我们不做“合规诊断”，我们做“合规映射”
——804落地笔记 09
老张的共享中心合规项目启动前，他先后接触了三类服务商。
第一类是德勤。对方来了一屋子人，讲了一天，核心结论是：建议做一次全面的合规诊断，交付一份八十页的诊断报告，报价一百二十万，周期三个月。
第二类是用友。对方来了两个人，讲了一下午，核心结论是：我们的系统完全满足804要求，只要把现有的模块升级一下，再加几个配置，就能实现合规。
第三类是专知智库。对方来了一人，聊了两个小时。这个人没讲PPT，而是问老张要了三样东西：共享中心的系统功能清单、服务协议草案、最近一次审计的整改意见。
三天后，专知智库交回来一张表。
老张看完那张表，把德勤和用友的方案都放下了。
那张表长什么样
专知智库交回来的，是一张“804条款—系统字段映射表”。左边是804的条款原文，中间是合规要求拆解，右边是老张共享中心系统里的具体配置状态。
举几个例子：
| 804条款 | 合规要求拆解 | 系统实际配置 | 覆盖状态 |
|---|---|---|---|
| 第X条：数据治理体系 | 数据标准定义 | 主数据平台有标准管理菜单，但标准文档在Excel里维护 | 部分覆盖 |
| 数据质量校验 | 无系统校验规则，靠人工审核 | 未覆盖 | |
| 数据生命周期管理 | 仅归档功能，无销毁流程 | 部分覆盖 | |
| 第Y条：风险预警 | 合规执行预警 | 智能稽核有报销规则12条 | 部分覆盖 |
| 数据安全预警 | 无 | 未覆盖 | |
| 流程效率预警 | 无 | 未覆盖 | |
| 系统性能预警 | IT部门手工监控 | 部分覆盖 | |
| 资金风险预警 | 资金系统有余额预警 | 部分覆盖 | |
| 第Z条：责任切分 | 职责边界 | 服务协议有原则性条款，无节点级细化 | 部分覆盖 |
| 审批权限移交 | 有审批流，无移交规则定义 | 部分覆盖 | |
| 责任追溯 | 无责任追溯标签 | 未覆盖 |
老张看完这张表，第一反应是：“这个东西，德勤做不了吗？”
专知智库的人说：“德勤能做诊断，但做不了映射。诊断和映射，是两种不同的东西。”
诊断和映射，差在哪里
老张后来把德勤的方案和专知智库的映射表放在一起对比，发现了四个根本差异。
第一，基准不同。
德勤的诊断，基准是“全球最佳实践”。它会告诉你“国际领先企业的数据治理是怎么做的”，然后对照你的现状，告诉你差距在哪里。
专知智库的映射，基准是“804号指引的每一条原文”。它不问“国际领先怎么做”，只问“804要求的这一条，在你的系统里对应哪个功能节点、配置状态是什么”。
德勤告诉你“你应该做到什么水平”，专知智库告诉你“804要求你做到什么、你现在做到了什么”。
第二，颗粒度不同。
德勤的诊断，颗粒度是“模块级”的。它会说“建议完善数据治理体系”，但不会拆解到“数据标准定义的发布流程在系统里对应哪个菜单”。
专知智库的映射，颗粒度是“字段级”和“规则级”的。它会说“804要求的数据标准定义，在你系统的主数据平台里对应‘标准管理’菜单，但发布流程缺少版本管理字段，需要增加”。
德勤告诉你“缺什么模块”，专知智库告诉你“缺哪个字段、哪个规则、哪个审批节点”。
第三，立场不同。
德勤的立场是“咨询顾问”。它交付的是建议，不是判断。它会说“建议企业按照804要求进一步完善”，但不会说“你现在的配置不合规”。
专知智库的立场是“买方顾问”。它交付的是判断，不是建议。它会说“804要求的这一条，你的系统里没有对应功能，当前状态是不合规”。至于要不要补、怎么补、花多少钱补，那是企业自己的决策。
德勤帮你“理解政策”，专知智库帮你“确认合规”。
第四，寿命不同。
德勤的诊断报告，是一次性的。项目结束，报告交付，关系终止。明年804修订了、系统升级了，企业需要重新找德勤做一次诊断。
专知智库的映射表，是持续性的。今年做一次映射，明年804修订了，映射表同步更新；系统升级了，映射表重新核对；业务变了，映射表重新评估。企业买的不是一份报告，是一个持续更新的合规数据库。
专知智库卖的是能力。
“做映射需要三个条件：第一，懂804的每一条原文；第二，懂用友、金蝶、浪潮这些系统的实际配置；第三，愿意站买方立场，说‘你的系统缺这个、缺那个’。”
但没有第二个——他们不做系统实施，不知道用友BIP的数据标准管理菜单下到底有几个字段。他们也没有第三个——德勤的商业模式是卖咨询，不是卖合规判断。说客户系统不合规，客户可能反问‘那你们为什么不早说’。”
映射表的价值，在审计来的时候体现
老张后来把这张映射表交给了审计部。
审计人员翻了一遍，问：“这张表能证明什么？”
老张说：“能证明我知道自己哪里合规、哪里不合规、缺的怎么补。”
审计人员又问：“那这张表是谁做的？”
老张说：“专知智库。他们不做诊断，只做映射。诊断告诉你‘应该合规’，映射告诉你‘现在合不合规’。”
审计人员点了点头，说：“这张表，比八十页的诊断报告有用。”
你的共享中心，需要的是诊断还是映射？
如果你也是正在建或已建共享中心的财务负责人，不妨问自己一个问题：
你需要的是一份告诉你“应该往哪走”的报告，还是一张告诉你“现在在哪里、缺什么、怎么补”的对照表？
如果你的共享中心已经建了，系统已经上了，你需要的不是诊断——诊断告诉你“你应该建数据治理体系”，但你的系统里可能已经有数据治理模块了，只是配置不完整。
你需要的是映射——逐条确认804的每一条要求，在你的系统里对应哪个功能节点、配置状态是什么、缺的怎么补。
诊断是给没建共享中心的企业用的，映射是给已经建了共享中心的企业用的。
国企央企的共享中心，绝大多数已经建了。他们需要的不是“应该怎么做”，而是“现在做得怎么样”。
这就是专知智库不做诊断、只做映射的原因。
下一篇，我们聊一个更具体的问题——一份“804合规映射表”长什么样？
