关键岗位的适任要求：先看监管认不认这个人，再看你想不想要这个人
结论先给：受监管主体的部分职务附带任职资格要求，招聘时的第一道筛子不是你的岗位说明书，是监管对这个职务的适任标准。这类要求通常落在董事、高级管理人员以及特定合规职能上，考察的方向大致是三类：专业经历与相关领域的从业年限、诚信与过往记录、以及是否存在会影响独立判断的关联关系。具体适用哪些职务、要求到什么程度、要不要事前报备或核准，取决于你持有哪一类牌照，以主管部门当期规定为准，不同业务类别之间差别很大，不要拿别家的组织架构照抄。
这件事对招聘节奏的影响是结构性的。普通岗位的招聘周期是「找人—面试—发录用—入职」；关键岗位要在这条线上再加两段：材料准备（履历、证明文件、无不良记录的证明、声明文件）与监管侧的处理时间。所以关键岗位必须从上线日倒排，而且要提前准备候选替补——如果这个职务是业务开展的前提，人选出问题就等于业务停摆。
第二个常被忽略的点是「兼任」。某些职能被要求具备独立性，兼任会直接削弱它：让财务负责人兼任合规、让业务负责人兼管风控、让同一个人同时负责运营和内部审计，这类安排在检查时很难解释。可执行的做法是三件：把每个受管职务的任职条件、汇报线与不得兼任的职务写进职位说明书；人事变动时同步更新组织架构图与报备材料；以及为每个关键职务指定一名候补，并让候补在平时就有足够的接触面。
外籍人士担任关键岗位时，是两套要求叠加。一套是监管对职务的适任要求，另一套是外籍人员在菲工作的许可路径——就业许可与工作签证的顺序、审理节奏与本地化配比要求，见 在菲律宾雇外国人 与 就业许可怎么办；某些岗位还附带培训本地人的义务，见 外籍比例与本地储备干部。两套周期不会自动对齐，必须画在同一张时间表上。这一点和 BPO 的爬坡期倒排是同样的思路，见 BPO 呼叫中心用工。个案请咨询执业律师，本文不构成法律意见。
合规官与反洗钱岗：这是牌照条件里的编制，不是 HR 可以省下的成本项
结论先给：在受监管的金融业务里，合规与反洗钱职能通常是准入条件的一部分——不是「等业务做大了再配」，是没有它业务就不该上线。这类职能的共同特征有三个：有明确的责任人、有独立于业务线的汇报路径、以及有向监管与内部治理层报告的义务。把它当成一个普通的中后台岗位来招，是这一行最贵的误判。
独立性是这条线的核心，而独立性是被组织结构决定的，不是被态度决定的。三件会直接损害独立性的安排：合规负责人向业务负责人汇报、合规人员的绩效与业务指标绑定、以及合规意见可以被业务线单方面推翻且不留记录。可执行的最小结构是：合规职能的汇报线绕开业务线直达治理层；合规人员的考核口径与业务指标分离；以及所有被推翻的合规意见必须书面留痕，写明谁决定、依据是什么。
人不是唯一要件，「人 + 制度 + 记录」才是。这条职能线通常要能拿出四样东西：岗位与职责的书面文件、员工培训记录（尤其是新入职与年度复训）、可疑情形的内部上报路径与处理记录、以及定期的自查与报告。其中培训记录最容易漏——很多公司做了培训，但没有留下签到、材料版本与测试结果，检查时等于没做。记录留存的通用要求见 记录该怎么留档，个人资料类的处理边界见 数据隐私法的基本要求。
关于编制规模，唯一诚实的说法是：按业务复杂度定，不按人数百分比定。决定合规人力的是业务种类数、渠道数、客户类型、交易笔数与系统自动化程度，而不是公司总人数。三个常见的失衡信号：合规人员长期加班处理例行核查、可疑情形的处理积压持续增长、以及合规人员同时兼任客服或运营的日常岗位。出现这三个信号时，要么加人，要么降复杂度，没有第三条路。兼任与外包的边界在下一节和外包那一节讲。把多主体、多牌照的合规岗位设置与记录统一建账管理，可以交给 易行的合规托管服务。个案请咨询执业律师，本文不构成法律意见。
背景核查与利益冲突申报：这里的核查是持续义务，不是入职时查一次
结论先给：金融科技的人员核查有两条线——入职前的背景核查，和在职期间的利益冲突申报，第二条线才是大多数公司缺的那条。背景核查回答「这个人过去怎么样」，利益冲突申报回答「这个人现在与谁有关系」。前者一次性，后者必须定期重复，并且在发生变化时即时更新。
背景核查的深度要按岗位的数据与资金接触面分级，不要一刀切。能看到客户资料、能操作交易、能修改参数、能审批放款的岗位，核查深度与授权人层级都应该更高；纯职能岗位不必要求同样的深度。核查本身有法定边界：需要书面同意，可核实的范围有限，前雇主通常只确认在职期间与职位，完整做法见 背景调查怎么做才合法。核查结果是个人资料，保存期限、访问名单与销毁方式要一并定，框架见 数据隐私法对企业的基本要求。
利益冲突申报要落成一张表和一个节奏，不能靠「有情况请主动报告」这句话。常见需要申报的情形有五类：本人或近亲属在同业、供应商、渠道方或大客户处任职或持股；本人在外兼职或自营与公司业务相关的生意；接受超出正常商务礼节的馈赠与招待；参与对关联方的审批或议价；以及个人账户与公司业务之间存在可能被误解的往来。可执行的做法：入职时首次申报、每年至少一次复核、变动时即时更新，申报由合规而非直属主管收集，并且要有「申报之后怎么处理」的既定路径——回避、变更审批人，或调整职责。
最后一点：核查与申报的目的是管理风险，不是筛选身份。把与岗位无关的个人信息纳入核查，既不合规也没有防护价值。三条纪律：只收集与岗位风险相关的信息、把收集的理由写在同意书里、以及发现问题时先给解释机会再作判断，直接拉黑往往制造出一个不必要的争议。员工发生不当行为时的处理顺序见 发现员工不当行为的正确顺序。同样是「资格挂在人身上」的逻辑，在地产业是销售人员的执照，见 房地产开发商用工。个案请咨询执业律师，本文不构成法律意见。
职责分离：同一个人不能既发起又审批——权限设计就是用工设计
结论先给：把「谁能发起」「谁能审批」「谁能修改参数」「谁能查看数据」拆成四组不同的权限，并且确保不落在同一个人身上，这不是 IT 的事，是组织设计的事。金融科技的资损与数据事件，绝大多数不是外部攻破，而是内部某个岗位同时拥有了本不该叠加的权限。组织架构图画错了，等于内控错了。
先做一张岗位—权限矩阵，四条分离线要各自成立。第一条：发起与审批分离——提交交易、变更收款账户、调整额度的人，不能是批准这些动作的人。第二条：数据权限与资金权限分离——能批量导出客户资料的岗位，不应同时拥有资金操作权限。第三条：生产与开发分离——开发与测试人员对生产环境的访问必须是受控、临时且留痕的。第四条：执行与稽核分离——做日常操作的人不能审自己的记录。这四条是常识，但最常见的破口是「临时授权忘了收回」，所以任何例外都必须带自动到期。
小团队怎么办，是这一行最真实的问题。初创期人少，严格分离看似不可能。可行的替代不是放弃分离，而是三件事：用「双人复核」代替「两个部门」——关键动作要求两名指定人员共同完成；用系统限额把单人可独立完成的动作压到低风险区间，超过阈值强制走复核；以及对无法分离的岗位增加事后稽核频率并留下记录。要写清楚的是「谁在什么条件下可以打破常规」以及这个动作会留下什么记录，而不是默认没有人会打破。
权限的三个时点必须绑进 HR 流程：入职授权、调岗变更、离职回收。调岗是最容易出问题的那个——新权限加上了，旧权限没删，几次调动之后这个人就成了权限最大的人。可执行做法是两条：权限定义在岗位而不是个人，人动则权限按岗位重算；每季度做一次全量权限复核，由岗位负责人逐条确认。同样把权限挂岗位的做法在 BPO 是客户合同的硬要求，见 BPO 呼叫中心用工。制度要能被员工看到并被公示，员工手册的效力要件见 员工手册怎么写才有法律效力。个案请咨询执业律师，本文不构成法律意见。
外包客服与第三方坐席：外包出去的是活，不是责任
结论先给：客服、催收、部分运营与开发可以外包，但对客户与监管的责任留在你这里——所以外包合同里必须写进人员条款，而不是只写服务水平。这一点在供应链层面已经拆过，见 金融科技的供应链；本文只讲人员这一侧要写什么、怎么验。
外包给第三方时，至少要在合同里落六件事。其一，接触客户资料的人员范围与名单管理；其二，背景核查标准与你能否查验其执行记录；其三，培训义务——尤其是与客户资料处理、投诉处理、话术边界有关的培训，以及培训记录的保存；其四，权限授予与回收的时限与回执；其五，转委托（外包商再外包）的限制与告知义务；其六，你的稽核权——能否进场、能否抽查记录、频率如何。没有第六条，前面五条都只是纸面承诺。
合法承包与非法劳务外包之间有硬边界，踩过界的后果是你被认定为真正的雇主。判断方向包括承包方是否有实质资本与独立经营、控制权在谁手里、以及承包的是不是你的核心业务，完整规则见 劳务派遣合法吗，用工形态的整体菜单见 人力外包有哪些形态。金融科技特别要注意两点：一是外包坐席若在你的系统里以你的名义与客户沟通、按你的考核受管理，形式上的外包很难成立；二是把受监管的核心职能（比如合规判断本身）外包出去，是另一个层级的问题，通常不被允许或需要事前安排，以主管部门当期规定为准。
催收是这一行最容易出事的一块外包，而且出事时舆情与监管往往同时到。无论自营还是外包，要提前定死四件事：可以联系的对象与时段范围、话术与禁止行为清单、通话与沟通记录的保存、以及投诉受理与回溯机制。把「禁止行为」写进外包合同的违约条款，而不是只写在培训材料里，是唯一有牙齿的做法。个案请咨询执业律师，本文不构成法律意见。需要把外包商的人员条款、稽核记录与合规文件统一建账管理，可以交给 易行的合规托管服务。
离职与调岗：权限注销、交接证据与离职后的约束，三件事要一起做
结论先给：金融科技公司的离职流程要同时完成三件事——权限立刻注销、职责有人接住、以及离职后的约束条款真正可执行。缺一件，风险都留在公司。这一行的离职不是「人走了少一个人」，而是「一条权限链断没断、一份职责有没有交出去」。
第一件：权限注销要有时点与回执。固定动作包括：所有系统账号停用、生产环境与后台管理权限撤销、共享账号口令轮换、多因素认证设备解绑、审批链上的角色替换（这一条最常被漏，人走了但审批流里还挂着他）、设备与门禁回收，以及一份完成确认。顺序上，通知离职与停用权限之间的时间差是最大的风险窗口，关键岗位应当在通知的同时降权。结清流程本身的卡点见 离职与结清怎么走。
第二件：交接要留下可验证的东西，不是口头说清楚。受管职务尤其如此——合规、风控、财务的岗位交接至少要有：在办事项清单与状态、未决的可疑情形与外部沟通、系统中以其名义待处理的任务、以及与监管或外部机构的往来记录索引。关键职务的继任与报备：如果这个职务附带任职资格或需要报备，离任本身可能触发一次申报与继任安排，具体以主管部门当期规定为准，所以离职日不能只写在 HR 系统里。
第三件：离职后的约束要区分三种不同的工具，不要混写成一条。保密义务约束的是信息，通常在关系结束后继续存在；竞业限制约束的是去向，在菲律宾是否被认可要看范围、期限、地域与是否有对价，写法与判断方向见 竞业限制条款有效吗；而通知期内的职责调整（例如让离职者在通知期内不再接触敏感系统）是雇主的管理安排，要写进合同与制度才用得上。三者的共同前提是合同写得住，一般写法见 劳动合同怎么签才站得住。条款效力属个案判断，请咨询执业律师，本文不构成法律意见。跨行业的对照可看 菲律宾农业用工 与 房地产开发商用工，那两行的「资格挂在人身上」表现为执照与年龄核查。加密资产相关业务的监管框架与个人边界见 加密资产在菲律宾的监管框架。