉴证服务、收费、人员和商业关系等，且应在项目期间持续评价。[SRC-L02-MOF-CPA-INDEPENDENCE-2024] 管理咨询、律师和税务项目也有各自冲突与职业道德约束，但不能把审计独立性术语机械套到所有业务；每条服务线应有自己的规则树。

11.5 涉税专业服务、实名与信用

涉税服务项目在客户和人员信息、业务事项、授权、申报、回执、底稿、报告、信用和整改之间建立闭环。客户提供异常发票、虚构交易、两套账、未披露关联交易或要求倒推结果时，团队要中止使用资料、记录疑点、要求解释与证据，并由专业负责人决定追加程序、修正、拒绝或终止。不得以“客户对真实性负责”免除机构的职业谨慎。

【可核验事实】现行涉税专业服务管理与基本准则覆盖机构、人员、业务信息、承接、计划、执行、复核、报告、归档和职业道德；2026年信用评价按新办法运行。[SRC-L02-STA-TAX-SERVICE-MEASURES-2025] [SRC-L02-STA-TAX-SERVICE-STANDARDS-2023] [SRC-L02-STA-TAX-CREDIT-2026] 因此，业务和财务看板除收入外还要展示业务信息采集及时率、实名状态、信用扣分风险、申报差错、逾期整改和底稿归档。

11.6 合同的十五个必写接口

1. 正确签约主体和授权；2. 服务类别与适用法域；3. 交付物、格式、语言和收件人；4. 使用目的、依赖者和转发限制；5. 客户提供资料、声明和决策责任；6. 机构方法、人员和外部专家安排；7. 里程碑和验收；8. 固定费、工时、费用、税费和付款；9. 范围变更；10. 保密、隐私和数据安全；11. 知识产权、背景材料和知识复用；12. 利益冲突和独立性变化；13. 责任限制、保险和第三方索赔；14. 暂停、终止、退出和资料返还；15. 法律适用与争议解决。

条款	常见客户版本	风险	可谈判方向
无限责任	任何损失全部赔偿	与收费和可保风险失衡	合理上限、直接损失、重大过错例外
结果保证	保证节税、胜诉、无保留或绩效达标	专业判断和客户执行不可完全控制	承诺过程、能力和约定交付，不保证结论
无限使用	客户及任何第三方可依赖	责任对象无限扩张	指定使用人、用途和第三方同意
单方扩项	客户合理要求均含在费用内	范围失控	排除项、变更程序和费用算法
数据任意传输	供应商可在全球处理	违反客户承诺或数据规则	地域、分包商、加密、审批和删除
客户随时终止且不付款	已投入无法回收	现金和资源风险	已完成工作、不可取消成本和移交费

11.7 个人信息、商业秘密与数据跨境

项目资料常含员工薪酬、客户名单、交易、诉讼、健康、身份、账户和系统日志。先问是否真的需要，再最小化字段、去标识、限制用途、分权、加密、记录下载和设定留存。涉及个人信息应明确处理角色、目的、范围和权利响应；涉及客户商业秘密应限制团队、设备和外部专家；涉及重要或核心数据、跨境传输及特定审计数据时按专项规则走门禁。[SRC-D02-NPC-PIPL-2021] [SRC-I04-NPC-DATA-SECURITY-2021] [SRC-L02-CAC-AUDIT-DATA-2024]

客户要求把全部项目放入其系统，不代表机构可以放弃自己的底稿和质量要求；机构使用全球网络系统，也不代表客户已同意数据出境。双方要在委托前完成系统、地域、分包、访问、备份、返还和删除设计，不能项目结束才发现底稿无法依法留存或无法向监管出示。

11.8 用工、合伙人与外部合作

专业机构依赖员工、合伙人、实习人员、独立专家和外包支持。岗位名称不能掩盖真实用工：长期接受机构日常管理、排班和考核的人员要按实际关系处理；外部专家合同要写资格、冲突、保密、数据、成果、复核和责任。不能用实习生替代需要执业资格的人员，不能把核心受监管判断外包给无监督团队，也不能以“项目奖金”诱导预设结论。

工时和绩效系统要防止极端加班、连续夜班和复核时间被挤压。疲劳会直接降低怀疑、沟通和判断质量。项目经理每周检查个人负荷、关键期限和替补，任何涉及安全、健康或伦理的停工不应影响员工评价。

11.9 反舞弊、反贿赂与客户诚信

客户要求现金返佣、个人收款、伪造投标履历、借用资质、隐瞒实际受益人、删除不利证据或向公职人员输送利益，都是停止和升级信号。机构自身也要控制礼品招待、渠道佣金、分包采购、员工报销、慈善赞助和招聘关系。客户诚信评估不是一次背景调查；诉讼、监管、管理层更换、资金异常和数据矛盾都应触发重评。

11.10 专业责任、保险与索赔

责任管理从范围和使用人开始，经过胜任人员、证据、复核、报告限制和客户沟通，保险只是最后一道财务缓冲。接到索赔或保留权利通知时，不要立即承认责任或擅自修改底稿；保存沟通、通知专业风险负责人和保险联系人、识别时限、保护特权与证据，并协调客户补救。香港律师的专业弥偿安排需按当地律师会当期方案核验，不能把大陆或其他地区的保险做法直接复制。[SRC-L02-HK-LAWSOCIETY-PIS]

11.11 风险台账

风险	早期信号	预防控制	侦测控制	主责
无资格承接	销售说“先签后找人”	服务分类和许可硬门	合同/报告主体抽查	ROLE-L02-03
冲突或独立性失守	关联方不全、新服务未申报	集团树、持续确认、限制清单	关系和服务变动监控	ROLE-L02-04
低价亏损	只报总价、不算工时	自下而上预算和底线	完工估计与毛利预警	ROLE-L02-16
证据不足	资料迟交、解释反复	资料清单和替代程序	未决事项与复核	ROLE-L02-06
越权签发	临时找人盖章	签字资格和电子门禁	报告台账与日志	ROLE-L02-15
数据泄露	个人邮箱、公开链接	白名单、最小权限、培训	异常下载和DLP	ROLE-L02-18
逾期坏账	验收人缺席、承诺反复	启动款、里程碑和信用限额	账龄和争议台账	ROLE-L02-17
人才过载	多项目冲突、复核积压	容量规划和替补	工时、休息和缺陷趋势	ROLE-L02-20
监管变化	未来法已公布	法规日历和影响清单	到期复核与版本警示	ROLE-L02-01
声誉危机	报告被断章转发	收件人、用途、沟通预案	媒体和客户投诉监测	ROLE-L02-02

11.12 何时必须停单

出现以下任一情形应至少暂停并由有权人决定：主体或人员无资格；未解决的重大冲突/独立性问题；客户要求违法、虚假或预设结论；关键资料明显不实且拒绝解释；数据处理无法合法安全进行；团队缺乏胜任能力或时间；责任、费用或付款风险超出批准容量；客户限制必要程序；正式成果将被用于未约定且高风险用途。停单不是违约的同义词，动作要依据合同和职业规则，保护客户、第三方、员工、证据与机构权利。

11.13 控制不是“有制度”，而是能测试

对承接控制，抽取新项目，核客户实体、关联方、服务分类、许可、冲突、独立性、批准时间是否早于开工；对项目质量，抽底稿核目标、证据、编制复核、重大判断和正式版本；对收入，抽里程碑核合同、履约、验收、开票、应收和回款；对数据，抽权限与下载日志核最小权限、离职回收和到期删除；对归档，抽已关闭项目核目录、锁定、留存和调阅。控制测试必须保存样本总体、选择方法、异常、影响、整改人和复测。

控制	设计有效的样子	运行有效的证据	典型“纸面有效”
冲突检查	系统覆盖别名、集团、人员和交易方	开工前检索结果、解决和批准	年度签一张无冲突声明
工时预算	任务、角色、费率、风险和变更联动	每周实际、剩余和预测留痕	项目末才汇总总工时
复核	按风险分级且复核人客观胜任	问题、答复、证据、关闭与签发顺序	复核人只在封面签字
数据权限	项目角色自动授权、离岗回收、下载受控	权限单、日志、异常和删除证明	大群共享链接永久有效
收入确认	会计政策映射合同和履约事实	项目经理事实、财务判断、复核记录	开票即收入或工时即收入
归档	内容标准、期限、只读和调阅规则	归档清单、锁定时间、调阅记录	建空文件夹即关闭

11.14 监管检查准备

机构不应在收到检查通知后临时“补底稿”。日常就要维护主体许可、人员名册、客户与业务台账、独立性、质量体系、项目档案、收费、财务、数据安全、投诉和整改证据。检查响应设单一协调人和法律/专业审核，确认请求范围、保全相关资料、记录提供清单和版本，禁止员工擅自删除、重写或私下沟通。发现历史缺陷时先评估影响并采取专业补救，不制造倒签记录。

11.15 声誉和危机沟通

专业机构的报告可能被媒体、监管、对手方或社交平台断章引用。危机小组要区分事实错误、保密限制、正在进行的程序和可公开信息；对外发言由授权人批准，不泄露客户或妨碍程序。内部同时识别受影响客户、报告、人员、保险和监管，保护举报与证据。危机结束后验证根因，而不是只做搜索引擎公关。