法规保险与风险

会计、法律、咨询与专业工作室｜资格、专业责任、AML、隐私与合规控制

本章按2026年10月9日可核查的官方规则编写。合规判断从实际服务、实体、人员、客户和地区出发，不能只看名片上写“会计”“律师”或“咨询”。这里提供经营者建立控制的方法，个别事项的执业判断、法律意见和申请仍需适当专业人士完成。任何金额、人员比例、检查频率和操作案例，除明确说明的现行要求外，均为教学安排而非全国统一法定标准。

一、把业务范围翻译成一项项实际行为

列出机构会做什么，而不是只列部门名称。例如“替客户准备BAS”“解释某项交易税务结果”“起草租约”“协助设立信托”“分析销售流程”“设计网站”“代客户批准付款”，每项行为可能触发不同监管。

把结论附官方依据、核查日期和负责人。接到新类型工作时先更新这张表，不要让销售人员先承诺，再让专业团队补救。

二、普通公司注册与专业执业许可分开

ABN、ASIC公司登记、商业名称和域名解决一般商业身份问题，不等于允许提供所有专业服务。成立一家名称含“税务”“法律”或“金融”的公司，也不能绕过相应监管。公司、合伙和个人的注册可能都需分别判断。

开业文件夹至少保留实际主体、董事与所有权、专业登记、条件、保险和授权范围。宣传、合同、发票和银行账户应指向正确实体，避免客户以为委托注册事务所，实际合同却由另一未获资格实体签署。结构重组、加入合伙人或出售时，同样重新检查；旧机构资格不能默认跟着客户名单自动转移。

三、税务代理与BAS代理按服务边界判断

收费或其他报酬提供相关tax agent服务，通常须有TPB注册或适用豁免；BAS代理的范围与税务代理不同。职业协会会员资格、大学学位或多年企业财务经验，本身不等同于取得这些法定注册。

公司或合伙以自身名义提供服务时，还要检查机构注册与足够的个人注册人员安排。员工或承包商在注册机构代表其提供服务的情况，有具体适用规则，不能把例外写成所有独立自由职业者都无需注册。对不确定项目，先列实际工作和客户会依赖的判断，再向TPB或适当专业人士确认。TPB：申请注册 ↗

四、监督不是借用别人的注册号

注册负责人必须具备对服务质量和能力进行真实监督的条件。仅在网站挂一个名字、偶尔签字或约定“有事再问”，可能不足以支持机构大量接案。监督安排应与人员经验、业务复杂度、客户数量和风险相匹配。

开业时列谁可以独立准备、哪些必须复核、何时升级、谁覆盖负责人休假以及如何记录判断。没有全国通用的“一个注册人可带多少人”的简单比例，也不能说只要至少一人就足够所有规模。扩张、外包或新服务出现时重新评估。TPB：监督、能力与质量管理 ↗

五、TPB新增职业义务已经进入日常经营

2024年Code Determination新增义务涉及职业伦理、虚假或误导陈述、记录、能力、质量管理和客户告知等。较小机构相关延后起始日是2025年7月1日，其他相关机构为2025年1月1日；截至本章日期均不能再当作未来准备事项。

经营者应把义务变成可执行动作：正式客户告知、记录标准、复核、培训和异常升级，而不是只存一份政策。遇到客户要求错误申报或已发现重大问题时，由适当注册负责人按现行规则处理，不能以“客户签字了”免除自身职责。TPB：Code Determination常见问题 ↗

六、客户身份核验与代理授权分别完成

确认客户是谁、代表人有无权限、是否真正授权机构办事，是不同步骤。公司董事个人来咨询，不一定有权代表所有相关实体；夫妻、合伙人或家庭成员也不能自动替另一人作全部税务决定。

建立身份核验记录，使用适当可靠渠道，发现资料不一致时先解决。TPB客户核验指导强调按实际情况核查，不能因为熟人介绍就跳过。核验记录与不必要的身份证件副本分开，避免为了“留证”大量积累敏感资料。ATO系统中的代理权限也需要正确建立与撤销，不能共享个人登录凭证。TPB：客户核验 ↗

七、客户记录要能还原重要工作

TPB适用客户记录通常至少保存至服务完成后五年，并能说明服务性质、范围、结果及重要资料、指示和判断。保存客户交来的文件，与创建解释自己做了什么的工作记录不是同一件事。外包工作也应纳入可取得、可审查的记录体系。

内部建立目录：委托、核验、资料、分析、复核、客户批准、提交或交付、费用和结案。对于复杂判断保留事实、假设、依据和计算。不要把“所有邮件都在邮箱里”当成充分档案管理；员工离职或系统更换时，应仍能找回记录。TPB：客户记录义务 ↗

八、税务专业保险与持续能力需要跟踪

TPB注册从业者须符合适用专业责任保险要求。投保时准确描述服务、收入、人员和外包，不要仅按最便宜报价选择；条款中的追溯日期、通知、除外、自负额和停业安排都值得与专业保险顾问确认。

持续专业学习不应只为累计时数。机构进入新税务领域、软件变化或出现质量问题时，应安排针对性学习并验证能否实际应用。维护注册、保险和学习日历，指定备用提醒人。负责人注册受限制、暂停或离开时，立即评估哪些服务须暂停或调整，而不是等年度续期才发现。TPB：专业责任保险 ↗

九、审计与金融服务不能被普通会计范围吞掉

财务报表编制、审阅、法定审计、SMSF审计和金融产品建议可能涉及不同资格与独立性要求。客户说“顺便审一下”“推荐一个基金”时，先确认实际需求及所需授权，不能因为自己是会计师就全部承接。

尤其SMSF相关工作，应区分会计税务事务与建议客户取得或处置金融产品等受AFS许可约束的行为。旧的会计师豁免不能当作现行普遍授权。合作转介也应清楚责任、利益和客户选择，避免未获许可的员工提供实质建议。ASIC：会计师与SMSF服务的AFS要求 ↗

十、澳洲法律执业不是一套全国相同制度

Legal Profession Uniform Law体系适用于新州、维州和西澳，其他州领地有各自法律与监管安排。共同职业概念不等于每个地区的机构通知、执业证类别、信托、保险和收费程序都一样。Legal Services Council：法律及规则 ↗

经营者应按实际办公室、执业人员和事项核对。跨州服务还需考虑当地程序、资格条件与保险，而非只看客户住在哪里。不能在同一章给出一个“澳洲律师事务所统一申请步骤”，然后让所有读者照做。以下入口用于建立地区核查清单，具体申请以现行官方要求为准。

十一、八州领地法律业务核查入口

保存主管确认、申请材料和生效日期。网站上的公司名称已登记，不代表这些专业步骤已经完成。

十二、律师个人资格与机构管理资格分开

取得律师资格或受雇执业证，不一定意味着可立即以principal身份开业。监督执业、管理课程、保险和机构通知可能分别适用。聘请法学院毕业生也不等于聘请已获准独立执业的律师。

在人员矩阵中明确谁可负责客户、谁签署、谁监督和谁管理信托。名义董事不应被用来掩盖无资格人实际控制专业判断；公司所有权与法律管理的具体要求依州审查。以维州为例，官方开业流程会区分不同机构形式、principal或legal practitioner director及相关手续。维州开业指导 ↗

十三、法律成本披露是持续过程

委托开始时按适用规则提供费用基础、估算、客户权利等信息，重要变化出现后按要求更新。内部固定价或小时价模板需要适当专业审查，不能只从普通商业服务合同复制。费用协议与实际披露义务也不应混淆。

运营上设置成本预警：已发生、预计剩余、原估算和变化原因。负责人在客户还可以作决定时沟通，而非最终发票才揭示大幅超支。不同州、客户类别和金额条件可能影响具体规则，因此本章不把某一州简化门槛写成全国要求。维州成本披露 ↗

十四、信托款管理不能交给一般记账习惯

法律信托款的收取、存放、转账、记录、对账、审查和报告受专门规则约束。是否有权接收、需要何种账户、谁可授权、何时提取费用，都应按所在州和款项性质确认。不能看到客户写“预付律师费”就直接转入营业账户。

以维州为例，相关principal或legal practitioner director的执业证授权也是重要条件。建立客户分户账、银行核对、支付核验和异常升级，任何差额立即处理；不得借用客户款填工资或租金。软件支持不等于操作人员自动具备法律知识。维州：信托款 ↗

十五、利益冲突检查贯穿事项变化

初次接案检查客户、相关实体、对方、控制人和重要关联。工作中出现新当事人、合伙人争议、公司与董事利益分离或交易双方要求共同服务时，重新评估。客户都说“我们关系好”不能自动消除冲突。

机构要有升级路径，由具备相应专业能力的人判断能否接受、需何种披露同意或应拒绝。不得仅靠营销系统里没有同名客户就认为无冲突。不同专业规则不尽相同，法律保密与前客户问题尤其应专业处理。拒绝或退出时仍需保护已有信息，不能把对方敏感资料转给另一客户。

十六、法律专业特权与一般保密不是同一个概念

客户资料通常需要保密，但不是所有标注“confidential”的文件都有法律专业特权。与会计师、咨询顾问或其他第三方共享文件，也可能带来不同法律后果。涉及诉讼、调查或监管要求时，应由适当律师判断。

员工不应自行承诺“政府永远不能看”，也不应收到要求就把全部文件发出。保留请求、核验权限、确认范围和期限，再按适用法律及专业义务处理。AML相关报告、特权和tipping-off边界尤其不能用一句“律师保密所以无需遵守”概括。客户沟通应准确说明可做与必须做的事项。

十七、普通咨询仍可能跨入受监管服务

经营流程、市场研究和组织管理没有自动覆盖一切的通行证。顾问若开始提供具体税务代理、法律、金融产品、信贷、工程或其他受监管服务，需重新判断资格。合同写“不构成建议”不能改变实际提供的内容。

为团队建立升级词表：税务结果、合同权利、投资推荐、贷款安排、结构设计或专业认证。出现这些需求时，先描述需要的专业帮助，由合格人士处理，顾问保留项目协调角色。跨专业合作应明确责任和客户合同，不把伙伴资格借来给自己背书。客户期待越高，越需要清楚边界。

十八、设计与技术业务关注知识产权和数据责任

素材、字体、照片、模板、代码和第三方库的使用应有合法依据，并符合许可范围。客户提供素材不代表机构可以完全不问来源，尤其明显可能侵权或不适合商用的内容。合同说明既有知识产权、项目成果、使用许可和转移条件。

技术业务还要明确账户、源代码、密钥、备份、访问权限和维护。涉及受监管系统或客户敏感数据时，核对客户行业要求及自身能力。不要把功能开发误称为已经获得法律合规认证。交付时提供实际权属与许可清单，避免客户付款后才发现核心字体或插件不能转移。IP Australia：知识产权所有权 ↗

十九、AML按指定服务判断，不按职业名称判断

自2026年7月1日起，相关新指定专业服务已纳入AML/CTF。机构应核对实际是否直接推动有关交易、公司或法律安排的设立重组、资金安排或其他列明服务，并考虑澳洲地域联系及适用例外。不是所有会计、法律和咨询工作都会自动触发。

例如一般经营建议与直接推进具体融资交易不同；日常按既定指示记账付款，与实质控制资金推进交易也不能简单等同。是否提供其他指定服务可能影响某些例外。每类服务留书面判断，范围变化重新评估。AUSTRAC：专业指定服务 ↗

二十、enrolment与额外registration不要混称

确定提供指定服务后，按适用时点完成AUSTRAC enrolment并履行持续义务。新业务开始时间、已在生效日提供服务的情况和变更都有具体规则，不能把某一过渡截止日当成所有未来开业者的统一日期。

专业机构通常涉及enrolment；额外registration主要与汇款或虚拟资产服务等特定业务有关，不应宣传为“AUSTRAC发给律师的执业牌照”。登记也不代表监管机构认可你的全部合规制度。保留提交与确认记录、主体资料和更新责任人，并核对实际服务清单。AUSTRAC：enrolment概览 ↗

二十一、AML制度要与风险和实际流程相匹配

适用机构应建立与自身风险相称的AML/CTF program，明确治理、负责人、风险评估、客户尽调、监测、报告、记录、培训和适当评估。购买模板不能证明制度已实施；员工必须知道何时暂停、向谁升级和如何留证。

可以先画客户从询问到结案的流程，在触发指定服务前放入相应控制，资料变化和异常付款时重新检查。使用官方starter kit时核对资格和适用条件，不能假设所有复杂机构都可原样照用。业务规模、客户类型或国家风险改变时更新制度。AUSTRAC：AML/CTF program ↗

二十二、客户尽调不等于拍一张身份证

适用初始CDD需要按规则了解和核验客户、相关代表及其他必要信息，并结合风险判断。公司或法律安排可能需要理解控制与受益结构，不能只拍来访人的证件就认为全部完成。具体资料和核验方法应按当前规则与风险确定。

系统中记录缺项、核验来源、疑点、决定和批准。不得为了赶成交绕过必要步骤，也不要无差别收取与义务无关的资料。使用第三方身份软件时仍要理解结果和限制，姓名匹配或绿勾并非完整专业判断。AUSTRAC：初始客户尽调 ↗

二十三、AML异常升级避免凭感觉决定

异常付款、结构复杂、授权不清或客户拒绝合理资料要求时，员工记录客观事实并交指定负责人评估。不能仅按国籍、语言或外貌判定风险，也不能因为客户很有名便忽略异常。风险评级应与实际事实及制度一致。

适用报告义务、期限、法律专业特权和tipping-off要求需分别判断。员工不能随口告诉客户“我们准备举报你”，也不能为了维护关系压下应报告事项。机构应有受限记录和合适沟通话术，并保存决定依据。不同报告并非所有专业机构都会触发，按实际服务与交易核对。AUSTRAC：持续义务与报告入口 ↗

二十四、合规记录与普通项目档案分层管理

AML、税务代理、法律信托、公司、雇佣和一般客户资料可能有不同保存期限及访问限制。制作记录清单，写明法源、起算点、保存位置、权限和销毁条件，不要统一设为“五年后全部删除”或“永久保留”。

同一文件可能同时服务多个合法目的，需要按适用要求处理；遇到投诉、诉讼、调查或保全要求，暂停通常销毁流程并取得适当意见。保存制度还应覆盖备份、外包商、旧邮箱和纸档。管理员执行删除前由负责人员批准，保留合理日志，避免一次清理把仍须保存的客户指示和合规证据一起删掉。

二十五、Privacy Act的小企业边界要按活动核查

小企业一般豁免存在例外。OAIC现行指导明确：原本适用小企业豁免的AML reporting entity及其授权代理，仍须就与AML义务相关的个人资料活动遵守Privacy Act；非AML活动除非因其他原因受覆盖，并不会因此自动全部纳入。兼有AML与其他目的的资料也不能简单排除。OAIC：AML reporting entity隐私指导 ↗

因此不能只写“营业额小于三百万就不用管隐私”，也不能说所有专业小机构全业务一律适用同一范围。另查税号、合同、保密和专业义务，建立实际资料活动清单。

二十六、收集资料前说明用途和必要性

在适用情况下提供清晰隐私政策和收集告知，解释机构身份、收集目的、常见披露、跨境安排、访问更正及投诉渠道。营销报名、接案、身份核验和专业工作可能有不同目的，不能用一份模糊同意书无限扩张使用。

资料表每个字段都应能回答“为什么需要”。不需要完整身份证副本时不要收，不需要健康资料时不要问。客户通过不安全渠道发送敏感文件后，应按制度转入受控系统并处理不必要副本。员工不可为了方便把全部档案存在个人聊天账号，老板也应遵守同一规则。

二十七、跨境外包需要核对资料、能力与授权

使用海外记账、研究、设计或开发团队时，先确认实际国家、人员、分包链、访问权限、保密、安全、记录和终止移交。外包合同不能替代客户所需告知、授权或适用隐私要求，也不能消除本机构的专业质量责任。

工作可分为准备、复核和签发，只有具备相应资格的人才能作出受监管判断。给外包者最少必要权限，项目结束撤销，定期检查是否又转包。客户要求数据只在澳洲处理时，应验证实际架构，而非凭供应商销售话术。TPB明确讨论了外包与离岸安排下的能力和监督责任。TPB：外包与离岸 ↗

二十八、人工智能使用建立允许与禁止清单

列明哪些工具可用、哪些资料可输入、哪些用途必须复核、谁批准新增工具。公开模型、企业合同工具、本地模型和供应商插件的资料处理可能不同，不能因为都叫“AI”便采用同一假设。

禁止未经批准输入完整身份资料、客户密钥、敏感案件和税务档案。对于允许用途，也要验证输出事实、计算、法律来源和权利。客户同意不自动解决所有专业或法定义务。OAIC建议在使用商业AI产品前评估隐私风险及适用责任，机构应记录评估与实际设置。OAIC：商业AI隐私指导 ↗

二十九、数据事件按实际影响和通知规则处理

发现邮件误发、账户被接管、设备遗失或资料公开时，先限制进一步泄露、保存证据、评估影响并启动专业响应。不能只修改密码后便宣布没有问题，也不能未经证据对客户保证所有资料安全。

是否属于须通知的数据泄露，取决于适用范围、事件、可能严重伤害及补救等规则；通知OAIC和受影响个人的义务应由适当人员及时评估。专业监管、合同和保险还可能有额外要求。预案列技术支持、法律、保险与负责人，演练谁作决定及如何沟通。OAIC：可通知数据泄露 ↗

三十、网络安全控制需要实际测试

多重验证、唯一账号、最少权限、设备更新、备份、日志和离职撤权应落实到每个关键系统。云平台负责部分安全，不代表客户机构不需要管理账号与资料。外部IT能帮助执行，但机构仍须知道谁有管理员权限。

每季度可用内部假设场景检查：老板手机遗失能否恢复访问；一名员工离职能否当天撤权；最近备份能否恢复一个完整项目；供应商改银行信息能否被独立核验。测试不必攻击真实客户系统或暴露资料。记录失败、修复和复测结果，比一份多年未打开的安全政策更有意义。

三十一、会计机构的Award覆盖看实际岗位

Fair Work说明，会计事务所中的会计师通常可能属于award-free专业岗位，但事务所行政、文员或记账等岗位可能受Clerks或其他适用Award覆盖。不能因为机构名叫“会计事务所”就宣布所有员工都无Award。

逐岗位核对雇主行业、实际职责、资格和适用协议；award-free也仍有适用最低工资、NES和其他雇佣要求。西澳部分非全国体系雇主另有州工业关系制度。合同薪资必须在当前规则下审查，不使用本书教学成本代替合法工资。Fair Work：会计与记账Award覆盖 ↗

三十二、法律机构与技术工作室也不能一概同薪制

Legal Services Award涵盖其范围内的法律服务支持岗位及定义中的law graduates，已具备相应资格的律师通常不在该Award覆盖内。是否已被admitted、实际职责和分类非常重要，不能只凭职位写“律师助理”或“顾问”决定。Fair Work：Legal Award ↗

技术或专业工作室还可能涉及Professional Employees Award或其他适用Award，需按行业及职责逐一判断。年薪不自动买断所有加班、津贴或记录要求。人员分类、工时和薪资复核应由懂适用体系的人进行，并保留依据。

三十三、员工与承包商分类要反映实际关系

机构不能要求本来作为员工工作的人申请ABN，只为不付休假或super。实际分类受适用法律测试与事实影响；不同机构、日期及具体法域的分析也可能不同。合同名称、发票和自带电脑都不是单独决定因素。

签约前核对控制、工作方式、委派权、风险、融入机构程度和实际安排，专业分包还需核查注册、保险和独立能力。super与州工资税等可有另行适用规则。关系发生变化时重新评估，不把最初合同永久视为结论。Fair Work：整体关系测试 ↗

三十四、工作时间与心理健康是经营者责任

忙季、法院期限和项目上线压力不能成为长期无偿加班或失控工作量的理由。设置容量、复核、休假和紧急事项机制，尊重适用的right to disconnect；拒绝非工作时间联系是否合理需要按实际情况判断，而非老板统一宣布随时在线。

心理社会风险包括长期过量工作、角色不清、客户攻击和缺乏支持。先改善任务、人员、权限和沟通，再提供支持资源。不能只发一份“注意身心健康”邮件，却继续给同一个人不可完成的期限。Safe Work Australia：工作要求风险 ↗

三十五、一般安全、办公和外出也要覆盖

办公室仍有电气、绊倒、搬运、消防、人体工学和访客风险；居家员工与外出顾问也需要合理安排。客户场所服务时确认现场要求、独自工作、交通和紧急联系，不能把安全全部归给客户。

设事件与近失报告、应急联系和定期场地检查。保险不代替安全控制，物业负责某项设施也不意味着机构可以忽视已知危险。重大或须通知事件应按所在州领地监管要求及时判断与报告。本章不把某州的表格、时限或牌照条件机械推广全国。

三十六、合同不能排除所有客户权利

服务合同可界定范围、责任、依赖资料、变更与争议，但不能用“无论什么情况概不负责”就消除不可排除的法定权利。标准格式小企业合同还需考虑不公平条款制度，责任、单方变更、自动续期和终止费用尤其值得审查。

客户签字并不自动使所有条款有效。机构也要审阅大型客户采购合同中的无限责任、广泛赔偿、知识产权和单方验收，确认保险能否支持。不同专业有额外要求，使用通用模板后应由合适律师定制。ACCC：商业合同 ↗

三十七、广告和称号由专业负责人审核

所有网站、社交媒体、报价和合作伙伴宣传应与真实资格、范围和成果一致。不能用“保证退税”“稳赢”“官方认可”或虚构评价建立信任。专业称号、认证标识和客户logo使用均需合法依据。

营销代理不能自行决定受监管服务的表述。建立版本、批准人和复核日期，规则变化时查找受影响旧内容并更新。面向不同州的广告明确适用范围；一般教育材料也应避免使读者误以为已经得到针对其事实的意见。保留来源与批准记录，有投诉时才能准确说明当时的内容和依据。

三十八、公司治理与合伙协议支持专业独立

合伙协议应明确财务权限、专业决定、接案与拒案、信息访问、保密、利益冲突、保险、失能和退出。投资者或销售合伙人不能以拥有股份为由强迫专业人员作出不适当意见。专业判断和商业预算的分工应预先写清。

涉及法律机构所有权、董事或其他专业结构条件，须按实际州与监管审查；一般公司模板不足以覆盖。股权变化时同步检查注册、保险、客户合同、监管通知和资金安排。僵局解决机制应防止客户期限无人处理，临时运营权限也需明确，不能等双方关系破裂后再讨论。

三十九、税务和工资合规由清楚的日历控制

本机构的GST、PAYG、所得税、STP、super及适用州工资税均应有负责人、核对和付款证据。客户业务很忙不是自己不申报的理由。2026年7月1日起Payday Super通常按合资格收入百分之十二、发薪后七个工作日内到基金的节奏，需要进入真实现金与异常管理。ATO：Payday Super ↗

不要仅凭软件显示“已处理”便视为全部成功，退回或未匹配款项也要跟进。欠款、漏报或错误发现后及时寻求合适专业处理，保留真实记录，不能倒签、删改或用下一期抵消掩盖。

四十、租赁和用途合规依州与场地判断

专业办公室是否适用零售租赁保护，不能只凭“不是商店”判断。维州某些向最终使用者提供专业服务的场地可能属于retail premises，其他州有各自定义、门槛和排除。签约前由熟悉当地规则的人检查披露、费用、担保、转让和make good。

此外核对规划用途、居家经营、访客、招牌、无障碍、消防、保密和装修许可。房东同意营业不等于所有主管批准都具备。涉及装修贡献和免租时，将条件与实际可营业日期协调，避免租金已经开始却仍无法合法使用。维州：零售场地判断 ↗

四十一、监管来函、投诉与保险通知要有统一入口

任何员工收到监管、法院、客户正式投诉或索赔相关材料，都应当日转指定负责人并保留收到时间。先核验来源与期限，安排合适专业支持，不让营销或前台自行回答复杂问题。

记录事实、资料保存措施、联系人、保险通知和下一期限。不要未经审查销毁可能相关文件，也不要擅自承认或否认全部责任。不同监管的自报或通知义务须按实际情况判断，保险人要求与法定义务可能同时存在。处理过程限制在需要知道的人群，避免内部群聊扩散客户或员工敏感资料。

四十二、内部合规审查关注实际样本

从近期事项抽取一个新客户、一个复杂项目、一个外包项目和一个已结束关系，检查实际证据是否与制度一致。样本安排按规模和风险决定，本例不是法定数量。查看身份授权、资格、范围、复核、费用、资金、记录和交接。

发现问题后记录严重程度、即时处置、根因、负责人和完成期限。不能只让员工重新签政策阅读表。若缺陷可能影响其他客户，应评估范围并采取适当补救；若涉及需要专业或监管处理的情况，及时升级。复查要验证实际改变，而不是看到文件更新就关单。

四十三、年度合规日历包含变化触发点

除固定续期、学习、税务和报告日期，还设置变化触发：新增服务、新州、新合伙人、关键注册人离开、保险变更、软件迁移、外包、新资金权限和出售。许多事故发生在这些变化之后，而不是年度检查当天。

每项都有可签字的放行条件，避免商业决定已经执行后才发现合规缺口。

四十四、把合规做成老板缺席也能运行的系统

最终验收不是老板能背出多少规则，而是团队能否识别不能自行处理的事项、找到正确依据、暂停不适当操作并及时升级。模拟一个陌生人索要客户档案、一笔银行资料变更、一个跨范围税务问题和一次关键人员缺席，观察实际反应。

合规文件应简明可找到，复杂专业判断交合格人员，制度更新有版本与通知。经营者定期听取员工发现的障碍，给控制所需的时间和资源。专业机构出售的是值得依赖的服务，长期利润需要建立在正确资格、可靠记录、客户信任和能够持续履行责任的组织之上。