香港 SME 內控指南：公司人手不多，如何建立適量 HR 流程、權限及交接？
公司只有幾名員工，是否仍然需要建立多項 HR 程序？
對不少香港中小企（SME）而言，內控容易被視為大型企業、銀行或高風險行業才需要處理的管理工作。公司人手不多，員工彼此熟悉，日常事項透過 WhatsApp 溝通，管理層亦可以即時作出決定，因此企業可能認為沒有必要建立較完整的制度。
然而，當公司出現以下情況，相關風險便會逐漸浮現：
• 只有一名員工熟悉 Payroll 或重要 HR 文件的處理方法；
• 員工轉職或離職後，其他人難以尋回資料及帳戶權限；
• 薪酬、付款或員工資料更新後，沒有第二名人士進行核對；
• 主管、HR、Finance 及 IT 各自負責部分工作，但沒有人負責整體交接；
• 公司雖然訂有政策，但實際執行主要依靠個人記憶及口頭指示。
這些問題未必會即時造成重大事故，但會令企業逐漸依賴個別員工。當出現人員變動、資料不一致或內部爭議時，管理層便可能需要臨時補救，並花費額外時間重組資料及確認責任。
本文將從香港 SME 僱主角度，說明內控不等於繁複的官僚程序，並拆解企業如何由 HR 流程、角色分工、系統權限、覆核、紀錄及員工交接開始，建立一套按公司規模及實際風險調整的基本安排。
甚麼是內控？不代表每件事都要增加三層批核
內控可以理解為一組協助企業管理工作流程、權限、紀錄及責任的方法。簡單而言，企業需要清楚知道：
• 誰人可以提出或執行工作；
• 誰人有權批准；
• 哪些情況需要第二名人士覆核；
• 重要資料及決定應保存在哪裡；
• 負責人缺席、轉職或離職時由誰人接手。
內控不等於每一項小事都需要召開會議，也不等於所有文件都必須經過多層簽署。對 SME 而言，較實際的做法是按照風險程度設計流程：日常低風險工作可以維持簡單安排；涉及較高風險或不可逆的事項，則應加強批准、覆核及紀錄。
例如，員工申請一般文具未必需要複雜審批；但如果涉及薪酬調整、Payroll 資料、付款、重要合約、系統權限或離職交接，企業便應清楚指定責任並保留相關紀錄。
因此，企業真正需要回答的問題不是「公司規模較小，是否不應設立程序」，而是：
為何人手不多的公司反而需要留意內控？
關鍵工作容易集中於一名員工
小型企業未必設有完整的 HR、Finance、IT 及 Compliance 團隊。一名員工可能同時負責員工資料、出勤、Payroll、入職文件及一般行政工作。由一名員工負責多項工作不一定代表安排有問題，但如果相關知識、文件、系統權限及判斷全部集中於同一人身上，公司便容易出現單點依賴。
企業可以先問：
如果答案是「只有他／她知道」，企業便應先處理文件、backup 及交接安排，而不是等到真正出現人手變動後才開始尋找資料。
人手較少時，角色更容易重疊
為了提高效率，SME 可能由同一名員工提出申請、輸入資料、執行工作及自行核對。對低風險工作而言，這種安排未必需要完全分開；但涉及薪酬、付款、員工資料或高風險權限時，企業便應考慮由另一名適當人士進行合理覆核。
內控的目的不是假設員工必然犯錯，而是避免錯誤、遺漏或不尋常的資料變更長時間無人察覺。
人員變動可能令口頭安排失效
在日常運作中，員工彼此熟悉流程，口頭交代或許可以維持運作。但當負責人轉職、離職或公司增加新主管，原本依靠記憶維持的安排便未必能夠順利交接。
適量的 HR 流程可以將重要知識記錄下來，讓新接手的人員知道工作步驟、資料位置、需要批准的事項，以及遇到例外情況時應向誰人求助。
SME 應由哪些 HR 流程開始整理？
企業不需要一次過檢視所有制度，可以先從高頻率、高風險或最依賴個別人士的工作開始。
1. Payroll 及薪酬資料流程
薪酬、佣金、津貼、扣款、出糧日期及相關資料通常涉及多個角色。企業可以先整理現行流程：
• 誰人負責收集或輸入資料？
• 誰人確認員工資料及變更內容？
• 誰人批准特別安排或例外項目？
• Finance 或外部 Payroll 供應商收到哪一個版本的資料？
• 出糧前由誰人完成最後核對？
• 相關紀錄及版本保存在哪裡？
並非每間 SME 都需要設立複雜的 Payroll 委員會，但至少應避免重要薪酬變更由同一人輸入、批准及自行確認，同時保留清晰的變更紀錄。
涉及工資、假期、休息日、疾病津貼、終止僱傭合約或其他僱傭條件時，企業應按實際個案核對《僱傭條例》（香港法例第57章）及勞工處官方資料。勞工處列明，《僱傭條例》涵蓋工資保障、休息日、有薪假期、疾病津貼、遣散費、長期服務金及終止僱傭合約等不同範疇，企業不能單靠一般流程模板取代個案檢視。
2. 入職、轉職及離職流程
人員變動不只是 HR 文件工作，亦可能影響系統、文件、設備、共用電郵及審批權限。
企業可以為以下三個階段建立簡單清單：
入職 Joiner
• 由誰人確認合約及入職文件；
• 需要開通哪些系統及檔案權限；
• 主管是否已確認工作範圍及匯報關係；
• 員工資料由誰保存及更新。
轉職或調職 Mover
• 原有權限是否仍然適用；
• 新職位需要新增哪些權限；
• 原有工作及文件由誰接手；
• 變更是否有生效日期及紀錄。
離職 Leaver
• 最後工作日及交接人由誰確認；
• 公司設備、文件及未完成工作是否已交回；
• 電郵、雲端、HR system、付款或審批權限如何處理；
• HR、IT、主管及 Finance 是否知道完成狀態。
這類流程的目的在於減少遺漏，並不代表所有權限都必須以相同方式即時處理。企業應按職位、資料類型、系統設定及實際工作安排作合適檢視。
3. 員工文件及 HR 紀錄
合約、薪酬資料、假期及出勤紀錄、培訓文件、投訴跟進及離職交接資料，應有清楚的保存位置、版本及存取責任。
企業可以先處理以下問題：
• 最新版本文件保存在哪裡？
• 誰人可以查看、修改及批准？
• 文件修改後是否有日期或版本標記？
• 負責人離職後，其他人能否取得必要資料？
• 個人資料是否只開放給有工作需要的人士？
如果紀錄涉及可識別的員工個人資料，企業應按實際收集、使用、保存及存取方式，核對《個人資料（私隱）條例》（香港法例第486章）及私隱專員公署資料。私隱專員公署指出，《個人資料（私隱）條例》適用於私營及公營機構，並以資料保障原則規管個人資料的處理。實際權限、保存期限及外判資料處理安排，應按個案及企業的資料流程作合規檢視。
4. 費用、付款及其他管理流程
即使本文主要聚焦 HR，部分人事流程亦會涉及 Finance、採購或管理層。例如招聘服務費、培訓費、員工報銷、佣金及外判 Payroll 費用，都可能涉及提出、批准、服務確認及付款。
SME 可以先分清楚：
• 誰人提出費用或付款申請；
• 誰人確認服務或資料已完成；
• 誰人批准金額及例外安排；
• 發票、紀錄及付款證明保存在哪裡。
並非每個角色都必須由不同部門負責，但如果同一人掌握所有步驟，企業便應考慮增加合理的抽查或管理層覆核。
如何設計適量而不繁複的 HR 內控？
第一步：先列出流程，而不是先購買系統
企業可以先選擇三至五個最重要的流程，將現行做法整理出來：
• 由誰人提出？
• 第一個步驟是甚麼？
• 資料交給誰人？
• 誰人批准？
• 誰人執行？
• 發生例外時由誰人決定？
• 最後紀錄保存在哪裡？
這個步驟可以協助管理層分辨問題究竟在於流程不清、角色未有分工、資料位置混亂，還是現有工具不足。
第二步：按風險決定控制程度
企業可以將工作大致分成三類：
工作類型 | 建議安排 |
|---|---|
低風險、可逆及高頻率工作 | 維持簡單安排，清楚指定負責人及基本紀錄 |
涉及員工資料、薪酬或權限的工作 | 指定批准人、保存位置及必要覆核 |
高金額、重大例外或不可逆變更 | 加強第二重覆核、批准理由及管理層可見度 |
按風險分級的方法，比所有事項一律加入相同程序更適合 SME，亦較容易在日常工作中落實。
第三步：清楚列明責任
每個重要流程至少應設有以下角色：
• 提出人：提出申請、資料或問題的人員；
• 執行人：負責完成實際工作的人員；
• 批准人：有權批准該項安排的人員；
• 紀錄保存人：負責保存文件及版本的人員；
• 覆核人：在需要時檢查資料、例外或完成狀態的人員；
• Backup：負責人缺席時可以接手或協助跟進的人員。
一名員工可以擔任多於一個角色，但涉及高風險事項時，企業應考慮是否需要由另一名適當人士覆核，避免由同一人完全控制整個流程。
第四步：由一頁紙 SOP 開始
SOP 不一定要寫成數十頁。對 SME 而言，一份實用的流程指引可以包括：
• 流程名稱及適用範圍；
• 觸發條件，例如新入職、加薪、離職或權限變更；
• 主要步驟；
• 負責人及批准人；
• 出現例外情況時應通知的人員；
• 文件及紀錄保存位置；
• 版本日期及負責更新的人員。
SOP 的價值不在於內容越長越好，而在於員工有需要時能夠找到、理解並按照指引執行。
第五步：定期測試交接
一份已完成的交接表，未必代表實際工作一定能夠順利交接。企業可以安排 backup 按照現有文件及指引，實際完成一次簡單流程，例如：
• 查找最新 Payroll 變更資料；
• 了解新員工入職步驟；
• 按清單處理離職文件及權限通知；
• 找到相關政策、紀錄及審批證明。
如果 backup 無法完成流程，企業便可以知道 SOP、權限或文件保存位置仍然存在缺口，並及早修正。
內控、HR outsourcing 及 HR system 有甚麼關係？
HR consultancy：先整理責任及流程
如果企業未能清楚判斷問題所在，HR consultancy 可以協助整理：
• HR 流程及責任分工；
• 員工入職、轉職及離職清單；
• Payroll、出勤及文件覆核流程；
• HR policy、主管指引及 SOP；
• 權限、交接及紀錄保存安排。
重點是先定義工作應如何進行，再決定由誰人負責、哪些部分可以外判或系統化。
HR outsourcing：處理持續性的 HR workflow
如果企業沒有足夠的內部 HR 資源，可以考慮將部分日常 HR 行政或指定項目交由外部團隊支援，例如文件整理、Payroll 行政、入離職流程、政策更新或 HR records 管理。
但 HR outsourcing 不代表企業可以完全放下管理責任。合約及服務範圍應清楚列明：
• 外判團隊負責哪些工作；
• 企業保留哪些決定權；
• 誰人提供及核對資料；
• 例外情況由誰人批准；
• 文件、個人資料及工作紀錄如何交接及保存。
HR system implementation：將已整理的流程系統化
HR system 可以協助企業集中資料、設定審批、管理權限、追蹤流程及減少重複輸入。然而，系統不會自動修正一套尚未釐清的流程。
導入 HR system 前，企業可以先確認：
• 哪些流程最需要改善；
• 哪些資料需要集中管理；
• 哪些人士需要查看、輸入、修改或批准資料；
• 哪些例外需要人工跟進；
• 系統導入後由誰人維護及定期檢視權限。
香港 SME 內控自查清單
企業可以先利用以下問題作初步檢視：
• [ ] 如果主要負責人請假，是否已有 backup？
• [ ] 公司是否清楚每個重要 HR 流程由誰執行、誰批准及誰覆核？
• [ ] 薪酬或 Payroll 資料更改後，是否有適當核對？
• [ ] 入職、轉職及離職時，是否同步處理文件、工作及系統權限？
• [ ] 重要 HR 文件是否有統一保存位置及版本？
• [ ] 員工個人資料是否只由有工作需要的人士存取？
• [ ] 重要流程是否過度依賴某一名員工的記憶？
• [ ] 公司是否設有簡單而實際可用的 SOP？
• [ ] Backup 是否曾經按照流程實際接手測試？
• [ ] 公司是否已分辨哪些工作應由內部保留、外判或系統化？
如果有多項答案是「未有」或「不確定」，不代表公司必然存在違規或重大問題；但企業值得先選擇一至兩個最重要、最常出現或最依賴個別人士的流程，逐步整理。
結語：內控不是令 SME 變得複雜，而是令重要工作不再只靠記憶
公司人手不多，不代表必須建立與大型企業同樣複雜的制度。對 SME 而言，較實際的內控可以由以下基本問題開始：
• 誰人可以執行？
• 誰人需要批准？
• 哪些事項需要第二名人士覆核？
• 重要資料保存在哪裡？
• 負責人缺席時由誰人接手？
適量的 HR 流程、權限管理及工作交接，不是為了懷疑員工，而是避免公司的重要知識及責任全部集中於一人身上。企業先將流程及責任整理清楚，之後才更容易判斷哪些工作適合由內部保留、外判或交由 HR system 支援。
Get More 如何協助香港 SME？
Get More 可以按企業規模、現有團隊及實際 HR workflow，協助僱主：
• 檢視 HR 流程、責任分工及權限安排；
• 整理入職、轉職、離職及工作交接清單；
• 草擬或優化 HR policy、主管指引及簡單 SOP；
• 檢視 Payroll、員工文件及紀錄保存流程；
• 分析哪些 HR 行政適合由外部團隊持續支援；以及
• 按實際流程需要評估及導入 HR system。
如果你希望了解公司目前哪些 HR 流程最依賴個別人士，或不確定應先建立 SOP、外判工作還是導入系統，歡迎聯絡 Get More：
• 📞 電話：(852) 2333 1090
• 📧 電郵：HR@getmore.com.hk
• 💬 WhatsApp：9699 0665
延伸閱讀：
參考資料及官方來源
免責聲明
本文內容僅供參考，旨在提供一般性的 HR 管理建議，並不構成任何形式的專業法律、僱傭、薪酬、資料管理或其他意見。香港的法律法規、政府指引及僱傭實務可能隨時變動，且每個企業及個案均有其獨特情況。讀者在作出任何商業、僱傭、資料管理或 HR 系統導入決定前，應按個別情況諮詢合資格的人力資源顧問、法律專業人士或相關政府部門。Get More Resources Limited 對於因使用本文資訊而產生的任何損失或影響概不負責。
