關鍵崗位的適任要求：先看監管認不認這個人，再看你想不想要這個人
結論先給：受監管主體的部分職務附帶任職資格要求，招聘時的第一道篩子不是你的崗位説明書，是監管對這個職務的適任標準。這類要求通常落在董事、高級管理人員以及特定合規職能上，考察的方向大致是三類：專業經歷與相關領域的從業年限、誠信與過往記錄、以及是否存在會影響獨立判斷的關聯關係。具體適用哪些職務、要求到什麼程度、要不要事前報備或核准，取決於你持有哪一類牌照，以主管部門當期規定為準，不同業務類別之間差別很大，不要拿別家的組織架構照抄。
這件事對招聘節奏的影響是結構性的。普通崗位的招聘週期是「找人—面試—發錄用—入職」；關鍵崗位要在這條線上再加兩段：材料準備（履歷、證明文件、無不良記錄的證明、聲明文件）與監管側的處理時間。所以關鍵崗位必須從上線日倒排，而且要提前準備候選替補——如果這個職務是業務開展的前提，人選出問題就等於業務停擺。
第二個常被忽略的點是「兼任」。某些職能被要求具備獨立性，兼任會直接削弱它：讓財務負責人兼任合規、讓業務負責人兼管風控、讓同一個人同時負責運營和內部審計，這類安排在檢查時很難解釋。可執行的做法是三件：把每個受管職務的任職條件、彙報線與不得兼任的職務寫進職位説明書；人事變動時同步更新組織架構圖與報備材料；以及為每個關鍵職務指定一名候補，並讓候補在平時就有足夠的接觸面。
外籍人士擔任關鍵崗位時，是兩套要求疊加。一套是監管對職務的適任要求，另一套是外籍人員在菲工作的許可路徑——就業許可與工作簽證的順序、審理節奏與本地化配比要求，見 在菲律賓僱外國人 與 就業許可怎麼辦；某些崗位還附帶培訓本地人的義務，見 外籍比例與本地儲備幹部。兩套週期不會自動對齊，必須畫在同一張時間表上。這一點和 BPO 的爬坡期倒排是同樣的思路，見 BPO 呼叫中心用工。個案請諮詢執業律師，本文不構成法律意見。
合規官與反洗錢崗：這是牌照條件裏的編制，不是 HR 可以省下的成本項
結論先給：在受監管的金融業務裏，合規與反洗錢職能通常是准入條件的一部分——不是「等業務做大了再配」，是沒有它業務就不該上線。這類職能的共同特徵有三個：有明確的責任人、有獨立於業務線的彙報路徑、以及有向監管與內部治理層報告的義務。把它當成一個普通的中後台崗位來招，是這一行最貴的誤判。
獨立性是這條線的核心，而獨立性是被組織結構決定的，不是被態度決定的。三件會直接損害獨立性的安排：合規負責人向業務負責人彙報、合規人員的績效與業務指標綁定、以及合規意見可以被業務線單方面推翻且不留記錄。可執行的最小結構是：合規職能的彙報線繞開業務線直達治理層；合規人員的考核口徑與業務指標分離；以及所有被推翻的合規意見必須書面留痕，寫明誰決定、依據是什麼。
人不是唯一要件，「人 + 制度 + 記錄」才是。這條職能線通常要能拿出四樣東西：崗位與職責的書面文件、員工培訓記錄（尤其是新入職與年度複訓）、可疑情形的內部上報路徑與處理記錄、以及定期的自查與報告。其中培訓記錄最容易漏——很多公司做了培訓，但沒有留下簽到、材料版本與測試結果，檢查時等於沒做。記錄留存的通用要求見 記錄該怎麼留檔，個人資料類的處理邊界見 數據隱私法的基本要求。
關於編制規模，唯一誠實的説法是：按業務複雜度定，不按人數百分比定。決定合規人力的是業務種類數、渠道數、客户類型、交易筆數與系統自動化程度，而不是公司總人數。三個常見的失衡信號：合規人員長期加班處理例行核查、可疑情形的處理積壓持續增長、以及合規人員同時兼任客服或運營的日常崗位。出現這三個信號時，要麼加人，要麼降複雜度，沒有第三條路。兼任與外包的邊界在下一節和外包那一節講。把多主體、多牌照的合規崗位設置與記錄統一建賬管理，可以交給 易行的合規託管服務。個案請諮詢執業律師，本文不構成法律意見。
背景核查與利益衝突申報：這裏的核查是持續義務，不是入職時查一次
結論先給：金融科技的人員核查有兩條線——入職前的背景核查，和在職期間的利益衝突申報，第二條線才是大多數公司缺的那條。背景核查回答「這個人過去怎麼樣」，利益衝突申報回答「這個人現在與誰有關係」。前者一次性，後者必須定期重複，並且在發生變化時即時更新。
背景核查的深度要按崗位的數據與資金接觸面分級，不要一刀切。能看到客户資料、能操作交易、能修改參數、能審批放款的崗位，核查深度與授權人層級都應該更高；純職能崗位不必要求同樣的深度。核查本身有法定邊界：需要書面同意，可核實的範圍有限，前僱主通常只確認在職期間與職位，完整做法見 背景調查怎麼做才合法。核查結果是個人資料，保存期限、訪問名單與銷燬方式要一併定，框架見 數據隱私法對企業的基本要求。
利益衝突申報要落成一張表和一個節奏，不能靠「有情況請主動報告」這句話。常見需要申報的情形有五類：本人或近親屬在同業、供應商、渠道方或大客户處任職或持股；本人在外兼職或自營與公司業務相關的生意；接受超出正常商務禮節的饋贈與招待；參與對關聯方的審批或議價；以及個人賬户與公司業務之間存在可能被誤解的往來。可執行的做法：入職時首次申報、每年至少一次複核、變動時即時更新，申報由合規而非直屬主管收集，並且要有「申報之後怎麼處理」的既定路徑——迴避、變更審批人，或調整職責。
最後一點：核查與申報的目的是管理風險，不是篩選身份。把與崗位無關的個人信息納入核查，既不合規也沒有防護價值。三條紀律：只收集與崗位風險相關的信息、把收集的理由寫在同意書裏、以及發現問題時先給解釋機會再作判斷，直接拉黑往往製造出一個不必要的爭議。員工發生不當行為時的處理順序見 發現員工不當行為的正確順序。同樣是「資格掛在人身上」的邏輯，在地產業是銷售人員的執照，見 房地產開發商用工。個案請諮詢執業律師，本文不構成法律意見。
職責分離：同一個人不能既發起又審批——權限設計就是用工設計
結論先給：把「誰能發起」「誰能審批」「誰能修改參數」「誰能查看數據」拆成四組不同的權限，並且確保不落在同一個人身上，這不是 IT 的事，是組織設計的事。金融科技的資損與數據事件，絕大多數不是外部攻破，而是內部某個崗位同時擁有了本不該疊加的權限。組織架構圖畫錯了，等於內控錯了。
先做一張崗位—權限矩陣，四條分離線要各自成立。第一條：發起與審批分離——提交交易、變更收款賬户、調整額度的人，不能是批准這些動作的人。第二條：數據權限與資金權限分離——能批量導出客户資料的崗位，不應同時擁有資金操作權限。第三條：生產與開發分離——開發與測試人員對生產環境的訪問必須是受控、臨時且留痕的。第四條：執行與稽核分離——做日常操作的人不能審自己的記錄。這四條是常識，但最常見的破口是「臨時授權忘了收回」，所以任何例外都必須帶自動到期。
小團隊怎麼辦，是這一行最真實的問題。初創期人少，嚴格分離看似不可能。可行的替代不是放棄分離，而是三件事：用「雙人複核」代替「兩個部門」——關鍵動作要求兩名指定人員共同完成；用系統限額把單人可獨立完成的動作壓到低風險區間，超過閾值強制走複核；以及對無法分離的崗位增加事後稽核頻率並留下記錄。要寫清楚的是「誰在什麼條件下可以打破常規」以及這個動作會留下什麼記錄，而不是默認沒有人會打破。
權限的三個時點必須綁進 HR 流程：入職授權、調崗變更、離職回收。調崗是最容易出問題的那個——新權限加上了，舊權限沒刪，幾次調動之後這個人就成了權限最大的人。可執行做法是兩條：權限定義在崗位而不是個人，人動則權限按崗位重算；每季度做一次全量權限複核，由崗位負責人逐條確認。同樣把權限掛崗位的做法在 BPO 是客户合同的硬要求，見 BPO 呼叫中心用工。制度要能被員工看到並被公示，員工手冊的效力要件見 員工手冊怎麼寫才有法律效力。個案請諮詢執業律師，本文不構成法律意見。
外包客服與第三方坐席：外包出去的是活，不是責任
結論先給：客服、催收、部分運營與開發可以外包，但對客户與監管的責任留在你這裏——所以外包合同裏必須寫進人員條款，而不是隻寫服務水平。這一點在供應鏈層面已經拆過，見 金融科技的供應鏈；本文只講人員這一側要寫什麼、怎麼驗。
外包給第三方時，至少要在合同裏落六件事。其一，接觸客户資料的人員範圍與名單管理；其二，背景核查標準與你能否查驗其執行記錄；其三，培訓義務——尤其是與客户資料處理、投訴處理、話術邊界有關的培訓，以及培訓記錄的保存；其四，權限授予與回收的時限與回執；其五，轉委託（外包商再外包）的限制與告知義務；其六，你的稽核權——能否進場、能否抽查記錄、頻率如何。沒有第六條，前面五條都只是紙面承諾。
合法承包與非法勞務外包之間有硬邊界，踩過界的後果是你被認定為真正的僱主。判斷方向包括承包方是否有實質資本與獨立經營、控制權在誰手裏、以及承包的是不是你的核心業務，完整規則見 勞務派遣合法嗎，用工形態的整體菜單見 人力外包有哪些形態。金融科技特別要注意兩點：一是外包坐席若在你的系統裏以你的名義與客户溝通、按你的考核受管理，形式上的外包很難成立；二是把受監管的核心職能（比如合規判斷本身）外包出去，是另一個層級的問題，通常不被允許或需要事前安排，以主管部門當期規定為準。
催收是這一行最容易出事的一塊外包，而且出事時輿情與監管往往同時到。無論自營還是外包，要提前定死四件事：可以聯繫的對象與時段範圍、話術與禁止行為清單、通話與溝通記錄的保存、以及投訴受理與回溯機制。把「禁止行為」寫進外包合同的違約條款，而不是隻寫在培訓材料裏，是唯一有牙齒的做法。個案請諮詢執業律師，本文不構成法律意見。需要把外包商的人員條款、稽核記錄與合規文件統一建賬管理，可以交給 易行的合規託管服務。
離職與調崗：權限註銷、交接證據與離職後的約束，三件事要一起做
結論先給：金融科技公司的離職流程要同時完成三件事——權限立刻註銷、職責有人接住、以及離職後的約束條款真正可執行。缺一件，風險都留在公司。這一行的離職不是「人走了少一個人」，而是「一條權限鏈斷沒斷、一份職責有沒有交出去」。
第一件：權限註銷要有時點與回執。固定動作包括：所有系統賬號停用、生產環境與後台管理權限撤銷、共享賬號口令輪換、多因素認證設備解綁、審批鏈上的角色替換（這一條最常被漏，人走了但審批流裏還掛着他）、設備與門禁回收，以及一份完成確認。順序上，通知離職與停用權限之間的時間差是最大的風險窗口，關鍵崗位應當在通知的同時降權。結清流程本身的卡點見 離職與結清怎麼走。
第二件：交接要留下可驗證的東西，不是口頭説清楚。受管職務尤其如此——合規、風控、財務的崗位交接至少要有：在辦事項清單與狀態、未決的可疑情形與外部溝通、系統中以其名義待處理的任務、以及與監管或外部機構的往來記錄索引。關鍵職務的繼任與報備：如果這個職務附帶任職資格或需要報備，離任本身可能觸發一次申報與繼任安排，具體以主管部門當期規定為準，所以離職日不能只寫在 HR 系統裏。
第三件：離職後的約束要區分三種不同的工具，不要混寫成一條。保密義務約束的是信息，通常在關係結束後繼續存在；競業限制約束的是去向，在菲律賓是否被認可要看範圍、期限、地域與是否有對價，寫法與判斷方向見 競業限制條款有效嗎；而通知期內的職責調整（例如讓離職者在通知期內不再接觸敏感系統）是僱主的管理安排，要寫進合同與制度才用得上。三者的共同前提是合同寫得住，一般寫法見 勞動合同怎麼簽才站得住。條款效力屬個案判斷，請諮詢執業律師，本文不構成法律意見。跨行業的對照可看 菲律賓農業用工 與 房地產開發商用工，那兩行的「資格掛在人身上」表現為執照與年齡核查。加密資產相關業務的監管框架與個人邊界見 加密資產在菲律賓的監管框架。