銀行機構洗錢風險自評估工作實踐與改進措施

2021年中國人民銀行反洗錢局正式發布《法人金融機構洗錢和恐怖融資風險自評估指引》（以下簡稱《指引》），要求法人金融機構建立符合標準的洗錢風險自評估機制，并于當年完成制定或更新本機構洗錢和恐怖融資風險自評估制度，在2022年底前完成基于新制度的首次自評估。機構洗錢風險自評估工作是金融機構制定洗錢風險管理政策措施的基礎，也是反洗錢履職從被動落實合規要求向主動管理洗錢風險轉變的關鍵環節。

建立機構洗錢風險自評估機制的重要意義

對接國際互評估的內在要求。推進自評估機制落地，有助于國內監管加快向“風險為本”轉型，持續提升反洗錢工作有效性，對接國際互評估要求，避免不必要的國際制裁，提高我國的國際聲譽和金融體系影響力。

有利于提升金融機構洗錢風險管理的質效。自評估機制的全面性和結果的準確性，能一定程度上反映金融機構洗錢風險管理的質效，對于金融機構自身的風險研判、迎檢自查、效率提升等方面均有積極作用。

有利于夯實“風險為本”的洗錢風險管理基礎。自評估以可量化、可視化的結果，揭示潛在的洗錢風險管理漏洞或意識偏差，是金融機構全面檢視洗錢風險并完善工作機制的重要舉措，也是實施內部控制的重要保證。機構洗錢風險自評估工作的國際及國內形勢國際形勢。全球洗錢上游犯罪形勢嚴峻，國際組織呼吁各國加以重視。多個國際組織發布專題報告①指出由于技術的變化導致有組織犯罪規模和數量迅速增加，催生出多種新型詐騙方式，僅2023年犯罪分子竊取的資金額度已超過1萬億美元。反洗錢金融行動特別工作組（Financial Action Task Force on Money Laundering，FATF）認為要遏制上游犯罪現狀，需要跨國、跨部門的信息共享和加強投資執法能力建設。國內形勢。最新的《中國反洗錢報告》顯示，2 0 2 2年中國人民銀行共處理重點可疑交易報告1 . 3 7 萬份；全國人民法院審結洗錢案件3 . 8萬起，生效判決6.91萬人；全國檢察機關共批捕涉嫌洗錢犯罪案件5581起。洗錢等非法金融活動的猖獗引起監管機構高度重視，已采取嚴厲措施懲治洗錢犯罪，出臺多個指導性文件②。

機構洗錢風險自評估工作的國際理念和國內監管導向

國際理念。一方面，FATF呼吁各國監管率先踐行由“規則為本”向“風險為本”的轉型。“風險為本” 的概念最早由英國提出，由FATF明確為供成員國參考的新40項建議內容，并指出以“風險為本”原則識別、評估并理解洗錢和恐怖融資風險，是國家反洗錢和反恐怖融資戰略的重要組成部分。另一方面，FATF明確，有效且合理的反洗錢程序必須包括洗錢風險評估的流程。金融機構應當識別和分析洗錢、恐怖融資和其他非法金融活動所形成的風險，例如基于業務、產品、服務、客戶和金融機構對客戶提供服務或開展業務的地理位置等多種因素的評估。

國內監管導向。一方面，我國監管機構開始注重監管的有效性。FATF在第四輪國際互評估報告指出，中國金融業需要更有效的監管，并采取更多預防性措施來防止金融系統被濫用。作為強化后續整改措施，中國人民銀行由此開始構建適用于我國的評估體系，提高監管措施的針對性和有效性。另一方面，我國監管機構加強對金融機構評估工作的指導。即將開始的FATF第五輪國際互評估要求更嚴、標準更高，且以有效性為導向。基于互評估結果與當前外交形勢，進一步推動金融機構建立并完善洗錢風險評估與管理的常態化機制，已成為我國金融監管機關提高風險評估有效性的工作重點。

機構洗錢風險自評估工作實施情況

機構洗錢風險自評估是金融機構全面檢視洗錢和恐怖融資風險并完善管理機制的重要工作，應當秉持全面性、客觀性、匹配性、靈活性原則，充分考慮內外部信息，建立與本機構經營規模與復雜程度相匹配的洗錢風險自評估指標和模型，確保有效識別風險管理漏洞。根據《指引》第六條規定，“法人金融機構洗錢風險自評估包括固有風險評估、控制措施有效性評估、剩余風險評估。”其中，固有風險評估應反映在不考慮控制措施的情況下，法人金融機構被利用于洗錢和恐怖融資的可能性；控制措施有效性評估應反映法人金融機構所采取的控制措施對管理和緩釋固有風險的有效程度；通過“固有風險-控制措施有效性=剩余風險”的方法論，得到尚未有效管理和緩釋的剩余風險并評估風險程度。

搭建自評估指標體系。依據《指引》要求及行內實踐，圍繞“固有風險-控制措施有效性=剩余風險”的核心方法論，搭建自評估指標體系及評估模型。通過各個維度的固有風險和對應的控制措施有效性可以分別得出各個維度的剩余風險，也可以從整體固有風險和控制措施有效性中得出機構整體剩余風險程度（見表1）。

設計評估指標分類范圍。評估指標分為固有風險指標和控制措施有效性指標，針對《指引》要求和風險因素，總結細化形成不同級別指標，并初步配置指標權重、指標說明和評分要點、取數需求、時間范圍、負責部室等要素。其中，固有風險指標分別從地域環境、客戶群體、產品業務、渠道四個維度考慮風險因素；控制措施有效性指標分別從反洗錢內部控制基礎與環境、洗錢風險管理機制有效性和特殊控制措施三方面考慮控制有效性。指標設計可分別參考《指引》、洗錢風險評估相關文件③、各類監管機構發布的風險提示以及銀行機構自身發現的風險領域等。

設定評估指標具體維度。評估對象分別從上述四個維度細化選取對象。地域環境維度，充分考慮銀行機構經營屬地，合理設定橫向分類，評估時應考慮所在地區的洗錢案件高發情形。客戶群體維度，分別考慮基礎客群和特殊客戶群體，其中基礎客群包括銀行所有客戶種類；同時可考慮結合監管風險提示和銀行自身情況，設置相應的特殊客群，如使用非身份證開戶的客戶、高凈值客戶等。產品業務維度，按銀行機構實際產品業務進行梳理和分類，形成產品業務清單；具體分類時，以機構基礎產品清單為基礎，根據《指引》中關于產品歸類評估的指導意見，結合銀行本身的產品業務模式、性質和洗錢風險因素等標簽，將相關標簽相同的產品予以合并評估，對于相關因素不同的產品，應考慮進一步細分評估，如獲客渠道不同、身份識別方式不同等。渠道維度，結合銀行實際經營狀況，可分為自有實體經營場所、自助設備與終端、自有互聯網渠道、第三方互聯網渠道、第三方實體經營場所、代理行渠道等。

細化評估指標權重占比。固有風險和控制措施有效性的指標權重設置參考國內外監管及專業機構洗錢風險評估建議，在對權重進行分配時，整體遵循風險為本原則、適用性原則、客觀性原則，并結合沃爾夫斯堡建議范圍，分別按照不同比例設定權重。即：對應反洗錢監管要求和監管重點關注的風險指標權重高于其他指標；適用于少數維度分類的風險指標權重低于其他指標；指標為一手信息或客觀信息的權重高于指標為二手信息或主觀判斷類信息。

評估結果的計量。一是計量固有風險。固有風險評分按照分級賦分法，以各個評估對象在同一個指標的不同得分排序賦予相應風險評分，再根據評分區間映射出所對應的風險等級。考慮到銀行機構面臨的洗錢威脅較高，因此將高風險等級的評分檔位設置得較為嚴格（見表2）。二是計量控制措施有效性。在計量控制措施有效性時，基于控制措施有效性指標要素屬性，采用“扣分法”。以統一的評分標準，對控制措施有效性評估要點進行說明或提供證明材料，若出現與評估標準不符的情況，則按照對應評估標準進行扣分。最后參考《法人金融機構反洗錢分類評級管理辦法（試行）》（銀發〔2017〕1號）的映射規則，可以對控制措施有效性做較為嚴格的等級映射（見表3）。三是計量剩余風險。根據《指引》第二十條規定，機構剩余風險應分為5 級，由低到高分別為低風險、中低風險、中風險、中高風險和高風險，形成風險評估結果計量矩陣（見表4）。

基于《指引》和監管部門的指導，目前，各銀行機構均建立了自評估體系，主流觀點認為部分銀行機構的自評估體系在方法論、指標顆粒度等方面正在積極與國際自評估要求接軌。部分數據挖掘能力較強的銀行機構，充分發揮了金融科技對洗錢風險管理的支撐作用。在評估或整改階段能建立自己的反洗錢數據倉庫、數據集市，形成客戶畫像，對風險因素進行數據分析。大部分銀行機構的自評估結果極大程度地推動了思維轉變和洗錢風險管理體系的變革。雖然從實踐來看，銀行機構需要通過全面梳理業務產品、渠道、客群等分類，完成精準評估，并對發現的薄弱環節作出整改指導，導致自評估工作的進程較緩慢，但是作為“風險為本”轉型的契機，自評估工作成果逐步得到機構高級管理層的重視，并制定相應的整改或優化方案。

機構洗錢風險自評估實踐存在的不足

我國銀行機構的首次自評估工作，對于國內幾乎所有銀行機構來說都是一次全新的探索。盡管部分機構均聘請了第三方咨詢公司來協助自評估，但由于可供參考的經驗較少，工作推進中還是以機構自身逐項總結、創新評估的方法論和標準為主。

“風險為本”理念尚未得到充分貫徹。近年來，各銀行機構致力于推進“規則為本”到“風險為本”的意識轉型，雖取得一定成效，但在面對新任務時，多數職能部室仍支持“規則”優先。對自評估工作的理解，尚不能全面認識到其目的是為機構洗錢風險管理工作提供必要的基礎和依據，僅認為這是反洗錢牽頭管理部室布置的任務，以完成問卷、提供佐證材料為主要工作，并沒有對問卷題目背后的深意進行思考，審視本條線洗錢風險管理方式是否合理、有效，是否能夠激勵條線崗位人員勤勉盡責地履職，從而完善條線反洗錢工作機制。

職能部室對自評估理解不足。業務職能部室可能因洗錢風險管理意識薄弱，怠于主動履職或不愿深度參與。開展固有風險指標口徑梳理和取數邏輯時，存在業務職能部室未對提供數據口徑一事引起重視，敷衍了事，造成數據統計有誤，導致評估結果偏差。業務職能部室常常只關注產品業務等傳統的洗錢風險管理職責，對于監管提出的客戶或渠道的洗錢風險管理職責存在認知空缺，因此在自評估過程中容易發現不同維度的管控措施或預警機制有待完善，相關洗錢風險管理要求有待全面有效落實。

基礎數據管理有待加強。銀行機構的基礎數據目前來看并不足以支撐自評估工作指標設定的精確度需求。具體指標體系由各銀行機構自行考量，需要大量案例驗證設定是否合理、能否揭示風險薄弱環節。而銀行機構目前多個系統間的交互機制均須加強，大部分業務系統及反洗錢系統各自獨立，部分指標取數條件在系統間未能有效映射，自評估指標所需數據無法直接獲取，仍需要通過復雜的邏輯取數并進一步加工，難以保證數據的準確性。

自評估成果未得到充分運用。目前在成果運用上未形成有效的評估后管理機制，多以問題整改為主。反洗錢牽頭管理職能部室對自評估成果提出的建議，沒有被業務職能部室實際采納，仍存在簡化管控或直接終止業務關系等行為。同時轄內沒有成果共享機制，僅反洗錢牽頭管理職能部室傳輸成果經驗，業務條線沒有就其自身的洗錢風險管理經驗進行總結分享，全轄應對洗錢風險缺少多維度的經驗。

反洗錢人力資源仍須加強。銀行機構如何在轄內建立專業的人才隊伍同樣是亟待解決的問題。要想真正做好自評估工作，需要了解國內外各類監管形勢、精通反洗錢法律法規、充分掌握各類業務的運行流程、知悉系統架構等全方位知識。我國對于反洗錢專業人才的培養尚在起步階段，目前國際公認反洗錢師（CAMS）持證人已屬于上海市“十四五”金融類緊缺人才，然而仍缺乏對于反洗錢專業人才準入和發展的上層導向，對于銀行機構反洗錢隊伍配置比例或具體要求尚不明確。

機構洗錢風險自評估工作改進措施

金融機構應勤勉盡責地根據《指引》第三十條規定定期開展自評估，及時總結分析問題成因，不斷優化評估機制，控制資源成本，在意識和執行層面探索完善方向都是十分必要的。

提高風險認知，強化內生動力。自評估工作作為銀行機構反洗錢工作從“規則為本”向“風險為本”轉型的標志性工程，不但能降低洗錢風險給本機構和社會帶來的危害，也能促使機構減少或免于反洗錢行政處罰。應進一步提高對自評估工作的認識，將認識轉化為動力，通過自評估主動評估風險、識別隱患，制定切實可行的整改措施。

構建基礎環境，推動系統建設。建立機構專屬的自評估系統是反洗錢系統建設的理想目標之一，系統整合反洗錢資源，大幅提升自評估工作的有效性和準確性。通過厘清全量產品業務、客戶清單，規范業務口徑、取數邏輯以及后續管控措施等，構建多維度數據信息共享渠道。加速推進數據治理，也能同時提升反洗錢基礎數據的全面準確性和傳輸及時性，如構建類似反洗錢數據集市等，助力開展高效便捷的反洗錢日常工作。

完善評估指標，推進縱向發展。建立以主要的重點風險因素為核心的評估框架，在指標設計時應同時考慮四個維度的覆蓋面和指標數據能夠體現的風險程度，以此確定現有自評估體系的廣度和深度。銀行機構可以通過后續開展自查等方式，倒查指標合理性，以問題為導向不斷優化指標，最終形成一套邏輯自洽的評估方法。此外，可通過評估指標在不同評估期的跨度比對，了解機構自身在不同發展階段的洗錢風險差異和管理薄弱環節。

充分運用成果，持續整改優化。根據自評估發現的風險點，逐步完善或調整后續控制措施，減少風險薄弱環節和風險隱患。除了發現問題，制定相應的整改措施計劃并限時整改，持續提升洗錢風險控制能力也是自評估成果運用的關鍵。需要制定針對高風險因素的防控措施，對于相同風險或管控相似的產品業務等要“舉一反三”。尤其在收到監管風險提示、司法查詢等情況下，要及時優化調整評估方法，充分揭示風險并督促業務職能部室將管控措施落實到位，形成自評估后管理機制。

（作者單位：上海農商銀行合規內控部）

責任編輯：楊生恒ysh1917@163.com

①國際刑警組織《全球詐騙評估報告》、世界經理論壇《2024年全球風險報告》等。

②《關于完善反洗錢、反恐怖融資、反逃稅監管體制機制的意見》《打擊治理洗錢違法犯罪三年行動計劃（2022-2024年）》等。

③《法人金融機構反洗錢分類評級管理辦法（試行）》《法人金融機構洗錢和恐怖融資風險管理指引（試行）》等。