小团队的资金管理政策：谁可以动用资金
公司刚开始持有加密资产时，这些资产通常放在某一个人的钱包里。钱包是创始人设置的，恢复短语由创始人保管，付款也由创始人发出。这样确实可行——直到这个人出差、生病、离职、遭遇网络钓鱼，或者只是犯了一个没人能发现的错误。
资金管理政策就是解决办法。它不需要很长，也不需要很正式。它只需要把几个问题回答得足够清楚，让每个人在资金动用之前（而不是之后）就知道规则。
问题 1：谁可以花钱？
首先，把三个经常混在一起的角色区分开：
- 提议人：可以准备一笔付款的人。
- 审批人：发出付款必须获得其签名的人。
- 查看人：需要查看余额和历史记录、但绝不应触碰资金的人，例如会计。
核心控制原则是：任何人都不能单独动用资金。在加密领域，这一点通过多重签名来强制执行：资金地址需要 N 位签名人中的 M 位批准。对于三到五人的团队，2-of-3 或 3-of-5 是常见的起点。更高的门槛会同等程度地增加安全性和操作摩擦。
问题 2：人员离开时，密钥怎么办？
每位签名人都是一个可能离职、丢失设备或不再回应的人。要提前做好规划：
- 门槛低于总人数。 采用 2-of-3 时，失去一位签名人不会冻结资金。
- 任意两位签名人都不共享同一个单点故障：不放在同一个办公室保险箱里，不用同一台笔记本电脑，最好也不住在同一个家庭中。
- 离职交接步骤。 有人离开时，将其从签名人中移除；如有必要，把资金转移到不含其密钥的金库。不要等到出了问题才行动。
- 有书面记录的恢复流程，不依赖某一个人记得一切如何运作。
问题 3：哪些操作需要格外谨慎？
有些决定比普通付款更危险：更换签名人、转让所有权、移除成员、删除组织。这些操作所需要的，不应只是某个已登录账户的一次点击。请写明哪些操作属于“关键操作”，以及它们需要怎样的确认。
问题 4：如何核查付款？
只有当审批人真正核查了内容，审批环节才有价值。一份简短的检查清单就够用：
- 是否对应某项请求：一张发票、一次发薪、一笔已约定的转账？
- 地址是否已验证：事先保存并确认过，而不是从电子邮件里粘贴过来的？
- 金额是否正确，包括资产种类和网络？
- 对于合约交互，模拟结果是否与意图一致？
最常见的资金损失并不是密钥被黑，而是一张以假乱真、地址被篡改的发票。制定一条规则，要求新的收款地址必须通过第二个渠道（一通电话、一个已有的联系人）确认，就能拦下大部分此类损失。
问题 5：留下什么记录？
每一笔付款都应留下痕迹：谁提议、谁批准、何时批准、为何付款。正是这些记录让政策可以审计，也让团队在出问题时能够还原事件经过。
起步模板
对于小团队，下面这样的模板就足以起步：
- 资金存放在门槛为 2-of-3（或 3-of-5）的多重签名金库中。
- 签名人是具名的个人；不共用账户，不共用设备。
- 财务团队中的任何人都可以提议；只有签名人可以批准。
- 新的收款地址在首次使用前通过独立渠道进行验证。
- 签名人变更和所有权转让属于关键操作，需要再次确认。
- 每笔付款的提议、审批和用途都要存档。
- 离职交接包括在该员工最后一个工作日将其从签名人中移除。
- 每六个月或在发生任何事故后审查一次政策。
SSP Enterprise 如何对应这些问题
SSP Enterprise 正是围绕这些问题打造的：
- 角色。 组织中有所有者、管理员、成员和查看者，因此提议、审批和查看相互分离。角色与权限一文介绍了每个角色能做什么。
- M-of-N 金库。 每个金库都有自己的门槛和签名人组合，一个组织可以运行多个金库，例如一个运营账户和一个门槛更高的储备金库。在默认模式下，每位签名人都要同时使用 SSP Wallet 和 SSP Key 进行批准，因此即使是一位签名人的批准，本身也是一个 2-of-2。由于金库地址是由其签名人的密钥生成的，更换签名人意味着要把资金转移到新金库，这一点值得纳入离职交接计划。
- 关键操作。 转让所有权、移除成员、删除组织以及更改企业邮箱，都需要使用身份密钥重新签名，而不仅仅是一个已登录的会话。
- 签名前的核查。 提议会显示收款人和金额；对于合约交互，在签名人批准之前会进行模拟并给出风险提示。
- 每笔付款都有记录。 提议会保存谁发起、谁已签名、谁尚未签名，并且可以导出数据用于会计核算。
如果您从零开始，设置您的第一个企业金库会一步步带您完成。
坦诚的总结
资金管理政策要回答五个问题：谁可以花钱、人员离开时怎么办、哪些操作是关键操作、如何核查付款，以及保留什么记录。在需要之前就把答案写下来。
多重签名强制执行最重要的规则：任何人都不能单独动用资金。其余的都是习惯：经过验证的地址、批准前的真实核查，以及按时完成的离职交接。
