观点 I 中国反洗钱外部审计咨询机构如何求发展
图片来源：财新/IC Photo
行业的现状及作用
一、行业现状：既开放，又竞争
中国第三方机构的发展是应市场需求自发而生，因为中国的反洗钱法律法规，并没有规定金融机构反洗钱工作必须经第三方机构鉴证。金融机构根据自身意愿选择第三方机构提供服务。当前第三方机构的布局和发展呈现“百花齐放”的状态。
1、行业组成多元化
目前在业内开展反洗钱外部审计、咨询业务的有：以“四大”咨询机构为代表的第一方阵；以国内的律师事务所、会计师事务所为第二方阵；以银丰新融等反洗钱软件开发商为代表的第三方阵；以反洗钱从业者注册的咨询公司为代表的第四方阵。因为中国对第三方机构没有相关准入规定，所以第二、三、四方阵的数量并没有准确数字，理论上存在无限扩容的可能性。
2、业务开展多样化
目前第一、二、三、四方阵等第三方机构开展的业务种类基本趋同，主要包括：反洗钱分类评级、反洗钱外部审计、机构洗钱风险评估、反洗钱模型咨询（可疑交易模型、客户洗钱风险等级划分模型、产品或业务洗钱风险评估模型）、风险管理框架及制度咨询、检查整改、反洗钱培训等。由于各家第三方机构的背景和擅长领域不同，开展的业务略有侧重和不同。例如：第一方阵——“四大”咨询公司，因其具有国际背景，偏重于有海外分支的大型金融机构；第二方阵——国内的律师事务所、会计师事务所，因其受自身专业范围限制，偏重于中小金融机构反洗钱法规咨询或审计中的某一方面；第三方阵——银丰新融等反洗钱软件开发商，因其有强大的科技背景，更加擅长数据治理和反洗钱模型咨询；第四方阵——咨询公司，因其从业人员专业背景并不明确，其专业能力不能得到准确评价。
值得注意的是，与国外的第三方机构相比较，第三方机构很少接受中国反洗钱监管部门的指定开展具体的业务。
3、服务费收费两极化
当前，金融机构自愿委托第三方机构开展反洗钱有关业务。服务费是金融机构与第三方机构以市场化的方式达成的，一种是根据委托方的集采规则以招投标方式确定；一种是采取竞价谈判的方式确定；一种是打包在另一个服务项目之中的方式确定；一种是以工时，所耗费的人、天收费确定，这种一般适合临时的、紧急的项目。
从业内了解的情况看，第三方机构收费金额差距较大。第一方阵收费金额可达到百万级别；第二、三、四方阵是几十万级别，同样的一种业务可能会有几倍的差异。原因可能是第一方阵——“四大”咨询公司的品牌和示范效应。
二、行业作用：既积极，又有限
目前从金融机构委托第三方机构已经开展的业务看，主要有法人洗钱风险评估、数据治理、产品或业务洗钱风险评估、执法检查整改等，委托第三方机构开展反洗钱工作全面审计或测试业务的较少。即使这样，第三方机构还是在一定程度上促进了中国金融机构的反洗钱工作。
1、促进金融机构反洗钱专业水平
从中国第四轮互评结果看，在反洗钱、反恐怖融资预防措施方面，评估组给出的评价不高，充分说明中国金融机构反洗钱专业性不足的现状。特别是中国金融机构众多，风险管控能力千差万别，金融机构对超出自身反洗钱工作能力和无法及时完成的工作，委托第三方机构开展这类业务，能够促进金融机构反洗钱专业水平，提高金融机构反洗钱工作有效性。例如，第三方机构可以协助金融机构，在执法检查后开展整改工作，这具有积极而又典型的正面意义。
2、提高金融机构反洗钱从业人员技能
金融机构反洗钱工作水平的高低，一方面取决于金融机构董、监、高的重视程度，以及对反洗钱工作的资源投入情况；另一方面取决于有没有一支专业的反洗钱队伍。金融机构在委托第三方机构开展反洗钱业务过程中，无形地构建了思想交流的平台，金融机构反洗钱人员可向第三方机构专业人士学习业内先进经验，从而提高金融机构反洗钱从业人员技能。
3、间接弥补监管资源不足的效果有限
从笔者掌握的信息看，某省反洗钱监管部门开展过社会第三方反洗钱监管审计服务试点。被审计的是某村镇银行，由其上级委托某会计师事务所承担审计任务，审计结果向监管部门负责，某会计师事务所同时还承担某村镇银行的会计财务信息的审计服务。
另外，也有个别地区反洗钱监管部门让第三方机构参与金融机构的反洗钱分类评级工作，但监管人员仍会对第三方机构评级结果进行初评和复评，并没有减少监管工作量，目的较为模糊。
除此之外，笔者没有掌握更多的此类信息，说明当前第三方机构在反洗钱监管审计、咨询等服务方面，间接弥补监管资源不足的效果有限。
行业存在的问题
一、约束第三方机构的行业自律或法规缺失，先天不足
1、尚未就反洗钱专业条线出台执业准则，行业标准缺失
在中国反洗钱法律法规层面，没有要求金融机构必须委托第三方机构开展反洗钱工作的审计或咨询。第三方机构的主管部门也未就反洗钱专业条线出台相关的审计、咨询准则或标准。第三方机构处于“自由生长”的阶段，第三方机构出具的审计或咨询报告良莠不齐，如果有些金融机构反洗钱专业和辨别能力差，容易导致“走火入魔”，长期以往不利于金融机构提高反洗钱工作的有效性，不利于第三方机构行业的发展，不利于提高中国反洗钱工作整体水平。
2、对同一家机构开展的业务全能化，缺少独立性
FATF发布的指引规定，“独立审计或测试应由不参与本机构反洗钱、反恐怖融资计划制订和执行的内部审计部门、外部审计、专业顾问或其他机构作出”。由此推论，如果某金融机构委托某第三方机构做过反洗钱内控流程、反洗钱分类评级、反洗钱模型咨询（可疑交易模型、客户洗钱风险等级划分模型、产品或业务洗钱风险评估模型）、风险管理框架及制度咨询等咨询业务，那就不宜再委托该机构开展反洗钱外部审计和机构洗钱风险评估；另外，如果某第三方机构承担某金融机构的会计财务信息审计，这家第三方机构不宜承担某金融机构的反洗钱咨询业务，反之皆然。否则，第三方机构有可能丧失独立性。当前有些第三方机构在业内并没有严格遵循这些原则，既当“运动员”，又当“裁判员”，影响了独立性和公允性。
3、业务成果的作用有限，专业性不足
既然反洗钱法律法规没有要求金融机构必须委托第三方机构做鉴证，第三方机构能够在业内生存，是凭借高出他人一截的专业水平。如果金融机构委托第三方机构开展过独立审计或咨询业务，监管方现场检查仍指出开展过独立审计或咨询涉及业务内较多的问题（第三方机构指出问题，金融机构不整改除外），甚至金融机构因此被行政处罚，那说明第三方机构专业性不足，业务成果的作用有限。金融机构相当于“花钱打水漂，事儿没铲掉”。在笔者的执法检查实务中，遇到过这种现象。
4、从业人员专业技能不足，专业人才匮乏
自2007年反洗钱法颁布施行以来，银、证、保行业均开展反洗钱工作。中国反洗钱事业经过十多年的发展，全国反洗钱人才仍旧匮乏。《上海金融领域“十三五”紧缺人才开发目录》将合规与反洗钱人才列入了最高级别的极度紧缺等级。有业内人士测算，目前反洗钱人才缺口达22万-25万名。在这样的条件下，第三方机构很难招聘到大量的反洗钱专业人才，也很难招聘到较多超一流的人才，第三方机构和金融机构一样，也面临着专业人才匮乏、从业人员专业技能不足的窘境。据笔者了解的现实情况是，在第三方机构从事反洗钱专业十年以上的人才少之又少，况且高端反洗钱人才需要了解或掌握会计、法律、金融、国际贸易、计算机等方面的专业知识。
二、金融机构对第三方机构认知存在误区，定位不准
1、对第三方机构工作结果期望值过高
从笔者目前掌握的第三方机构开展的业务实际效果看，有些金融机构对第三方机构期望值过高，或者说定位出现偏差。以为找个有名的第三方机构做过咨询就万事大吉，能够解决所有存在的问题。岂不知这种“花大钱，傍名牌，贴标签”想法，不能收到期望的效果。一方面，第三方机构有自身的专业局限性，并不能把委托方委托的项目做到十全十美；另一方面，第三方机构给出的意见或指出的问题，需要委托方完完全全地去落实才会达到应有的效果，而不是拿到第三方机构的一个审计或咨询报告就高枕无忧了。
2、缺乏客户信息和交易信息保护意识
《金融机构反洗钱规定》第十五条规定，“金融机构及其工作人员对依法履行反洗钱义务获得的客户身份资料和交易信息应当予以保密；非依法律规定，不得向任何单位和个人提供。”从此法条看，即使金融机构和第三方机构签署保密协议，金融机构仍需对客户信息和交易信息“脱敏”处理后，才能将上述信息交给第三方机构使用。值得注意的是，如果第三方机构跨境经营的，金融机构还得防止客户信息和交易信息被传递到境外。如果金融机构从事涉及国家安全的业务，更应重视保密工作。从笔者掌握的信息看，有些金融机构并没有上述防范意识。
三、“本土”第三方机构发展孱弱，难于占据高端市场
从目前市场情况看，“四大”咨询公司占据了国有商业银行、股份制银行、外资银行、大型城市商业银行、大型券商、大型基金公司、大型人身险公司等金融机构的市场。第二、三、四方阵第三方机构很难进入上述市场。据了解，银丰新融凭借其科技实力承接了部分股份制商业银行、大型城市商业银行数据治理等方面的咨询项目。导致这种情况的原因，一是“四大”咨询公司的品牌效应，二是“四大”咨询公司人才配备、专业水平超过“本土”第三方机构。反观“本土”第三方机构，一是没有发挥出更了解中国金融机构反洗钱实务的优势；二是没有吸引到顶级的反洗钱专业人才；三是没有形成品牌效应；四是没有形成规模优势。“本土”第三方机构发展孱弱，难于占据高端市场。
政策建议
1、出台指引，以便配套反洗钱主管部门颁布的法规
中国人民银行反洗钱局发布的《关于印发〈法人金融机构洗钱和恐怖融资风险管理指引（试行）〉的通知》（银反洗发〔2018〕19号）第五十九条规定，“法人金融机构委托外部审计机构对洗钱风险管理工作开展评价的，外部审计必须确保审计范围和方法科学合理，审计人员具有必要的专业知识和经验……”既然反洗钱主管部门法规使用外部审计的概念，为满足这些条件，第三方机构主管部门应结合中国反洗钱工作的实际情况，严格按着外部审计原则，出台相关的审计指引或执业准则，并对审计人员的资质提出要求，以便对第三方机构的行为进行规范，这有利于第三方机构的发展。
另外，反洗钱主管部门也可考虑参考美国的经验，修改或重新解释《关于印发〈法人金融机构洗钱和恐怖融资风险管理指引（试行）〉的通知》（银反洗发〔2018〕19号）第五十九条，不使用外部审计的概念，使用外部独立测试的概念，以便更多第三方机构能开展此类业务，也符合“放、管、服”的营商环境。
2、形成合力，建立对第三方机构的市场监督机制
第三方机构工作成果质量的优劣，是其能否存在的生命线，如果其工作成果质量低劣，不利于该行业的发展。为促使第三方机构的工作成果真实、专业、有效，反洗钱监管部门和金融机构应形成合力，建立对第三方机构的监督机制。即监管方现场检查时，应检查金融机构委托第三方机构所做的项目。如果第三方机构所做项目涉及业务结果和检查结果差异较大，监管方应告知被查金融机构。被查金融机构根据监管方通报的结果，自行斟酌是否继续委托该第三方机构开展反洗钱外部审计或咨询业务。金融机构本身也应考虑对第三方机构工作成果的质量进行检验，如果本身不具备检验能力，可采取相似的项目先后不同时间点委托不同第三方机构的方式。
3、行业自律，第三方机构主动声明或规避独立性原则
为促进第三方机构行业健康发展，维护第三方机构行业形象，第三方机构行业内应形成行业自律，第三方机构主动声明或规避独立性原则。即某第三方机构为某金融机构做过反洗钱分类评级、反洗钱模型咨询（可疑交易模型、客户洗钱风险等级划分模型、产品或业务洗钱风险评估模型）、风险管理框架及制度咨询等反洗钱咨询业务，就不应再接受委托对该金融机构进行外部独立审计、独立测试或反洗钱业务全面风险评估等，甚至包括第三方机构不能再承担的会计报表审计服务。反之亦然。作为委托方的金融机构也应主动审视第三方机构的独立性，考虑第三方机构缺乏独立性带来的负面影响。
4、找好定位，金融机构正确对待第三方机构的作用
从国际、国内的情况看，第三方机构在反洗钱事业中都是不可或缺的一环。金融机构要注意的是，找好定位，委托第三方机构从事反洗钱业务，不应期望第三方机构帮助金融机构解决一切问题，第三方机构更多的是扮演“参谋”的角色，金融机构是最终决策和承担将反洗钱法律法规执行到位的第一责任人，履行反洗钱法规定的义务。金融机构不应有“花钱”找第三方机构承担本应自己承担工作的思想。应该是在委托项目中，学习第三方机构的反洗钱先进工作经验，不断增强本机构人员的专业性。另外，值得注意的是，金融机构应创造有利环境，让第三方机构能够如实、专业、有效地完成委托项目。
5、紧练内功，“本土”第三方机构要不断发展壮大
处于第二、三、四方阵的“本土”第三方机构，一方面“内部挖潜”，大力培养本机构从业人员，另一方面“眼睛向外”，聘请国内顶级反洗钱人才加入。“本土”第三方机构应珍惜受托的每一个项目，不能仅把做项目看做“生意”，在干中学，在学中干，不断增强自身的专业性；同时，严格遵守行业规则和各项法律规定，注重品牌效应，不断地发展壮大，“中国的事情终究要靠自己解决”。
6、缺乏依据，第三方机构从事与监管有关业务值得商榷
鉴于目前中国第三方机构的现状，以及存在的问题，笔者认为，除反洗钱监管部门本身付费委托第三方机构外，其他任何形式的直接或间接让第三方机构从事与监管有关的业务都值得商榷。原因一是反洗钱监管部门没有法律依据利用第三方机构的工作成果，不能因金融机构委托第三方机构做过什么项目，就可以延长金融机构的监管周期；二是反洗钱监管部门不能准确评价某第三方机构专业性和职业操守，也就不能因某金融机构委托过某第三方机构，对某金融机构某项工作增信，而减少法定的监管措施或程序；三是如果反洗钱监管部门组织或认定某第三方机构可以从事与反洗钱监管有关的业务，会涉嫌为某第三方机构“背书”，容易引发不正当竞争。
7、未来可期，第三方机构可从事的业务将更加广阔
随着中国改革开放的大门越开越宽，法治化、制度化建设不断推进，最终中国反洗钱外部审计、咨询模式将与世界通行做法接轨。时机成熟后，第三方机构不但可接受金融机构委托开展业务，还有可能接受监管方指定，从事执法检查后的整改和验收业务，甚至担任独立检查员的任务，第三方机构可从事的业务将更加广阔。
作者：刘丽洪 中国人民银行营业管理部
（注：本文原载于财新网。本文已获作者授权发布。文中所述仅代表作者个人观点。）
更多阅读：
观点 I 反洗钱行政处罚重灾区：金融机构与身份不明的客户进行交易
道琼斯公司（Dow Jones）创建于1882年，旗下有道琼斯指数、Barron's、WSJ、MarketWatch、Factiva、VentureSource、Risk & Compliance等品牌。“道琼斯风险合规”是全球风险与合规服务品牌。本公众号由道琼斯风险合规中国团队运营。欢迎您关注公众号或联系：Johnson.Ma@dowjones.com