（来源：现代商业银行杂志）

文_中国工商银行（欧洲）有限公司马德里分行  姜鳞  巴剑松 崔丕洋 马晓毅 徐慧

近年来，中国对外投资流量稳居世界前列，预计到2026年底，中国海外企业雇员总数将接近500万人。外派人员普遍存在薪酬汇回的需求，但传统模式面临现实堵点。本文基于欧洲监管框架，分析其运行逻辑与合规边界，为构建高效稳健的跨境发薪体系提供参考。

关键词：跨境发薪；欧洲监管框架；数据保护；合规管理

　　随着中资企业“走出去”进入2.0阶段，企业全球化布局正由以产能输出为主，逐步转向对全球产业链整合和价值链高端环节的深度参与。在此过程中，商业银行的金融服务模式也在持续演进，由单一产品供给转向覆盖更广业务生态、服务企业经营全链条的综合化服务体系。

　　近年来，中国对外投资流量稳居世界前列，预计到2026年底，中国海外企业雇员总数将接近500万人。尽管企业本地化用工比例不断提升，外派人员比例仍将维持在20%以上。同时，出海人员结构正在发生显著变化，由基础设施建设基层劳务人员转变为以新能源、先进制造等领域的核心技术人才及中高层管理人员为主。

　　外派人员普遍存在薪酬汇回的需求，但传统模式面临现实堵点。一方面，受限于个人年度5万美元结售汇额度限制，高职级人才需求难以得到有效满足；另一方面，经常项目下逐笔审核、材料烦琐的传统流程，难以匹配企业全球化运营的敏捷需求。

　　基于上述背景，商业银行亟须依托境内外联动机制，推动由散户分散汇款向集中化与自动化发薪转型。境外机构客户通过境外账户发起薪酬支付指令，境内银行基于预先收集审查创建的员工白名单信息，由系统自动完成资金解付入账和合规申报，实现由“逐笔人工处理”向“批量自动处理”转变，且不占用年度便利化额度。因此，该业务场景已经从单一资金结算，延伸到外汇管理、数据保护、反洗钱及税务劳务合规等多维合规场景。本文基于欧洲监管框架，分析其运行逻辑与合规边界，为构建高效稳健的跨境发薪体系提供参考。

跨境薪酬支付的合规挑战：数据保护

　　跨境薪酬支付涉及大量个人敏感信息（如身份信息、劳动合同、薪酬数据等）的处理和跨境传输，使数据合规问题成为该业务场景中的核心约束。在中国《中华人民共和国数据安全法》与欧盟《通用数据保护条例》（GDPR）并行适用的背景下，银行需要在业务效率与数据保护之间实现动态平衡。

　　作为全球最严格的数据保护法之一，GDPR的“长臂管辖”机制对跨境薪酬业务具有直接约束力。凡涉及到欧盟境内自然人个人数据的处理行为，无论数据处理主体设立地为何，均可能落入其监管范围。在此基础上，银行首先需要明确其在数据处理链条中的法律身份，即区分“数据控制者”（Controller）与“数据处理者”（Processor），该界定不仅决定其合规义务范围，也直接影响其潜在法律责任的承担程度。

　　1.员工为银行直接客户：控制者路径

　　在外派员工为境外机构的直接零售客户时，银行与员工之间存在直接的合同关系。在此情形下，银行通常被认定为数据控制者，对数据处理的目的与方式具有自主决定权。其合规路径可从“法律授权”与“技术防护”两个层面展开。

　　一是法律授权层面：由个人客户发起的跨境薪酬回流业务，在业务实质上仍可被理解为跨境汇款交易，其资金流动逻辑未发生根本改变。其合规差异不在于资金处理本身，而在于和该笔交易相关的个人信息在境内外机构之间的传递与使用方式。

　　具体而言，在员工为银行直接客户的情形下，银行可基于履行金融服务合同的需要，依法收集并向境内分支机构共享其个人信息，并通过协议确认方式，明确告知客户数据出境的目的、接收方（境内分行）及相关风险。在获取客户“显性同意”后，即可合法地将上述个人及薪酬信息跨境分享给境内分行，用于业务核验与入账，从而在法律程序上实现完整的合规闭环。

　　二是技术防护层面（安全防护要求）：在取得合法授权的前提下，境外机构还必须严格遵循GDPR第32条关于“处理安全性”的要求，确保敏感数据在跨境传输过程中的安全性。在实践中，可通过建立多层次技术与组织控制机制实现。具体而言，对于薪酬清单、劳务合同等个人信息，实施端到端加密，确保数据在跨境流转过程中处于不可识别状态。同时，采用“数据与密钥分离”的双通道传输机制，即数据与解密信息分别通过不同渠道传递，以降低单一通信路径受损带来的泄露风险。此外，应强化访问权限管理，限定仅特定岗位人员可解密并处理相关数据，防止无关人员接触原始信息，从技术与组织层面降低数据泄露及二次扩散风险。

　　2.员工非银行直接客户：处理者路径

　　中资银行境外机构以对公业务为主，缺乏直接的零售业务牌照或个人客户基础，因此跨境薪酬回流的主要参与者多为中资企业，而非银行的直接零售客户。在这种“企业发薪、银行代发”的对公场景中，境外机构在GDPR框架下身份转变为数据处理者，合规逻辑发生了根本性改变，并面临两方面的核心限制。

　　一是处理边界与合规风险控制。在数据收集方面，境外机构在业务处理过程中，数据收集应严格限定于完成支付指令所必需的最小范围，无权自行决定扩大数据收集范围，亦不得为满足内部核验需要而额外获取或留存员工个人敏感信息，以避免在事实上“越位”为数据控制者。

　　二是身份约束与授权限制。在数据分享方面，作为数据处理者，即便员工个人表示同意，因其与银行之间缺乏直接法律关系，该“同意”在法律上难以被认定为对银行的数据授权。因此，银行不被允许直接收集传递员工敏感信息，其数据处理行为必须依附于企业作为数据控制者所作出的合法决策。

　　在此背景下，数据合规问题进一步向身份合规问题延伸。由于境外机构难以通过数据共享完成充分的背景核验，需依赖反洗钱审查、交易监测及业务合理性分析等机制，对资金性质进行间接验证，从而在数据受限条件下实现风险控制。

跨境薪酬支付的合规挑战：反洗钱合规

　　与传统跨境汇款不同，跨境薪酬支付呈现出批量化、高频次和金额相对规律的特征，该模式在逻辑上符合薪酬支付的典型特征，但在监管视角下，也可能被识别为潜在的资金通道，从而引发反洗钱合规关注。

　　从合规逻辑看，反洗钱要求和数据保护规则之间，存在一定程度的内在冲突。一方面，反洗钱监管强调“穿透式识别”，要求银行充分了解客户身份、交易背景和资金来源及去向，必要时获取并留存能够证明交易真实性的底层资料；另一方面，以GDPR为代表的数据保护规则，则强调“数据最小化”原则，仅允许为特定、明确目的收集“必要且最少”的个人信息，并对跨境传输施加严格限制。

　　在跨境薪酬发放中，这一矛盾尤为突出。为履行反洗钱义务，银行需要了解员工的任职关系、薪酬结构及所在企业的组织安排，以判断资金是否属于真实劳动报酬。但从数据保护角度看，这些信息多属于个人敏感信息，其收集、处理及跨境传输均需要具备明确法律基础，且不得超过必要范围。尤其在对公代发模式下，银行仅被界定为数据处理者，进一步限制了主动获取和使用员工数据的空间。

　　在实务操作中，银行通常仅收集完成支付报文和合规审查所必需的信息，在未触发异常交易或风险预警的情况下，一般不主动延伸获取员工的底层身份信息和用工资料。

　　然而，从监管逻辑看，这种“冲突”并非不可调和，其关键在于在“必要性与比例性”原则下实现平衡。具体而言，可从以下三个层面构建协调机制。

　　1.数据获取路径的主体分工

　　在数据保护规则下，境外银行难以直接获取员工个人信息，而境内银行与发薪企业直接对接，在资金入账环节承担了重要的审查补位功能。通过境内银行对收款人身份、交易用途和资金性质进行核验，在不扩大跨境数据传输范围的前提下，实现关键合规要素的验证，从而弥补数据不对称带来的审查缺口。

　　2.审查方式的“分层与触发机制”

　　对于未触发异常检测的常规交易，可基于总量控制及企业背书实现简化处理；而对于命中制裁筛查、交易监测预警或结构异常的情形，则触发增强型尽职调查，通过追加材料和人工复核等方式实现穿透核验。这种“常态简化+异常穿透”的机制，有助于在效率与合规之间实现动态平衡。

　　3．法律基础层面的“必要性限定”

　　反洗钱义务为银行处理相关数据提供了法定依据，但其适用范围应严格限定于“履行法定义务所必需”的信息范围内。换言之，银行并非可以无限制获取客户信息，而应围绕反洗钱审查的实际需要，确定合理的数据范围。实践中，可通过建立数据要素清单、明确数据用途范围，配套分级留存和定期清理机制，将必要性原则落实到数据采集、使用和留存的各个环节，从而在满足反洗钱监管要求的同时，控制数据保护风险。

跨境薪酬支付的合规挑战：税务与劳务合规

　　在数据保护和反洗钱之外，跨境薪酬支付的合规问题进一步延伸到税务与劳务领域。与前述监管主要关注资金流动和数据处理不同，税务与劳务合规更侧重于支付是否具备合理的经济实质与法律基础。对于境外分行而言，其核心难点在于，银行并非相关义务主体，但仍需在业务处理中对异常结构进行识别与应对。

　　从业务定位看，银行在该类业务中通常被视为支付中介（payment intermediary），原则上不承担税务判断及劳动法合规审核责任，可依赖企业提供的信息和声明开展业务。在此框架下，银行的合规职责应聚焦于“合理识别+必要验证”，而非“全面检查”。

　1.税务合规：从“支付完成”到“结构合理性识别”

　　根据一般税务规则，跨境薪酬的税务义务主要取决于员工税收居民身份、实际工作地点和收入承担主体，而非资金的支付路径。薪酬发放至境内或境外账户，本身不会改变其纳税义务归属，相应的代扣代缴责任仍由雇主承担，而非银行。在此背景下，银行无需对具体税务处理结果作出判断，但应关注支付结构是否具备基本合理性，以防业务被用于规避税务或进行不正当资金安排。

　　境外机构基于作为“支付中介”的定位，其在税务合规方面的合理做法主要包括以下三个方面。

　　一是不替代税务判断，不对员工税务居民身份或纳税义务做出判断，也不承担代扣代缴责任。

　　二是对于存在疑点的交易，应优先要求企业提供说明或确认文件。

　　三是关注结构合理性，重点判断薪酬支付是否符合正常薪酬的基本特征，在实务中，某些情形可能反映潜在税务风险，比如薪酬结构中补贴和奖金占比异常，明显替代固定工资；多主体分别发薪，但缺乏清晰的成本承担机制；发薪金额与企业规模及人员结构明显不匹配等。

　　2.劳务合规：薪酬支付的基础性审查

　　与税务问题类似，劳务合规决定薪酬支付是否具备合法性基础。跨境薪酬能够作为经常项下资金处理，其前提在于对应真实存在的劳务关系。若该基础缺失，则相应支付可能被重新定性，从而引发多重合规风险。根据一般实践，银行作为支付中介，并不承担对劳动合同合法性或用工合规性的审查责任，但可基于业务合理性进行必要判断。

　　具体而言，境外机构在劳务合规方面的职责可界定为：不对劳动合同是否符合当地法律做出判断，不涉及签证或用工许可等事项进行核验；但应关注用工关系的基本存在性，并结合企业行业背景及经营情况，对相关支付是否对应实际人员和实际用工安排进行基本合理性判断。

　　总体来看，在税务与劳务合规领域，银行的角色呈现出由“责任主体”向“风险识别者”的转变。其合规重点不在于替代企业履行相关法律义务，而在于通过识别异常结构与合理性偏离，防范跨境薪酬支付被用于规避监管或进行不当资金安排。

结语

　　跨境薪酬支付已经从单一资金结算转变为涵盖数据保护、反洗钱及税务劳务等多维合规要求的复杂业务场景。未来，该领域将更加依托数字化与智能化手段，强化境内外协同机制，通过优化数据治理架构、完善分层审查体系，在数据最小化与穿透式审查之间实现动态平衡，推动合规要求从“被动约束”向“内生驱动”转变。

　　从更宏观的视角看，跨境薪酬服务不仅是金融支持企业“走出去”的基础环节，更是联结人才流动、产业布局与价值链升级的重要枢纽，体现了商业银行在服务新质生产力和高水平对外开放中的关键作用。未来，惟有在坚持合规底线的前提下，实现效率与创新的协同突破，构建“安全、合规、敏捷、可持续”的跨境金融服务体系，方能在复杂多变的国际监管环境中，持续赋能中资企业全球化发展，提升中国工商银行金融服务国际竞争力。

参考文献：

[1] Financial Action Task Force. International Standards on Combating Money Laundering and the Financing of Terrorism & Proliferation (The FATF Recommendations)〔Z〕. Paris: FATF, 2023.

[2] Kuner C. Transborder Data Flows and Data Privacy Law〔M〕. Oxford: Oxford University Press, 2013.