快速答案：外汇经纪商可以外包云服务、交易平台、KYC筛查、客服、会计或部分合规支持，但不能外包监管责任。持牌主体仍要判断服务是否关键或重要，完成供应商尽调，签订可审计的书面合同，持续监控绩效与集中度，并准备数据迁移、替代供应商和内部接管的退出方案。
信息最后核验日期：2026年9月18日。本文提供一般跨司法辖区框架，不构成法律或监管意见。具体通知、合同、数据、审计和本地化要求以持牌公司的适用规则及监管指示为准。
什么属于外包，什么只是普通采购？
判断重点不是合同名称，而是第三方是否代替公司执行本应由公司完成的流程、服务或活动。购买办公用品通常不是外包；让供应商持续运行客户开户、交易、账簿或合规流程则可能是外包。即使不构成法律意义的外包，重大第三方依赖仍可能受治理、风险管理和运营韧性要求约束。
| 安排 | 可能分类 | 主要风险 |
|---|---|---|
| 云端CRM或交易服务器 | IT/云外包或重大第三方 | 可用性、数据、集中度、退出 |
| 第三方KYC与制裁筛查 | 合规流程外包 | 误报漏报、规则更新、证据保存 |
| 白标交易平台与后台 | 关键业务外包 | 定价、订单、客户记录和业务连续性 |
| 外部律师或法定审计 | 通常为专业服务 | 保密、能力和利益冲突 |
怎样判断服务是否关键或重要？
如果服务故障会实质影响牌照条件、监管义务、财务表现或核心服务连续性，通常需要更高等级控制。英国 FCA SYSC 8 的定义体现了这一逻辑，但其他司法辖区可能使用“material”“critical”“important”或不同门槛。
- 停止服务多久会造成客户无法交易、提款或联系公司？
- 失败是否会导致AML、客户资金、最佳执行或报表违规？
- 数据和流程能否在合理时间内转移或内部接管？
- 市场上是否只有少数供应商，是否存在集团或地域集中？
- 供应商或其分包商是否处理敏感客户和交易数据？
签约前尽调要检查什么？
| 领域 | 检查内容 | 应保留证据 |
|---|---|---|
| 能力与许可 | 经验、人员、适用授权、服务能力 | 公司资料、许可核验、客户案例 |
| 财务稳健 | 持续经营、保险、资本和融资 | 财务报表、信用与保险证明 |
| 安全与隐私 | 访问控制、加密、备份、事件响应 | 审计报告、测试、数据流程图 |
| 运营韧性 | 容量、恢复时间、业务连续性和演练 | BCP/DR结果、服务可用性记录 |
| 分包与地点 | 关键分包商、数据位置、跨境限制 | 供应链清单、数据中心和通知机制 |
| 退出可行性 | 迁移时间、格式、费用、协助与删除 | 退出计划、样本导出和替代方案 |
尽调应与服务风险相称，并在续约、所有权变化、重大事故或服务范围扩大时重新执行。
外包合同必须解决哪些监管问题？
- 明确服务范围、服务水平、数据质量、时间和责任边界；
- 公司、审计师和监管机构的访问、信息和审计权；
- 保密、数据保护、保存期限、数据位置和安全事件通知；
- 分包条件、事前通知、异议权及供应链责任；
- 业务连续性、灾难恢复、测试和重大变更管理；
- 违约补救、暂停、终止、迁移协助和安全删除；
- 供应商配合投诉、调查、监管报表和客户补救的义务。
“供应商有行业认证”不能代替公司自己的监督，也不能限制监管机构依法获取数据。
怎样持续监控供应商？
| 指标 | 示例 | 触发动作 |
|---|---|---|
| 服务 | 可用性、延迟、错误率、工单积压 | 纠正计划或限制新业务 |
| 合规 | KYC命中、投诉、报表差错、审计发现 | 加密抽检、独立复核、监管评估 |
| 安全 | 漏洞、未授权访问、备份与恢复测试 | 事件响应、客户/监管通知判断 |
| 财务 | 信用恶化、裁员、所有权或战略变化 | 提高监控、启用替代供应商 |
| 集中度 | 同一云、集团、地区或分包商依赖 | 分散、双供应商或内部能力 |
董事会应定期看到关键供应商清单、风险评级、事故、审计发现、逾期整改和退出准备度，而不是只看SLA百分比。
监管通知和登记册怎么管理？
公司应维护完整的外包与重大第三方登记册，包括服务、实体、地点、数据、分包、关键性、负责人、合同期、审计和退出状态。重大安排或变化是否需要事前或事后通知，取决于当地制度。
例如，英国 FCA 在2026年公布了适用于特定范围公司的第三方报告新规则，自2027年3月18日起生效；现有 Principle 11、SYSC 8 等通知义务仍需遵守。该日期不是其他司法辖区的统一期限。
退出计划为什么是合同核心？
退出不是等供应商失败后再寻找替代。应预先确定触发指标、决策人、迁移步骤、数据格式、并行运行、客户沟通、监管通知和成功标准。计划应与经纪商有序退出计划及监管报告日历衔接。
- 测试完整客户、交易、KYC和会计数据能否导出；
- 估算迁移时间、双轨成本和关键人员需求；
- 验证许可证、域名、密钥和管理员账户由谁控制；
- 确认供应商倒闭或不合作时仍可访问必要数据；
- 定期桌面演练并记录缺口和整改。
常见错误
- 认为集团内公司不需要正式合同和监督；
- 只审核直接供应商，不了解关键分包链；
- 合同没有监管访问、数据导出或迁移协助；
- 公司内部没有足够专业能力监督外包活动；
- 同一供应商同时承载交易、CRM、KYC和数据备份而无替代；
- 服务改变后没有重新评估关键性和通知义务。
常见问题
外包KYC后，经纪商还要为错误负责吗？
通常要。供应商可以执行筛查，但持牌公司仍需设定规则、监督结果、处理例外并承担监管责任。
集团内共享服务算外包吗？
可能算，而且不应自动视为低风险；应评估集团同时受压、跨境数据和实际控制能力。
使用云服务需要监管批准吗？
取决于司法辖区、公司类型和服务关键性，可能要求通知、无异议或特定合同条款，应在签约前确认。
供应商提供SOC或ISO报告就足够了吗？
不够。这些报告是证据之一，还需评估范围、例外、公司配置、分包商和退出能力。
外包登记册应包括非关键供应商吗？
建议完整登记并标记风险等级，这有助于证明公司如何判断关键性和集中度。
可以把合规官职能完全外包吗？
某些支持工作可能外包，但治理、判断、资源和最终责任通常必须保留在持牌主体。
合同终止时最容易遗漏什么？
数据格式、迁移协助、未结工单、日志保存、管理员权限、分包商数据和安全删除证明。
什么时候应启动替代供应商？
在持续不达标、财务恶化、重大事故、无法整改或退出触发指标达到时，应按预案升级并启动迁移。
下一步
ForexLicence 可协助建立供应商登记册、关键性评估、尽调清单、合同控制矩阵、监控指标和退出方案。请通过联系页面说明司法辖区、交易模式、拟外包服务和数据位置。
咨询您的牌照与企业服务需求
请填写您的联系方式和需求，我们的团队会尽快与您联系。