合规专员 / 合规经理

把一部新法规、一份征求意见反馈和三份指引读完,并抽出「对这家公司实际改变了什么」。

交易监控、制裁名单筛查、被标记的那笔付款 —— 判断几百条里哪一条值得查。

拦下一笔生意、一个客户或一次产品发布,并在业务负责人把事情捅上去之后守住这个立场。

留下那份记录,证明某项控制运行过、某个决定被复核过、某条政策被执行过 —— 为了一个日后会到来的监管。

这个职业变大,是因为监管文本变多;而告警队列是人们进来的方式。那一级正在被自动化,而资深合规赖以判断的模式识别就是在那里练出来的。尽早瞄准一个具体的监管制度 —— 一个你懂得很深的 —— 因为「把所有法规读一遍」变便宜之后,活下来的是「在一部法规上的深度」。

决定你位置的有两件事,而两件都不是工具:你向谁汇报,以及你的拒绝在被推翻时有没有被记录下来。如果第二件没有发生,那这项任务就只存在于纸上 —— 而促成这件事的不是任何技术。

保住并强化

在一个制度里扎深

读得便宜会让广度变免费、深度变稀缺:价值在于知道一条条文实际落在这家公司哪一个流程上 —— 而那需要懂流程。

相邻转岗

去负责对自动化决定的监督

若干市场的监管现在要求有一个具名、具备能力与权限的人去监督高风险自动化系统 —— 而多数机构还没有把它指派给任何人。

暴露的部分是告警队列,而它和安全分析师的队列、保安的监控墙是同一项任务 —— 真阳性率极低、人的警戒会崩塌、关联可被机器判定。读法规是被增强而不是被替代,因为难的那一半是知道一条条文落在这家公司哪个流程上。对业务说不,靠的是组织结构撑着 —— 这既是没有机构把它交出去的原因,也是它可以在没有任何技术参与的情况下被拿掉的原因。

不给日期。要紧的两个信号都是组织层面的:你这个职能向谁汇报,以及一次被推翻的拒绝有没有被如实记录下来。如果合规向它所监督的业务线汇报,那么纸面上看起来最耐久的那项任务,恰恰是实际中最不真实的一项 —— 而这种安排靠一次重组就能改,比任何技术都快,而且是在一场会上宣布的。

就收集本身而言显然是 —— 那是「结果可核对的结构化记录」,没有人认为该由人来做。它制造的风险很具体、值得说出来:一份「完整地记录了一项其实并不有效的控制」的档案,比一份不完整的更糟,因为它更难被质疑。审计已经开始问「这份记录是怎么产生的」,而那正是这套工具没有被设计来回答的问题。

它在创造职责,而那和「创造岗位」在有人被付钱去扛它之前不是一回事。若干市场现在要求有一个具名、具备能力与权限的人去监督高风险自动化系统 —— 那是一项附着于具体的人的真实义务。本站反复看到的情形是:这类职责到来时没有被指派给任何人,最后落到那个「同时懂系统又懂业务后果」的人身上。它会变成一个编制,还是变成某个岗位上没有报酬的附加项,是在本地决定的。