一、结论先行：四项法定制度义务
- 建立健全反洗钱内部控制制度。金融机构应当按照规定建立反洗钱内部控制制度，设立反洗钱专门机构或者指定内设机构负责反洗钱工作，并根据经营规模、业务特点等配备相应人员（《反洗钱法》第二十七条）。
- 客户尽职调查制度。与客户建立业务关系、办理规定金额以上单笔交易、有合理理由怀疑客户及其交易涉嫌洗钱，或者对先前获得的客户身份资料的真实性、有效性、完整性存在疑问时，应当开展客户尽职调查（《反洗钱法》第二十六条、第二十八条）。
- 客户身份资料与交易记录保存。客户身份资料与交易记录应当自业务关系结束或者交易发生之日起至少保存十年（《反洗钱法》第三十二条）。
- 反洗钱特别预防措施与可疑交易报告。发现涉嫌洗钱活动或者恐怖融资活动的，应当按照规定及时向反洗钱监测分析机构报告（《反洗钱法》第三十六条）。
二、三道防线：内部控制的具体落点
| 防线 | 承担主体 | 核心职责 | 常见缺陷 |
|---|---|---|---|
| 第一道：业务条线 | 客户经理、柜台、线上开户渠道 | 客户身份识别、客户尽职调查、交易记录留存、异常交易发现与上报 | 以业务指标优先，对尽调流于形式；线上渠道的身份核验措施不足 |
| 第二道：反洗钱合规部门 | 反洗钱专门机构或指定内设机构 | 制定制度、组织培训、可疑交易分析、报送可疑交易报告、持续监测 | 人手不足、系统监测规则陈旧、对新产品未做风险评估 |
| 第三道：内部审计 | 内审部门 | 独立评估反洗钱制度执行情况，向董事会或高级管理层报告 | 未纳入年度审计计划，或只查形式未查实质 |
三、集团总部统筹义务
对金融机构集团而言，反洗钱义务不限于单一法人主体。
- 统筹与协调。反洗钱法要求金融机构集团总部或者控股股东统筹集团内各主体的反洗钱工作，统一制定集团层面的反洗钱政策与程序。
- 信息共享与保密。集团内为反洗钱目的共享客户信息，应当在法律法规允许范围内进行，并采取必要措施保护个人信息与商业秘密，不得超出反洗钱必要范围使用。
- 境外机构与跨境业务。存在境外分支机构、控股或参股机构的，应当遵循当地监管要求；当当地规定与我国规定冲突时，应在法律允许范围内采取措施，并报告监管部门。
- 外包与第三方。将客户尽职调查的部分环节外包给第三方的，义务主体仍为金融机构本身，不能因外包而转移责任。
四、客户尽职调查的三种触发情形与强化措施
| 触发情形 | 基本措施 | 强化措施（高风险） | 简化措施（低风险） |
|---|---|---|---|
| 建立业务关系 | 核实客户身份、了解交易目的与性质 | 获取资金来源与用途证明、提高审批层级、加强持续监测 | 可适当简化，但不得免除识别义务 |
| 单笔交易达到规定金额 | 核实交易双方身份信息 | 对可疑交易加强审查并考虑报送 | 按低风险客户处理 |
| 有合理理由怀疑涉嫌洗钱或身份资料存疑 | 重新核实身份、必要时终止业务关系 | 不得简化，必须强化 | 不得简化 |
| 受益所有人识别 | 穿透识别最终受益人 | 对复杂股权结构逐层穿透 | 按低风险简化 |
五、非现场监管与数据报送
反洗钱法确立了非现场监管制度，金融机构需按规定报送反洗钱相关信息与数据。
- 报送内容：通常包括反洗钱制度与机构设置情况、客户尽职调查与可疑交易报告的数量与质量、重大风险事件、监管检查整改情况等。
- 数据质量：报送数据的真实性、准确性与完整性是监管评价的基础，错误或遗漏可能被认定为未按规定履行反洗钱义务。
- 系统建设：反洗钱监测系统需要覆盖可疑交易监测规则、名单筛查、客户风险等级划分与动态调整等功能，系统上线前应完成验证并留存测试记录。
六、违规责任与处罚幅度
| 违规情形 | 主要依据 | 处罚幅度 |
|---|---|---|
| 未按规定建立健全反洗钱内部控制制度 | 《反洗钱法》相关规定 | 责令限期改正；情节严重或逾期未改的，可处罚款 |
| 未按规定开展客户尽职调查 | 《反洗钱法》第五十三条 | 责令限期改正；情节严重的，最高可处二百万元罚款 |
| 未按规定保存客户身份资料与交易记录 | 《反洗钱法》相关规定 | 责令限期改正；逾期未改或情节严重的，处以罚款 |
| 未按规定报送可疑交易报告 | 《反洗钱法》相关规定 | 责令限期改正；情节严重的，处以罚款 |
| 直接负责的董事、高管与责任人员 | 《反洗钱法》相关规定 | 可对个人处罚款，并采取相应管理措施 |
七、常见问题
问：小型金融机构是否可以简化反洗钱内部控制制度？
反洗钱义务不因机构规模而免除，但制度设计可以与经营规模、业务特点相匹配。金融机构应当根据自身业务复杂度配置相应的人员与系统；对低风险客户和低风险业务，可以按规定适用简化措施，但对涉嫌洗钱或身份资料存疑的情形，不得简化。
问：客户拒绝提供身份信息，能否直接开立账户？
不能。客户拒绝配合客户尽职调查的，金融机构不得与其建立业务关系或者为其提供服务；已经建立业务关系的，应当采取限制交易措施或终止业务关系。具体处理方式按反洗钱法与相关监管规定执行。
问：客户身份资料与交易记录保存十年，起算点是什么？
自业务关系结束或者交易发生之日起计算（《反洗钱法》第三十二条），两项起算点分别对应身份资料与交易记录。建议按业务关系维度建立保存台账，避免因业务关系存续期长而导致记录超期灭失。
问：集团内共享客户信息是否违反个人信息保护规定？
为反洗钱目的在集团内共享客户信息，应当在法律规定的范围内进行，并限于反洗钱必要目的；超出必要范围使用的，可能同时构成《个人信息保护法》项下的违规处理行为。合规做法是明确共享范围、留存共享记录、落实访问权限控制。
问：发现历史存量客户的尽调资料不完整，应当如何处理？
应当开展存量客户尽职调查的补正工作，对高风险客户优先处理；对无法补正且无法排除嫌疑的，可考虑限制交易或终止业务关系，并留存处理记录。补正工作的组织安排与时间计划，是监管检查中评价整改态度的重要材料。
八、实务提示与法条依据
律师提示：反洗钱监管的逻辑是「制度 + 执行 + 留痕」。制度文本、人员配置、系统建设属于形式要件，真正的检查重点在于执行证据——每一笔高风险业务是否有强化尽调记录、每一份可疑交易报告是否有分析依据、每一次客户风险等级调整是否有理由说明。建议金融机构建立可检索的反洗钱档案体系，将制度、培训、监测、报告、整改形成闭环，并在新产品上线前完成反洗钱风险评估。
法条与依据核验：《中华人民共和国反洗钱法》（2024年11月8日第十四届全国人民代表大会常务委员会第十二次会议修订通过，自2025年1月1日起施行）第二十六条、第二十七条、第二十八条、第三十二条、第三十六条、第五十三条；《中华人民共和国个人信息保护法》第十三条、第二十三条（个人信息共享）；《金融机构反洗钱和反恐怖融资监督管理办法》相关规定。特别说明：现行反洗钱法为 2024 年 11 月修订版本，自 2025 年 1 月 1 日起施行，将原「客户身份识别」升级为「客户尽职调查」，并新增强化尽职调查、简化尽职调查、受益所有人识别等制度；客户身份资料与交易记录保存期限为至少十年，自业务关系结束或者交易发生之日起计算。行政处罚幅度以该法第五章法律责任部分为准，其中未按规定开展客户尽职调查的最高可处二百万元罚款。本文所引全部条文序号依现行有效版本标注，具体适用范围与裁量标准请以中国人民银行及国家金融监督管理总局公布的官方文本与监管规则为准。
