请点击上方关注，点击下方“在看”
文/袁娟斌、黄冠鸿 上海锦天城律师事务所
邱健熙 广东能源集团财务有限公司
本文载于《中国银行业》杂志2021年第9期
导语：金融机构开展洗钱风险自评估工作，是一项源自反洗钱监管规范性文件的合规义务，也是反洗钱合规管理活动的一项重要内容。
近年来监管部门不断强化“风险为本”的监管理念，持续加大对金融机构存在的洗钱违法违规行为的惩处力度。2020年全年，央行公布的反洗钱罚单达733笔，与2019年相比上升近25%，共涉及417家机构及相关责任人。罚单金额累计约6.28亿元，约为2019年的3倍。其中，反洗钱大额罚单数量增长明显。2020年度共有20笔超500万元的大额罚单，约为2019年的7倍。有10笔处罚金额超千万元的大额罚单，主要针对金融机构和支付机构。
与此同时，反洗钱法律体系也正逐步健全。2021年6月1日，中国人民银行发布通知，就《中华人民共和国反洗钱法（修订草案公开征求意见稿）》（以下简称《反洗钱法修订草案》）公开征求意见，这意味着反洗钱监管的强化将在国家司法层面得到进一步支撑。根据《反洗钱法修订草案》的规定，评估洗钱风险状况并制定相适应的风险管理措施将成为金融机构的反洗钱法定义务之一，这既填补了我国反洗钱法律体系中关于洗钱风险自评估机制的空白，也明确将洗钱风险自评估的要求提升至部门规章位阶。2021年初，《法人金融机构洗钱和恐怖融资风险自评估指引》（银反洗发〔2021〕1号，以下简称《自评估新规》）的出台，正是意在指导法人金融机构落实有关洗钱和恐怖融资风险自评估工作要求，加快反洗钱工作由“规则为本”转向“风险为本”。
《自评估新规》要求，法人金融机构应于2021年内按照《自评估新规》要求制定或修改其洗钱风险自评估制度，在2022年底前完成符合《自评估新规》规范的首次自评估。那么，金融机构如何以新规为指引，做好洗钱和恐怖融资风险自评估？
自评估相关监管政策不断强化
金融机构开展洗钱风险自评估工作，是一项源自反洗钱监管规范性文件的合规义务，也是反洗钱合规管理活动的一项重要内容。洗钱风险自评估，指的是义务机构对本机构开展的洗钱风险评估。其内涵是义务机构采取适当步骤识别和评估其面临的洗钱和恐怖融资风险（关于客户、国家或地域，以及产品、服务、交易或交付渠道）。我国现阶段已形成了区域洗钱风险评估、中国人民银行对义务机构风险评估、义务机构风险自评估的洗钱风险评估机制。
以中国人民银行2014年下发的《金融机构反洗钱监督管理办法（试行）》为标志，洗钱风险自评估首次在国务院部门规范性文件层级的文件中被明确规定。但上述《金融机构反洗钱监督管理办法（试行）》及其后的《中国人民银行办公厅关于落实〈金融机构反洗钱监督管理办法（试行）〉有关事项的通知》《关于完善反洗钱、反恐怖融资、反逃税监管体制机制的意见》等规定，均未就洗钱风险自评估做出体系化的规定，直至中国人民银行反洗钱局于2018年9月30日印发《法人金融机构洗钱和恐怖融资风险管理指引》（银反洗发〔2018〕19号，以下简称19号文），才首次在监管规范性文件层面规定了洗钱风险评估的制度框架体系，为金融机构建立洗钱风险评估制度提供了原则性指引。
2021年初《自评估新规》出台的背后有国际国内双重因素：一是国际方面，反洗钱金融行动特别工作组（FATF）《互评估报告－中国－2019》认为：中国在技术合规性指标之“建议1评估风险与适用风险为本的方法”指标，取得“大部分合规”的评级，但在11项直接结果指标中的“10.4 预防措施”的评级为“低效（LE）”。在相应关键发现部分，FATF认为，虽然中国的金融机构对其反洗钱及反恐怖融资义务的理解程度令人满意，但对洗钱风险缺乏充分的理解，普遍不能针对不同的风险情形采取相应的风险缓释措施。因此，FATF建议中国应加强金融机构风险评估的稳健性，以确保风险评估能真实地反映出金融机构的实际洗钱威胁和该机构面临的洗钱风险暴露状况。二是国内方面，实践中，金融机构对洗钱风险认识不够深入，还不能有效按照“风险为本”的原则对不同风险情形采取相应的措施。近年来，央行特别强调将加强与金融监管部门的协调配合，继续保持强监管势头，督促金融机构切实提高反洗钱合规水平和风险管理能力。
《自评估新规》对标国际标准，从法人金融机构角度，围绕总体要求、评估内容、流程和方法、结果运用和管理等方面，为法人金融机构开展洗钱风险自评估提供了一套体系化的指引。根据《自评估新规》的规定，洗钱风险自评估的评估内容包括固有风险评估、控制措施有效性评估和剩余风险评估，详见下图所示。其评估步骤是先评估出固有风险等级和控制措施有效性等级，通过固有风险与控制措施有效性二维矩阵方式对照计算机构剩余风险等级，详见下表所示。
洗钱风险评估方法论
固有风险与控制措施有效性二维矩阵表
金融机构如何落实洗钱风险自评估
虽然《自评估新规》对自评估提供了较为完整的评估方法论，但在落地实施评估指标体系和评分标准时，金融机构仍面临不小挑战，因为《自评估新规》仅提供方向性内容，金融机构须结合自身实际情况制定自评估制度，并研究确定完整的指标体系和评分标准，以下为一些做法建议：
明确洗钱风险自评估的职责分工及工作流程。根据《自评估新规》的规定，洗钱风险自评估工作需要金融机构各部门人员协调配合，是一项涉及面广、工作内容细的系统工程。其相关工作内容涵盖成立自评估工作组、配置资源和人员、研究确定或更新评估指标和方法、信息收集与处理、开展评估工作的流程、管理和运用评估结果等多个方面，而且洗钱风险自评需要持续、动态地开展。因此，为使洗钱风险自评估工作机制有效地运作，需要一套职责分工明确、各部门人员职责清晰、工作内容和工作流程完善的洗钱风险自评估制度予以支撑。
笔者注意到，反洗钱内控健全情况和内部审计发现缺陷等已成为反洗钱监管的重点事项之一。比如，部分中国人民银行分支机构在根据《法人金融机构反洗钱分类评级管理办法（试行）》组织开展的反洗钱分类评级工作的考评标准中，将反洗钱内部控制制度存在“照搬法律法规条文”“职责分工不明确”“流程不完善”等情形，规定为有关反洗钱分类评级指标的扣分事项。根据《反洗钱法修订草案》的规定，未建立健全或未有效实施反洗钱内部控制制度规定将被规定为反洗钱的处罚事由。因此，金融机构须注意提升对健全反洗钱内控制度要求的理解与认识，关注洗钱风险自评估工作与其他反洗钱内控制度及反洗钱工作之间的联系，并作出统一安排和完善。
督导各业务部门强化反洗钱风险控制意识。根据《自评估新规》第二十一条的规定，金融机构洗钱风险评估领导小组应当组织协调自评估整体工作，指导相关业务条线、部门、分支机构按照评估方案承担本部门、本机构的自评估职责，确保自评估的客观性与相对独立性。各条线、部门、分支机构应充分梳理和反映自身面临的洗钱风险和反洗钱工作存在的困难与脆弱性，提供自评估工作所必需的数据、信息和支持。这一规定与19号文第十五条关于业务部门应承担识别、评估、监测本业务条线洗钱风险的职责要求相呼应，是反洗钱作为金融机构的全员性义务的体现，即金融机构各条线、部门、分支机构均应承担相应的反洗钱职责。
在实践中，如何有效提升业务部门的风险控制意识、推动业务部门主动履职，成为金融机构反洗钱牵头管理部门须解决的又一难题。《自评估新规》在监管要求层面强调业务部门应承担本部门、本机构自评估职责，该要求有助于推动金融机构业务部门更加重视自身的反洗钱职责，也有助于为金融机构反洗钱牵头管理部门有效推动各业务部门主动履职排除部分阻力。
提升金融机构与第三方专业机构的协同。《自评估新规》第二十一条规定，金融机构不得将自评估工作完全委托或外包给第三方专业机构完成，其聘请的第三方专业机构仅能进行评估方案、指标与方法的起草和内外部信息收集整理等辅助性工作，评估过程中对各类固有风险、控制措施有效性及剩余风险的讨论、分析和判断应由领导小组、反洗钱牵头部门及各条线、部门、分支机构主导完成。《自评估新规》要求金融机构不得将洗钱风险自评估工作全部外包，其目的之一是促使金融机构各条线、部门、分支机构充分参与洗钱风险自评估工作。对于第三方专业机构而言，则需要考虑如何在合规前提下，协助金融机构实际建立一套可持续、可落地的洗钱风险自评估机制。如何充分调动各部门资源、协调内外部人员通力配合协作，将是自评估工作过程中须应对解决的重要问题。
制定全面的洗钱风险自评估指标和评估模型。根据《自评估新规》的规定，开展洗钱风险自评估应当遵循全面性原则，即应当确保洗钱风险自评估覆盖本机构所有经营地域、客户群体、产品业务（含服务）、交易或交付渠道；覆盖境内外所有与洗钱风险管理相关的分支机构及总部有关部门；充分考虑各方面风险因素，贯穿决策、执行和监督的全部管理环节。因此，支撑金融机构开展洗钱风险自评估的评估指标和评估模型应当注意符合全面性原则，建议原则上至少将《自评估新规》提出的考虑因素纳入评估指标体系的范围，将考虑因素细化为评估指标，转化成日常作业要求或管控要求，通过定量和定性方式予以评估。《自评估新规》从固有风险和控制措施有效性两个层面提供了多个维度的考虑因素，这些因素将有助于金融机构多维度地识别和监测洗钱风险及控制薄弱环节。
尽快开展产品业务的梳理工作。在实践中，大部分金融机构在新产品业务、服务上线前能够基于监管规定的要求开展评估工作，其中包含洗钱风险评估。但在针对现有产品业务、服务的洗钱风险评估机制方面，有的仍未建立制度和流程，未定期或不定期开展洗钱风险评估。其主要原因，首先是并非所有金融机构均具备开展产品业务、服务洗钱风险评估方面的经验与能力；其次是因为监管指引层面暂无适用于全部反洗钱义务机构的体系化的评估指引，在现行的反洗钱相关规定中，仅有《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》和19号文就业务洗钱风险评估作出了原则性的规定和安排。笔者认为，开展产品业务的梳理工作将有助于金融机构（尤其是业务部门）识别本条线、业务的洗钱风险情况。金融机构开展洗钱风险自评估须确保全面覆盖各风险维度及风险因素，而以业务/业务条线作为最小评估单元，有利于实现全覆盖要求，并可以深入了解各产品业务的剩余风险情况和机构整体剩余风险情况。
（本文原载于《中国银行业》杂志2021年第9期）
微信征稿启事
《中国银行业》由中国银保监会主管、中国银行业协会主办，是目前唯一一本带有全行业性质的公开刊物，是沟通监管部门和机构的纽带，是行业交流的平台，也是社会了解银行业的窗口。目前《中国银行业》杂志微信公众号已开通征稿邮箱，面向广大读者征稿。我们期待您的稿件。
微信投稿邮箱：zgyhy001@163.com
关注更多精彩内容
本文首发于微信公众号：中国银行业杂志。文章内容属作者个人观点，不代表和讯网立场。投资者据此操作，风险请自担。
（责任编辑:张泓杨）