结论：公司老板用个人卡代发工资并备注“往来款”的行为存在较大法律风险，不合法合规，具体分析如下：

1. 税务合规风险
   根据《个人所得税法》及实施条例，工资薪金属于个人所得税的应税项目，公司作为扣缴义务人需按月代扣代缴个税。若通过老板个人账户发放工资且备注“往来款”，可能被税务机关认定为未履行代扣代缴义务，导致公司面临补缴税款、滞纳金及罚款的风险。此外，若备注“往来款”试图掩盖工资性质，还可能涉及“少列收入”的偷税行为，情节严重可能构成逃税罪（《刑法》第二百零一条）。

2. 财务与审计风险
   公司财务制度要求工资发放需通过公户转账，并附完整工资表作为凭证。若通过个人账户发放且备注模糊，会导致公司账目混乱，无法真实反映经营成本，影响财务报表的合法性。在税务稽查或审计时，此类操作可能被认定为“账外账”或“小金库”，公司及相关责任人可能面临行政处罚（《会计法》第四十二条）。

3. 劳动法律风险
   根据《劳动法》及《劳动合同法》，用人单位需以货币形式按月支付工资，并保留书面记录。若通过个人账户发放且未明确标注工资性质，员工可能以“未支付工资”为由主张权益，公司需承担举证责任。若无法证明实际发放金额及性质，可能面临支付双倍工资差额、经济补偿金等法律后果。

4. 刑事法律风险
   若老板个人账户频繁与公司发生资金往来，且无法合理解释资金用途，可能被认定为“挪用资金罪”（《刑法》第二百七十二条）或“职务侵占罪”（《刑法》第二百七十一条），尤其是当资金用于个人消费或非公司经营用途时。

建议操作：

• 公司应立即停止通过个人账户发放工资的行为，改用公户转账并备注“工资”；
  
• 补全工资发放记录，包括工资表、银行流水、个税申报记录等，确保证据链完整；
  
• 若已存在此类操作，建议主动向税务机关说明情况并补缴税款，降低行政处罚风险；
  
• 完善公司财务制度，明确资金使用规范，避免个人账户与公司资金混同。
  

如有进一步疑问或需具体操作指导，可直接向我咨询。