燕梳合规

2022-03-08

燕梳合规

合规|风险|治理|管理|高管

来源：公众号“论根本策”

基于风险为本原则

开展客户尽职调查工作的几点想法

《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》(中国人民银行中国银行保险监督管理委员会中国证券监督管理委员会令[2022]第1号，以下简称《办法》)发布后，在业内引起了诸多热议，关于条款的对比与专业解读很多，本着学习的态度，希望也简单地谈一下笔者对于《办法》的粗浅认知，或许不够专业与精准，权当作抛砖引玉，也期待后续更多官方以及民间的深度解析。

在展开后面的文字之前，首先说一下关注到的细节，与中国人民银行等4部委令2007年第2号所公布的《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》相比，新《办法》对于“风险”二字，总共提了59次，而在2007年的2号令中，“风险”的字样只出现了11次。

换言之，在笔者的视角中，风险为本将贯彻到整个客户尽职调查工作与程序中，而恰好手头有着一份世界银行发布于2019年10月的技术指南，名为《基于风险为本的原则开展客户尽职调查的技术文件(TECHNICAL NOTE-RISK-BASED CUSTOMER DUE DILIGENCE)》，当中汇聚了全球超过60个国家的监管部门以及金融机构实践，并对于一些基础概念做了澄清和强调。

所以，为了做好后面的分享，我会希望将自己的学习感受结合世界银行的指导文件，进行了一些阐述和记载，以期与业内共享。

一、《办法》主要都说了什么？

根据新闻稿，《办法》主要修订的内容包括，调整《办法》名称、体例及适用范围；将“风险为本”要求贯穿到《办法》中以及补充完善客户尽职调查的相关要求。全文共五十二条，主要阐述和明确了以下问题

(一) 给予客户尽职调查措施以明确的定义，即识别客户身份，并通过来源可靠、独立的证明材料、数据或者信息核实客户身份；了解客户建立业务关系和交易的目的和性质，并根据风险状况获取相关信息；对于洗钱或者恐怖融资风险较高的情形，了解客户的资金来源和用途，并根据风险状况采取强化的尽职调查措施；在业务关系存续期间，对客户采取持续的尽职调查措施，审查客户状况及其交易情况，以确认为客户提供的各类服务和交易符合金融机构对客户身份背景、业务需求、风险状况以及对其资金来源和用途等方面的认识；对于客户为法人或者非法人组织的，识别并采取合理措施核实客户的受益所有人。

(二) 明确了何时进行客户尽职调查，即金融机构在与客户建立业务关系、办理规定金额以上一次性交易和业务关系存续期间，怀疑客户及其交易涉嫌洗钱或恐怖融资的，或者对先前获得的客户身份资料的真实性、有效性或完整性存疑的，应当开展客户尽职调查。

(三) 明确提出了以风险为本执行客户尽职调查的要求，即金融机构应当根据风险状况差异化确定客户尽职调查措施的程度和具体方式，不应采取与风险状况明显不符的尽职调查措施，把握好防范风险与优化服务的平衡。

(四) 确认和核实受益所有人，新《办法》中认定受益所有人的标准是直接或者间接拥有法人或者非法人组织25%(含)以上股权或合伙权益的自然人；单独或者联合对法人或者非法人组织进行实际控制的自然人，包括但不限于通过协议约定、亲属关系等方式实施控制，如决定董事或者高级管理人员的任免，决定重大经营、管理决策的制定或者执行，决定财务收支，长期实际支配使用重要资产或者主要资金等；直接或者间接享有法人或者非法人组织25%(含)以上收益权的自然人。金融机构应当综合使用上述三种方式识别并核实客户的受益所有人，当使用上述方式均无法识别受益所有人时，识别法人或者非法人组织的高级管理人员。

熟悉反洗钱相关文件的同仁都会发现，上述定义已经与2017年以及2018年的法规有所不同，已更为全面和发展。实际上与近期发布的《市场主体受益所有人信息管理暂行办法(草案公开征求意见稿)》遥相呼应，此处不再赘述。需要提醒关注的则是，国家税务总局公告2017年第14号《非居民金融账户涉税信息尽职调查管理办法》第十三条关于控制人的术语表达，想必在适当的时候也会有所调整。

(五) 客户身份核实的时限，即在有效管理洗钱和恐怖融资风险的情况下，对于难以中断的正常交易，金融机构可以在建立业务关系后尽快完成客户及其受益所有人身份核实工作。金融机构在未完成客户及其受益所有人身份核实工作前为客户办理业务的，应当采取适当的风险管理措施。

(六) 无法或未能满意完成客户尽职调查的处理，即金融机构无法完成本办法规定的客户尽职调查措施的，应当拒绝建立业务关系，采取必要的限制措施或者拒绝交易，或者终止已经建立的业务关系，并根据风险情形提交可疑交易报告。这里实际上再次重申了，对于无法或未能满意完成客户尽职调查的客户，金融机构不得提供无差别的金融服务，《办法》的实质内涵与《中国人民银行关于加强开户管理及可疑交易报告后续控制措施的通知(银发[2017]117号)》、《中国人民银行关于进一步做好受益所有人身份识别工作有关问题的通知(银发[2018]164号)》、《中国人民银行关于进一步加强反洗钱和反恐怖融资工作的通知(银办发[2018]130号).》等文件一脉相承。

(七) 关于客户尽职调查工作的禁止性要求，除了明确金融机构不得为身份不明的客户提供服务或者与其进行交易，不得为客户开立匿名账户或者假名账户的基础上，不得为冒用他人身份的客户开立账户外，在代理行以及空壳银行等领域也再次做了强调。

(八) 简化的客户尽职调查，继《法人金融机构洗钱和恐怖融资风险管理指引(试行)(银反洗发[2018]19 号)》的通知第二十八条后，《办法》再一次提出和明确了“简化的客户尽职调查”，相关的文字规定很清晰，不再赘述。但是，需要明确的是，在风险较低的地方，虽然可以简化一些客户尽职调查程序的执行流程，但仍必须解决并获得所有客户尽职调查的要素与信息，而不是误以为简化的客户尽职调查就是无需收集《办法》第五十条当中所明确定义的基础信息种类。而这也是FATF曾经提醒过的(Where risks are lower, some CDD elements may be simplified, but all CDD elements must still be addressed)。《办法》的具体描述亦符合FATF的期望，具体为“金融机构采取简化尽职调查措施时，应当至少识别并核实客户身份，登记客户的姓名或者名称、联系方式、有效身份证件或者其他身份证明文件的种类、号码和有效期限等信息，留存客户尽职调查过程中必要的身份资料…”

(九) 强化的客户尽职调查，与上述概念呼应的，强化的客户尽职调查要求被进一步明确，相对于过往的文件(例如《中国人民银行办公厅关于进一步加强反洗钱和反恐怖融资工作的通知》银办发[2018]130号)相比，对于强化的客户尽职调查措施采取了类似于《中国人民银行关于加强开户管理及可疑交易报告后续控制措施的通知(银发[2017]117号)》那样渐进式的管控措施选项，具体可以参照第三十条。

(十) 持续的客户尽职调查，即金融机构在与客户业务存续期间，应当采取持续的尽职调查措施。针对洗钱或者恐怖融资风险较高的情形，金融机构应当采取相应的强化尽职调查措施，必要时应当拒绝建立业务关系或者办理业务，或者终止已经建立的业务关系。尽管持续的客户尽职调查这一概念并不陌生，但却组成了《办法》的一个核心，特别是监管部门明确允许了简化的客户尽职调查后，依据世界银行以及FATF的实践指南，简化的客户尽职调查并不意味着要减弱交易监控的工作强度，因为，在身份信息识别与验证阶段，客户有可能会被认为风险较低的，但这一事实并不一定会延续到所有阶段(While FATF emphasizes CIV in simplifying due diligence for financial inclusion, it also insists on the ongoing monitoring of transactions. The fact that a customer is deemed lower risk at the CIV stage does not necessarily carry over to all stages)。《办法》的规定也印证了这一点，“…对已采取简化尽职调查措施的客户、业务关系或者交易，金融机构应当定期审查其风险状况，根据风险高低调整所提供的服务范围和业务功能；客户、业务关系或者交易存在洗钱和恐怖融资嫌疑或者高风险的情形时，金融机构不得采取简化尽职调查措施。”

总结以上十项要求，那么《办法》的本源精神亦就呼之欲出。客户尽职调查在未来主要是关注在进程维度以及强弱角度--无论接纳客户还是建立业务关系之初或者业务持续阶段，都是可以选择强化的、常规的以及简化的措施；但到底在何时选择何种强度的客户尽职调查措施，则有赖于机构的洗钱风险评估结论以及经过董监高/高级管理层认可的洗钱风险管理策略。

实际上，这也回到了反洗钱工作的初心，本质而言，反洗钱解决的是三个问题，分别是“客户是谁”、“客户的钱从哪里来”以及“客户的钱要到哪里去”，在这三个问题的解决过程中，记载信息、找到风险、根据风险水平实施管控措施直至留下必要的文件记录，这就是反洗钱从业人员每天殚精竭虑的事情。

那么，基于风险为本的原则开展客户尽职调查到底又有哪些方法和基本思路呢，我们下面继续分析。

二、世界银行对于简化的客户尽职调查的观点

在世界银行的实践指南中，其首先谈到，在反洗钱反恐怖融资政策发展的宏大背景下，如何更好地推进金融的包容性正面临着特殊的挑战。对于监管部门而言，在必须达成保护金融体系完整性目标的同时，还需要尽量减少为穷人和没有银行账户的人提供服务时的负担与成本。而实现这种平衡就需要基于风险为本的客户尽职调查体系。特别是在某些国家官方身份信息登记系统缺乏普遍覆盖的情况下，对账户的开立和使用施加严格的客户尽职调查要求将可能会排除潜在客户——无论是由于缺乏身份还是因为合规成本的增加。因此，在风险较低的环境中允许简化的客户尽职调查程序将有助于使得那些暂无银行账户的人更容易进入正规合法的金融系统，而这反过来又可以促进或服务于反洗钱反恐怖融资的工作目标。

在全球领域60多个国家或地区的实践中，世界银行权衡了每种方法的利弊。精炼出了客户尽职调查要求的三种主要选择，并分析了其优缺点，分别是，基于总体原则性管理的方法(principles-based approach)；单一的低风险阈值(single low-risk threshold)以及 (iii)多维风险等级的框架(framework of multiple risk tiers)。

根据 FATF 建议，客户尽职调查概念强调了至少应有四个要素所组成。根据相称性原则，在风险较低的地方可以简化某个或某几个要素(同理，在风险较高的地方则应该加强)，比如

1)客户身份识别和验证环节。如需简化，则可以减少所需的身份信息或推迟验证，同时，允许初始活动在没有完成该动作的情况下继续进行；

2)识别受益所有人的环节。简化，可能意味着简单地提出问题并接受客户的回答，即她/他代表她/他开设了一个低价值存款账户，且没有不同寻常的迹象；

3)获取有关预期业务关系的目的和性质的信息。简化，则可能意味着不惊动客户的情况下从交易类型或上下游交易对手等信息中推断出这一点；

4)在开户后进行持续监控和尽职调查。简化，意味着可以根据合理的阈值调整监控程度。

与此同时，FATF仍旧强调了，风险识别与理解以及交易监控还是需要保持在标准水平，以检查账户交易是否符合基于风险为本的原则而设置的阈值和客户的风险状况。事实上，FATF始终坚持认为，需要加强交易监控以减轻金融产品的固有风险并弥补最初的尽职调查程序过程中可能存在的松懈。

比如，FATF就认为非面对面的交易模式可能会带来更高的风险。在这种情况下，开户时完成客户身份识别与验证可能不切实际，因此，通常被允许延迟验证。而金融机构则必须评估此类非面对面安排的风险，并需要发现和考虑所使用的电子化方法是否会增加风险。如果会增加风险，或在不当使用延迟验证的情况下，非面对面的情景应当被视为中风险——这是普惠金融的一个重要考虑因素。

三、基于风险为本的客户尽职调查程序与框架

设计任何基于风险为本的客户尽职调查管理框架时，其核心问题是关键决策(例如，如何识别低风险产品和服务、简化的客户尽职调查程序是否清晰)应在多大程度上由金融服务提供商自行决定。这里，主要存在三个主要选项，范围从更具自由裁量权到更具规范性。

选项一：总体原则性的管理模式

在启用或引入简化的客户尽职调查概念时，有些国家的监管机构有时仅仅是泛泛地纳入了 FATF 建议的语言，后续主要由金融机构自行决定何时以及如何应用。例如，孟加拉国将 FATF 条款纳入其 2015 年国家洗钱风险评估和风险管理指南；另外，也有某些其他国家亦采用这种自行决定的方法，有时也会用全球交易金额的门槛或阈值来补充它(例如肯尼亚)。与孟加拉国和乌干达一样，该类型框架主要会关注高风险情景，而针对低风险情景给出了一些简单的指导方针。巴基斯坦最近颁布的电子货币发行人(EMI) 指南(Guidelines for Electronic Money Issuers)亦是如此。

就本质而言，金融服务监管的核心要素是一系列有关风险管理的要求，包括应对洗钱和恐怖融资风险的方法。例如，孟加拉国使用的风险指南要求进行风险分析，列出了七个风险类别，包括客户业务或工作的性质和规模、开户方式以及每月交易的预期数量和价值，预计机构将拥有适当的系统和控制措施，以持续监控活动。

一般而言，各国中央银行的法规都会定义客户尽职调查的完整程序和文件要求。在基于总体原则性管理的方法中，简化的客户尽职调查流程很大程度上将由金融服务提供者自行决定(客户风险分类方法也是如此)。在孟加拉国，FATF 建议中的简化的客户尽职调查程序可用于风险较低的场景，包括在建立账户等业务关系后进行身份验证，以及可以从公认类型的文件原件或经核证的副本验证一个人的身份。但在移动货币场景的情况下，即使简化的客户尽职调查程序允许有电子身份信息替代，但是，手机 SIM 卡的实名制要求仍旧成为访问金融服务的基本前提，这些标准通常可以由电信部门与监管机构协调制定。

采用总体原则性管理模式的利弊会是什么？

益处，允许金融机构进行更多自主调整的空间，这一点如果再加上监管机构的适当监督，应该可以使得金融服务提供商——尤其是在高容量国家——能够有效地应对风险。毕竟，机构拥有了自由裁量权后，将避免与更具规范性的框架相关的潜在僵化和成本。比如，欧洲银行管理局将 FATF 关于基于风险为本的客户尽职调查要求纳入其在欧盟适用的法规中，不过，金融机构必须能够向监管机构证明其尽职调查与洗钱风险相称。

弊端，总体原则性管理的弱点在于金融服务提供商，尤其是欠发达金融部门的金融服务提供商将可能倾向于采取过于保守、过于合规的方法，以避免监管审查和制裁。有时，金融机构、监管机构和金融情报机构之间缺乏定期协商也会加重这种情况。相比之下，更具规范性的基于阈值或基于风险等级的管理体系基本上将“与谷物的颗粒度更为衔接(work with the grain)”，通过明确的规则为旨在规避风险的金融服务提供商提供安全规则。

基于总体原则性管理的方法将要求监管者对该行业有深入的了解，与金融服务供应商建立相互信任的关系，以及足够的监管人员和技术能力(经合组织、英国审慎监管局都曾指出这一点)。如果没有这些条件，那么，这种模式将很容易受到金融服务提供商渎职或滥用的影响。

选项二：单一的低风险阈值

一些国家为所有金融服务提供商定义了单一的低风险阈值，如秘鲁；或为某些类型的金融服务提供商或服务定义特定阈值，如巴西和印度。例如，在巴西，法规允许简化“特殊”或基本银行账户的客户尽职调查某些要素，但规定了金额上限(余额限制为 750 美元)。在这里，客户身份信息识别与验证可以基于政府数据库提供的信息或使用社会保险号的临时身份证明——最多延迟六个月必须完成身份信息验证。

在印度，简化的客户尽职调查程序可用于规定金额的阈值(最大余额为 780 美元)的银行账户和仅限于半闭环的预付支付工具。而简化的客户尽职调查却不被允许用于开环的预付支付工具，因为，后者相当于电子货币(e-money)。

再来看秘鲁，他们所采用的基于风险为本的管理策略却不同寻常。秘鲁的法规里概述了一种简化的客户尽职调查方案，可在两种情况下使用：(i) 法规中规定或 (ii)由金融服务提供商提议并经由秘鲁银行与证券监管局(Superintendencia de Banca y Seguros, SBS)批准。无论哪种情况，金融服务提供商都可以选择使用简化的客户尽职调查的方式为客户提供基本账户。法规将被视为低风险且符合简化条件的“基本账户”定义为处于货币阈值(例如每个机构的合并客户余额为 580 美元)内的银行或电子货币账户。在简化措施的情形下，只需收集基本信息，例如全名、身份证明文件类型和编号以及地址。身份验证只需要有效的身份证件，并且可以在开户后出示。秘鲁的法规还要求所有金融机构在风险为本的基础上持续监控交易。

如果秘鲁的金融服务提供商希望获得该类事前批准——例如，在未经监管授权的情况下——则必须申请监管机构的批准。申请机构必须确保识别产品和服务特征、相关的洗钱和恐怖融资风险以及监测此类风险的系统。就目前而言，秘鲁银行与证券监管局已批准某些非银行机构简化的客户尽职调查制度，尽管这通常被认为是监管机构审查、拒绝、修改或默认不反对的选择。秘鲁的做法之所以引人注目，是因为它超越了通常的隐含、临时接受，它为金融服务提供者提供了明确的授权，重要的是，此批准程序是对监管设定的单一门槛的补充，因此，允许金融服务提供商在监管设定的门槛下运营或寻求替代框架的批准。这是固定限制和金融服务提供者自由裁量权的独特混合。

规定单一低风险阈值管理体系的优缺点是什么？

优点，使用法规中定义的低风险阈值或通过逐案授权(就像在秘鲁一样)代表了一种折衷方案，在这种情况下，可以确保金融服务供应商在特定情况下合法运用简化的客户尽职调查。经验表明，这种确认可以使得简化更有可能在定义的阈值内使用。相反，如果没有这样的阈值或管理机制，则可能会出现过于严格的合规性，从而降低使用简化的客户尽职调查的可能性。此外，在定义的阈值之外，金融服务提供商通常具有酌情权，可以根据其风险状况决定是否适用全面或增强的客户尽职调查程序。

缺点，创建一个单一的、低风险的阈值可能也会限制机构自由裁量权和简化的客户尽职调查的总体原则。因为，这意味着该机构必须在一个规定的框架内工作，而该框架对某些金融服务供应商而言可能过于僵化，而对其他金融服务供应商而言则不够详细。在单一风险阈值的管理体系中，有时，法规也将明确禁止使用超过阈值的情形下简化客户尽职调查，或者在实践中可能不鼓励，因此，随意使用会使金融机构面临法律制裁的风险。在这方面，单一阈值的管理模式就不如多维度风险管理体系。后者可以为在更广泛的情况下为使用简化客户尽职调查方法的金融服务提供商提供法律保障，并可以基于风险层级灵活调整。

虽然，单一风险阈值的管理模式可以简化金融服务提供者和监管者的工作实施，但它也可能使犯罪分子更容易找到规避规则的方法。因此，风险较低的产品的风险状况往往会随着时间的推移而增加，这反过来又意味着监管者的关注与监控将更加重要。

选项三：多维风险等级的框架

另一个实践的版本则是将基于风险为本的客户尽职调查转换为一系列分级管理或风险层级。而这些层级适应不同类型的交易、客户和开户方法。通常，有三层或三种类型的账户：

1)基本的，最低开户要求和交易限额。

2)中等的，相较前者更高的上限和要求，但低于完整的客户尽职调查要求。

3)完整的，更高的限制，有时包括针对企业(例如代理行和商户)的特殊账户，其上限远高于个人账户，开户程序也更严格。

尽管，基于风险的调整主要集中在客户身份信息识别与验证程序上，但其他客户尽职调查要素也受到影响。特别是，持续交易监控流程旨在通过加强客户身份信息识别与验证、提供对合规性的事后检查以及帮助确定任何必要的调整或执法行动来补充身份信息资料。

截至目前，具有分层管理系统的国家使用一系列设计。例如，在加纳、缅甸、巴基斯坦和突尼斯都使用了三层系统。最低级别个人账户的交易金额限制范围从每日交易 32 美元/最高余额 130 美元到每日交易175 美元/最高余额 1400 美元不等。与单一风险阈值管理机制类似，多层风险管理体系通常用于机构或经营活动的特定部分。

还有一些国家则认为需要额外的等级。例如，卢旺达(电子货币)和坦桑尼亚(移动货币)使用六层框架。在每种情况下，两国最低级别的产品服务中，个人客户可以运用简化的客户尽职调查，而更高级别则服务于不同规模的企业和客户。

中美洲的墨西哥对客户尽职调查工作也采用了分层方法，包括针对银行机构的四级管理体系和针对金融科技的三级体系。有趣的是，墨西哥曾尝试了匿名低级别账户，在某些限制内(比如，每月存款上限为 225 美元)提供对客户身份信息识别与验证要求的豁免。但是，对犯罪滥用的担忧导致该规定于 2019 年 3 月被废除。修订后的规定允许通过远程方式对 3 级和 4 级银行账户进行客户访谈以验证身份。

多维风险等级管理体系的优劣势分别是什么？

优势，毫无疑问，风险分层的管理系统将提供了一个现成的框架，可以让金融服务提供商让那些仅需要基础金融服务的客户感到舒适。在拥有无银行账户人口的容量相对较低的部门，这种方法似乎是有效的，而且，多层级管理体系还有助于监管机构优先分配资源。

根据统计分析，具有更高比例要求(即简化或分层管理客户尽职调查程序)的国家往往具有更高水平的移动货币增长和数字金融包容性。分析表明，分层管理尤其有助于金融包容性。例如，在墨西哥推出分层模式后的头两年，银行账户增加了 14%，其中 77% 的新账户受益于简化的客户尽职调查。

多维风险管理框架相对于单一阈值的主要优势在于它提供了整合差异化和细微差别以解决广泛需求的机会。如果查看多层管理体系的最低和最高级别，这一点就最为明显，基础级别是一个高度受限的层级，它只允许非常低水平的经济活动，基于为没有银行账户或在某些情况下很少或没有正式身份证明文件的人量身定制的。

劣势，与总体原则性管理的框架相比，明确规则和多层次的规定性体系增加了复杂性和刚性；在某些情况下，它还可能增加成本。另外，所定义的阈值或层级可能会设置的不够正确——也就是说，它们可能与许多金融服务提供商应遵循的风险指南不一致。在低容量环境中，刚性的潜在劣势可能会被规则的有利方面所抵消，但这取决于风险管理框架的配置方式以及使用它的设置。不过，一些多层管理框架的复杂性，特别是在不同监管机构和部门施加重叠要求的情况下，例如，在墨西哥，也增加了不合适或过度合规负担的可能性。

反观总体原则性方法，实际上是用监管机构的判断代替金融服务提供商的判断。在一些情况下，政策制定者发现这在具体情况下是适当的，但它却容易使得机构出现了形式合规(即“打勾[box-ticking]”)，而不是仔细的风险评估，这就是需要监管机构参与的问题所在。监管机构是否有能力评估和监控供应商的风险框架？如果答案是肯定的，那么多层级和固定阈值的管理模式可能是不必要的，而且确实是繁重的。

另外，技术创新也与分层式的风险管理系统产生一定交互。随着身份信息系统走向数字化以及 SIM 注册和 e-KYC 简化客户尽职调查，多层结构(或至少某些层)可能变得不那么重要。就技术本身就从根本上全面简化了标准程序而言，那么分层捷径似乎也就变得不必要。当然，简化程序可能会继续在其他客户尽职调查步骤中发挥作用，并且对于尚未在数字身份信息系统中注册的人可能需要它们。因此，关于采用和设计多维风险管理框架的决策必须考虑技术的动态性。否则，这些框架可能会很快变得过时甚至适得其反。

简单总结这些各国实践，我们不难发现，孕育于FATF《反洗钱40项建议》的各国反洗钱反恐怖融资法律法规都会因各国之实际情况而有着不小的差异，因此，盲目地照搬可能导致反洗钱工作的实际成本远远大于收益，所以，应当循序渐进、实事求是。既要把强制性的要求逐步落实到具体的工作规范之中，也要注意充分利用法规当中的非强制性规定，结合实际情况，在一些允许灵活规定的领域，注意分析具体问题和听取行业与监管指导意见，合理设计反洗钱合规程序，争取把消极影响降到最低。

从《办法》的制定角度而言，汇聚并凝结了多方考虑与协调，十分的不易。在第三十一条中，明确了指明可以参照账户管理相关规定及指引，并结合客户特征、业务关系或者交易目的和性质，经过风险评估且具有充足理由判断某类客户、业务关系或者交易的洗钱和恐怖融资风险较低时，可以采取相匹配的简化尽职调查措施。不知道这一布局是否是与始于2015年的个人银行账户分层管理模式相互依托。但无论如何，基于风险为本的开展客户尽职调查应当是《办法》的基石和底色。

四、《办法》对于金融机构的启示

重视机构洗钱风险评估工作，准确定位与识别风险区域，特别是客户，产品/业务的洗钱风险评估。根据《关于印发<法人金融机构洗钱和恐怖融资风险自评估指引>的通知(银反洗发[2021]1号)》的相关要求，在实施机构洗钱风险评估时，应对具有高风险特征的客户群体进行评估，以及分别对与各类地域、客户群体、产品业务、渠道相应的特殊控制措施进行评价。那么，则不难想到，在开展机构洗钱风险评估时，客户以及产品业务的分类将几乎直接关系到机构内部认定/评定的风险领域是否恰当，以及设置的特殊控制措施是否必要和有效。反之，如未能做好这项基础工作，则可能会使得某些原本可以实施简化尽职调查的客户或业务承担了不必要的合规成本和运营负担，同时，却会使得真正应当采取强化尽职调查的客户与业务成为漏网之鱼，如若这般，则难言所谓的反洗钱工作有效性了。

优化客户风险等级分类模型，回顾并重构本机构持续尽职调查的程序。研习《办法》这几日，也与同业朋友交流不少，深感持续的尽职调查成为了未来反洗钱工作的核心，这也似乎印证了为何美国反洗钱监管部门会把这一元素新增为第五大支柱。正如前文所谈到的，在客户准入或业务办理的初始时期以及身份信息识别与验证阶段，客户很有可能会被认为风险较低的，但这一事实并不一定会延续到所有阶段，因此，金融机构应当考虑是否需要丰富和完善触发式客户尽职调查的场景以及不同业务产品使用者所应有的定期审核期限。《办法》第二十七条的叙述为“对洗钱或者恐怖融资风险等级最高的客户，金融机构应当至少每年进行1次审核”，而在《中国人民银行关于印发<金融机构洗钱和恐怖融资风险评估及客户分类管理指引>的通知》中的叙述则是“对于已确立过风险等级的客户，金融机构应根据其风险程度设置相应的重新审核期限，实现对风险的动态追踪。原则上，风险等级最高的客户的审核期限不得超过半年…”，无论从字面还是内涵，该两条实际上并无冲突。相反，法规的更迭却折射出了风险为本，重在强调不能也不可以遗漏掉风险识别。在未来，我相信仍旧会有需要每半年甚至更短时间就实施定期审核的高风险客户，同样，也会有每年审核1次的高风险客户。区别在哪，其实就是取决于该高风险客户是否呈现出额外的、新增的、或者说符合机构洗钱风险管理策略的风险特征。

三道防线协同配合，强化洗钱风险管理与决策/审批矩阵。中国的金融行业庞大且复杂，在世界银行的实践指南中，我相信，多维风险管理机制结合少数实践报备监管可能会成为一个适合当下的选项。根据《法人金融机构洗钱和恐怖融资风险自评估指引》，我们都认识到，机构的风险是由地域、客户、业务/产品以及渠道四个维度所组成的，实际上，也可以理解为金字塔的四面，每一个台阶或横截面都是有四个维度的元素所组成。那么，对于涉及不同地域、不同业务、不同客群以及不同渠道的情形，作为机构，就应当考虑由三道防线深度参与、会商，识别与判断风险水平，并为不同的风险等级组合设置相应强度的客户尽职调查措施以及某些特例情形的审批机制。简单说，比如，低风险地域的高风险个人客户，通过低风险的面对面渠道办理了小额的低风险业务，那么，很明显，在这种情形下，是不一定需要开展强化的客户尽职调查的。不知道我的理解是否正确，未来的反洗钱工作大概会好比扑克牌的四种花色，金融就需要根据不同的花色组合和数值大小来安排相应的管理措施呢？如果是这样，那么，就真的应该回头重读多次《法人金融机构洗钱和恐怖融资风险自评估指引》，在第十条里，曾记载着“业务模式、性质相同且洗钱风险因素不存在重大差异的，可作为同一类产品业务进行评估。”故而，这里又回到了机构洗钱风险评估工作中产品分类质量的话题上了，正所谓环环相扣，彼此串联，最终推动金融机构的反洗钱工作按着“风险为本”的轨迹不断提高有效性。