金融机构洗钱风险的公司治理 ——基于中国“一行两会”反洗钱监管规则的视角
原创声明丨本文作者为金融监管研究院 专栏作者 汪灵罡。欢迎个人转发，谢绝媒体、公众号或网站未经授权转载。
作者简介：中国律师资格，美国认证反洗钱专家（CAMS），上海国际经济贸易仲裁委员会仲裁员。历任澳大利亚和新西兰银行、英国渣打银行、德意志银行、美国摩根大通银行合规官。2013-2015年任德国商业银行中国区合规总监，2017-2019年任美国贝莱德基金中国区合规总监。
金融机构洗钱风险的公司治理
——基于中国“一行两会”反洗钱监管规则的视角
汪灵罡
目录
一、董事会授权下的职责分工：反洗钱委员会和反洗钱高级管理人员
1.1 董事会承担洗钱风险管理的最终责任
1.2董事会授权“洗钱风险管理专门委员会”
1.3董事会授权“负责洗钱风险管理工作的高级管理人员”
1.3.1“反洗钱主管部门负责人”和“负责洗钱风险管理工作的高级管理人员”
1.3.2 “负责洗钱风险管理工作的高级管理人员”的职责
二、反洗钱管理部门与业务部门在洗钱风险管理中的职责衔接
2.1反洗钱管理部门责任：牵头开展、推动落实
2.2 业务部门承担洗钱风险管理的直接责任
2.3 反洗钱管理部门与业务部门的职责衔接
三、董事会与高级管理层在洗钱风险管理中的角色
3. 1 谁是金融机构业金融机构高级管理层
3.1.1 银行业高级管理层
3.1.2 证券投资基金业高级管理层
3.1.3 证券公司高级管理层
3.1.4 保险公司高级管理层
3.2银行高级管理层具体洗钱风险管理职责
3.3 高级管理层负责落实董事会洗钱风险管理决议
四、洗钱风险管理中职能部门配合与资源分配
4.1 职能部门在洗钱风险管理中的相互支持
4.2 业务部门配备专职/兼职洗钱风险管理岗
五、金融机构洗钱风险管理的内部监督
5.1 监事会/监事监督董事会和高级管理层
5.2 洗钱风险管理的银行内外和外部审计
5.2.1 年度内部审计
5.2.2 委托外部审计
六、洗钱风险管理相关信息与数据处理
6.1 身份资料和交易记录保存期限
6.2 反洗钱信息跨境提供法规限制
6.3 反洗钱信息内部信息共享制度
在金融机构洗钱风险管理中，厘清和认定相关职能部门及个人的义务责任，既是合规管理，亦是公司治理。
反洗钱是一个“从端到端（from end to end）”的有机整体，涉及内部政策建章立制、客户身份识别、客户风险等级分类、客户身份资料和交易记录保存、产品风险测试、制裁名单过滤、日常大额交易报告、特定可疑交易分析、核心交易系统与可疑监控系统的交互、可疑交易模型优化、员工培训、风险管理有效性评估、接收监管检查并落实整改等各个环节；在华外资金融机构，还必须同时履行母国反洗钱监管机构规定的义务。
由于洗钱风险管理“从端到端（from end to end）”的特性，在每一个环节都必然涉及到金融机构内部多个部门之间的协助、配合，那么每一个环节的牵头部门和责任人是谁？专有的反洗钱风险管理部门在这些环节的相互衔接中，该发挥怎样的功能？董事会、公司高管层、首席反洗钱官/反洗钱负责人及业务部门，各自的使命和责任如何量化？这些问题并没有一成不变的答案，既要根据反洗钱监管法规循规蹈矩，更要根据各金融机构各自业务特点因时因地制宜。
一、董事会授权下的职责分工：反洗钱委员会和反洗钱高级管理人员
1.1 董事会承担洗钱风险管理的最终责任
董事是股东的代表，董事会是股东会之下的公司经营管理常设机构。《公司法》要求:“董事会设董事长一人，可以设副董事长。董事会对股东会负责。”[1]
中国人民银行《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）规定：“法人金融机构董事会承担洗钱风险管理的最终责任”[2]。这短短22个字，重若千钧。此外，《银行业金融机构反洗钱和反恐怖融资管理办法》（中国银保监会令[2019]第1号）也规定：“银行业金融机构董事会应当对反洗钱和反恐怖融资工作承担最终责任。”[3]中国银保监会及中国证监会都不约而同地要求银行业[4]、保险业[5]及证券业[6]金融机构的董事会对合规风险承担最终责任，而洗钱风险也是合规风险的组成部分之一。一行两会在“董事会承担反洗钱最终责任”上的监管要求是逻辑一致、彼此自洽的。
然而，董事会的职责范围覆盖公司经营管理的方方面面，董事们不可能日常地对洗钱风险管理的众多技术性细节进行讨论和决策，于是“保留最终审批权+适当授权+听取/审阅报告”便成为董事会洗钱风险管理的主要方法。
1.2董事会授权“洗钱风险管理专门委员会”
董事会可以下设专门的“洗钱风险管理委员会（AML Risk Management Committee）” [7]，将部分洗钱风险管理职责（如审定洗钱风险管理策略、审批洗钱风险管理的政策和程序）授权给“洗钱风险管理委员会”行使。“洗钱风险管理委员会”负责向董事会提供洗钱风险管理专业意见。
有效的洗钱风险管理，应当是一个金融机构各职能部门充分参与、反复推演的整体，而不是仅由反洗钱部门制定政策，然后交付给其它业务和产品部门遵守的被动过程。“洗钱风险管理委员会”成员来自于各前台业务部门和中后台业务支持部门，各部门在委员会中都有自己的代表，有利于全面充分识别洗钱风险，判断风险控制措施的适当性、可行性并评估其有效性。
1.3董事会授权“负责洗钱风险管理工作的高级管理人员”
中国人民银行[8]及中国银保监会[9]监管法规都要求，董事会应任命或授权一名高级管理人员牵头负责洗钱风险管理，直接向董事会报告洗钱风险管理情况。为避免利益冲突，反洗钱负责人不应再兼任其它可能影响有效履职的职务。“反洗钱工作高级管理人员”应具备反洗钱专业知识和较强的职业操守，同时具有5年以上合规或风险管理工作经历，或所在行业10年以上工作经历，并向中国人民银行或法人金融机构注册所在地人民银行备案[10]。
1.3.1“反洗钱主管部门负责人”和“负责洗钱风险管理工作的高级管理人员”
在中国反洗钱监管法规框架中，“反洗钱主管部门负责人（Money-laundering reporting officer）”和“负责洗钱风险管理工作的高级管理人员（Money-laundering responsible officer）”是两个并行不悖的概念，各有其法律地位。其实早在2017年中国人民银行颁布的《法人金融机构反洗钱分类评级管理办法（试行）》（银发[2017]1号）[11]中，就已经清晰地区别了“反洗钱主管部门负责人”和“主管反洗钱工作高级管理人员”:
“第十二条 中国人民银行及其分支机构根据法人金融机构评级结果，可以采取质询、约见谈话、监管走访、现场检查等有针对性的监管措施…
（二）约见谈话。A类、B类机构可以仅约谈单位反洗钱主管部门负责人，C类及以下机构应当约谈单位主要负责人或主管反洗钱工作高级管理人员。
（三）监管走访。A类、B类机构可以仅访问单位反洗钱主管部门负责人，C类及以下机构应当访问单位主要负责人或主管反洗钱工作高级管理人员。”
可见，反洗钱监管部门对“反洗钱主管部门负责人”和“主管反洗钱工作高级管理人员”的定位有显著的差别：
（1）“反洗钱主管部门负责人”着力的是对反洗钱法规和交易监控、分析等日常执行；而“反洗钱工作高级管理人员” 更多是从公司治理角度强调金融机构落实反洗钱义务、承担履行不力的责任；
（2）将“反洗钱工作高级管理人员”与“单位主要负责人”并列，显然是期望前者能够在法人金融洗钱风险管理体系中起到更重要的管理作用;
（3）若金融机构的反洗钱评级结果很差，“单位主要负责人”和“反洗钱工作高级管理人员”可能一起被中国人民银行采取监管措施。
1.3.2 “负责洗钱风险管理工作的高级管理人员”的职责
关于“负责洗钱风险管理工作的高级管理人员”的职责范围，中国人民银行和中国银保监会反洗钱监管法规使用 “牵头负责洗钱和恐怖融资风险管理工作，有权独立开展工作，直接向董事会报告”[12] 等概括性的描述代替了具体列举。
“负责洗钱风险管理工作的高级管理人员”被董事会授权，对金融机构进行洗钱风险“从端到端from end to end”的精细过程控制，是董事会和高级管理层之间连接有效洗钱风险管理的桥梁，其综合性职责包括且不限于：
（1）清晰无误地传达董事会洗钱风险管理的决议；
（2）加入主持“反洗钱风险管理委员会”，为董事会提供咨询；
（3）督促反洗钱管理部门和业务部门履行各自反洗钱管理义务；
（4）协调反洗钱管理部门与业务部门之间的洗钱风险管理合作；
（5）及时向董事会和高级管理层报告落实和剩余风险缓释情况；
（6）组织反洗钱管理部门和业务部门评估反洗钱资源是否充分；
（7）为高级管理层起草向董事会/监事会呈递供审阅的反洗钱风险报告等。
不同类型法人金融机构的职位设置有所不同，“反洗钱主管部门负责人”和“负责洗钱风险管理工作的高级管理人员”或分立为两个独立的职位/个人，或合二为一由一人担任。从普遍的市场实践看来，中资金融机构绝大多数将之视为两个独立角色，由两人独立担任；而外资金融机构则独任或分任的做法皆有。
以法律的文义解释方法来看，将“反洗钱主管部门负责人”和“负责洗钱风险管理工作的高级管理人员”设置为两个彼此独立的职位/个人，显然更加符合监管法规的立法本意。
二、反洗钱管理部门与业务部门在洗钱风险管理中的职责衔接
2.1反洗钱管理部门责任：牵头开展、推动落实
专职反洗钱管理部门是金融机构洗钱风险管理的核心部门，上承董事会和高级管理层，平行指导业务部门，对外负责与中国人民银行反洗钱监管联络沟通。
通览中国人民银行反洗钱监管法规，尤其是《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第14条[13]，反洗钱管理部门的“牵头开展、推动落实”职责主要体现在三个方面：
（1）制定/建立制度；
（2）跨部门组织/协调；及
（3）主动报告风险及处理建议。
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号） 第14条：反洗钱管理部门职责 | |||
制定/建立 | 组织/协调 | 报告/建议 | |
1 | （一）制定起草洗钱风险管理政策和程序。 | （六）组织或协调各相关部门开展客户洗钱风险分类管理。 | （三）识别、评估、监测本机构的洗钱风险，提出控制洗钱风险的措施和建议，及时向高级管理层报告。 |
2 | （二）贯彻落实反洗钱法律法规和监管要求，建立健全反洗钱内部控制制度及内部检查机制。 | （八）牵头配合反洗钱监管，协调配合反洗钱行政调查。 | （四）持续检查洗钱风险管理策略及洗钱风险管理政策和程序的执行情况，对违反风险管理政策和程序的情况及时预警、报告并提出处理建议。 |
3 | （五）建立反洗钱工作协调机制，指导业务部门开展洗钱。 | （九）组织或协调相关部门开展反洗钱宣传和培训、建立健全反洗钱绩效考核和奖惩机制、建设完善反洗钱信息系统。 | （七）组织落实交易监测和名单监控的相关要求，按照规定报告大额交易和可疑交易。 |
2.2 业务部门承担洗钱风险管理的直接责任
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）[14]规定业务部门是洗钱风险的直接责任人，这也就意味着每一个业务部门都有义务去了解本部门洗钱风险薄弱之所在，且有义务去采取措施缓释洗钱风险，而不得将自身应承担的洗钱风险管理之责委托给或推卸给其他部门。各业务部门主管也不得以自己不具备洗钱风险管理专业知识，失察本部门之洗钱风险。
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）将业务部门直接定位于“洗钱风险的直接责任人”，与一行两会金融机构合规风险指引中规定“业务条线和分支机构的负责人应对本条线和本机构经营活动的合规性负首要责任”[15]是一脉相承的。
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号） 第15条：业务部门承担洗钱风险管理的直接责任 | ||||
制定/建立 | 开展/配合 | 报告/建议 | 资料保存 | |
1 | （二）建立相应工作机制，将洗钱风险管理要求嵌入产品研发、流程设计、业务管理和具体操作。 | （三）开展或配合开展客户身份识别和客户洗钱风险分类管理，采取针对性的风险应对措施。 | （一）识别、评估、监测本业务条线洗钱风险，及时向反洗钱管理部门报告。 | （五）完整并妥善保存客户身份资料及交易记录。 |
2 | （四）以业务（含产品、服务）的洗钱风险评估为基础，完善各项业务操作流程。 | （六）开展或配合开展交易监测和名单监控，确保名单监控有效性，按照规定对相关资产和账户采取管控措施。 | ||
3 | （七）配合反洗钱监管和反洗钱行政调查工作。 | |||
4 | （八）开展本业务条线反洗钱工作检查。 | |||
5 | （九）开展本业务条线反洗钱宣传和培训。 | |||
6 | （十）配合反洗钱管理部门开展其他反洗钱工作。 |
2.3 反洗钱管理部门与业务部门的职责衔接
“反洗钱管理部门”法定负有“建立反洗钱工作协调机制，指导业务部门开展洗钱”的工作职能，而“业务部门”是在反洗钱管理部门制定的“洗钱风险管理政策和程序”之下开展本业务条线的洗钱风险管理。
就洗钱风险管理而言，虽然“反洗钱管理部门”并不是“业务部门”的上级管理部门，但反洗钱管理部门制定并适用于业务部门的“洗钱风险管理政策和程序”及“反洗钱指导”质量的高低，直接决定了金融机构洗钱风险管理的有效性。
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号） 第14条和第15条的对比：反洗钱管理部门职责VS业务部门洗钱风险直接责任 | ||
反洗钱管理部门职责 | 业务部门承担洗钱风险管理的直接责任 | |
1 | （一）制定起草洗钱风险管理政策和程序。 | （二）建立相应的工作机制，将洗钱风险管理要求嵌入产品研发、流程设计、业务管理和具体操作。 |
（五）建立反洗钱工作协调机制，指导业务部门开展洗钱。 | ||
2 | （二）贯彻落实反洗钱法律法规和监管要求，建立健全反洗钱内部控制制度及内部检查机制。 | （八）开展本业务条线反洗钱工作检查。 |
3 | （三）识别、评估、监测本机构的洗钱风险，提出控制洗钱风险的措施和建议，及时向高级管理层报告。 | （一）识别、评估、监测本业务条线的洗钱风险，及时向反洗钱管理部门报告。 |
4 | （四）持续检查洗钱风险管理策略及洗钱风险管理政策和程序的执行情况，对违反风险管理政策和程序的情况及时预警、报告并提出处理建议。 | （四）以业务（含产品、服务）的洗钱风险评估为基础，完善各项业务操作流程。 |
5 | （六）组织或协调各相关部门开展客户洗钱风险分类管理。 | （三）开展或配合开展客户身份识别和客户洗钱风险分类管理，采取针对性的风险应对措施。 |
（五）完整并妥善保存客户身份资料及交易记录。 | ||
6 | （七）组织落实交易监测和名单监控的相关要求，报告大额交易和可疑交易。 | （六）开展或配合开展交易监测和名单监控，确保名单监控有效性，按照规定对相关资产和账户采取管控措施。 |
7 | （八）牵头配合反洗钱监管，协调配合反洗钱行政调查。 | （七）配合反洗钱监管和反洗钱行政调查工作。 |
8 | （九）组织或协调相关部门开展反洗钱宣传和培训、建立健全反洗钱绩效考核和奖惩机制、建设完善反洗钱信息系统。 | （九）开展本业务条线反洗钱宣传和培训。 |
9 | （十）配合反洗钱管理部门开展其他反洗钱工作。 |
通过法规的对比可以看出，“反洗钱管理部门”的职责范围完全覆盖了“业务部门”的直接责任范围，因此反洗钱管理部门的政策解读和实践指导能力，直接关系到金融机构是否能够将洗钱风险降到最低，是否能够最大程限度地满足反洗钱监管机构的期待。
“反洗钱管理部门”和“业务部门”职责范围定义的清晰程度、反洗钱部门负责人与业务部门主管合作的顺利程度，是衡量一家金融机构洗钱风险管理的重要标准。
三、董事会与高级管理层在洗钱风险管理中的角色
法人金融机构董事会承担洗钱风险管理的最终责任，高级管理层承担洗钱风险管理的实施责任[16]。“实施责任”即执行董事会之决议，在日常业务开展和运营中加以落实之意。
3. 1 谁是金融机构业金融机构高级管理层
不同于金融机构内部经营管理意义上的“高管人员senior management”，中国银保监会监管法规中的“金融机构高级管理层 regulatory senior managers”各有其专门的定义。
3.1.1 银行业高级管理层
银行业高级管理层是指：“金融机构总部及分支机构管理层中对该机构经营管理、风险控制有决策权或重要影响力的各类人员” [17]。
具体而言，“银行业高级管理层”包括4个层级[18]：
（1）总行董事、副董事长、董事会秘书、副行长（副总经理）、行长助理、首席运营官、首席风险控制官、首席财务官（财务总监、财务负责人）、首席技术官（首席信息官）、内审负责人、合规负责人；
（2）分行行长（总经理）、分行副行长（副总经理）、分行合规负责人；
（3）管理型支行行长；外国银行代表处首席代表；
（4）其他对经营管理具有决策权或者对风险控制起重要作用的人员。
3.1.2 证券投资基金业高级管理层
证券投资基金业高级管理层，是指：“基金管理公司的董事长、总经理、副总经理、督察长以及实际履行上述职务的其他人员，基金托管银行基金托管部门的总经理、副总经理以及实际履行上述职务的其他人员” [19]。
3.1.3 证券公司高级管理层
证券公司高级管理层，是指：“证券公司的总经理、副总经理、财务负责人、合规负责人、董事会秘书、境内分支机构负责人以及实际履行上述职务的人员。证券公司行使经营管理职责的管理委员会、执行委员会以及类似机构的成员为高管人员”[20]。
3.1.4 保险公司高级管理层
保险公司高级管理层，是指：“是指对保险机构经营管理活动和风险控制具有决策权或者重大影响的下列人员：总公司总经理、副总经理和总经理助理； 总公司董事会秘书、合规负责人、总精算师、财务负责人和审计责任人；分公司、中心支公司总经理、副总经理和总经理助理；支公司、营业部经理；与上述高级管理人员具有相同职权的管理人员”[21] 。
3.2银行高级管理层具体洗钱风险管理职责
董事长、总行行长、分行行长、支行行长是金融机构各层级高级管理层的核心，也是各层级高级管理层落实“洗钱风险管理实施责任”的组织者和领导者。
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号） 第12条：法人金融机构高级管理层承担洗钱风险管理的实施责任 | |||
制定/建立 | 组织落实 | 报告/建议 | |
1 | （一）推动洗钱风险管理文化建设。 | （四）审核洗钱风险管理政策和程序。 | （五）定期向董事会报告反洗钱工作情况，及时向董事会和监事会报告重大洗钱风险事件。 |
2 | （二）建立并及时调整洗钱风险管理组织架构，明确反洗钱管理部门、业务部门及其他部门在洗钱风险管理中的职责分工和协调机制。 | （六）组织落实反洗钱信息系统和数据治理。 | |
3 | （三）制定、调整洗钱风险管理策略及其执行机制。 | （七）组织落实反洗钱绩效考核和奖惩机制。 | |
4 | （八）根据董事会授权对违反洗钱风险管理政策和程序的情况进行处理。 | ||
5 | （九）其他相关职责。 |
3.3 高级管理层负责落实董事会洗钱风险管理决议
董事会是金融机构的决策机构而非日常议事机构，董事会召开需要遵循《公司法》和金融机构公司章程规定的程序，只讨论并决策银行经营管理中的重大问题，而不是事无巨细地过问操作性、技术性细节。
如何落实董事会洗钱风险管理的相关决议，并没有固定不变、不可移易的模式，高级管理层有权灵活机动地根据业务条线实际情况，汲取市场最佳实践，决定具体落实的方式方法、步骤程序、责任人员、报告频率、奖惩机制、风险处置。
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号） 第10条和第11条的对比：董事会最终职责VS高级管理层实施责任 | ||
董事会最终职责 | 高级管理层实施责任 | |
1 | （一）确立洗钱风险管理文化建设目标。 | （一）推动洗钱风险管理文化建设； |
2 | （二）审定洗钱风险管理策略。 | （三）制定、调整洗钱风险管理策略及其执行机制； |
3 | （三）审批洗钱风险管理政策和程序。 | （四）审核洗钱风险管理政策和程序； |
4 | （四）授权高级管理人员牵头负责洗钱风险管理。 | （二）建立并及时调整洗钱风险管理组织架构，明确反洗钱管理部门、业务部门及其他部门在洗钱风险管理中的职责分工和协调机制； |
5 | （五）定期审阅反洗钱工作报告，及时了解重大洗钱风险事件及处理情况。 | （五）定期向董事会报告反洗钱工作情况，及时向董事会和监事会报告重大洗钱风险事件； |
6 | （六）其他相关职责。 | （六）组织落实反洗钱信息系统和数据治理； |
7 | （七）组织落实反洗钱绩效考核和奖惩机制； | |
8 | （八）根据董事会授权对违反洗钱风险管理政策和程序的情况进行处理； | |
9 | （九）其他相关职责。 |
从监管法规列明的职责范围对比可以看出，董事会的洗钱风险管理责任主要以最终决定权来体现，而银行高级管理层的责任集中体现在具体政策的执行和风险时间的报告之中。无疑，“负责洗钱风险管理工作的高级管理人员”在董事会和高级管理层之间不可或缺地扮演着上传下达、组织协调的牵头[22]工作。
四、洗钱风险管理中职能部门配合与资源分配
4.1 职能部门在洗钱风险管理中的相互支持
“从端到端（from end to end）” 的洗钱风险管理，前中后台不同职能部门之间、总行和分行之间的密切配合、资源合理分配至关重要。
《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号） 第16/18/19/22条 | ||||
风险管理部门 | 人力资源部门 | 信息科技部门 | 其他部门 | |
1 | - 将洗钱风险纳入全面风险管理体系。 - 洗钱风险管理策略应当与其全面风险管理策略相适应。 | - 负责洗钱风险管理的人力资源保障，结合洗钱风险管理需求，合理配置洗钱风险管理职位、职级和职数，选用符合标准的人员，建立反洗钱绩效考核和奖惩机制，为反洗钱宣导和培训提供支持。 | - 负责反洗钱信息系统及系统开发、日常维护及升级等工作，提供硬件设备和技术支持，根据相关数据安全和保密管理监管要求，对客户、账户、交易信息及其他相关电子化信息进行保管和处理。 | - 涉及运营管理、风险管理、法律事务、财务会计、安全保卫等其他部门的，金融机构应对相关工作职责分工进行明确规定。 |
4.2 业务部门配备专职/兼职洗钱风险管理岗
中国人民银行法规规定法人金融机构的业务部门是洗钱风险的直接责任人，那么接下来现实的问题就是：由于业务部门并不是专门的反洗钱风险管理部门，何以有足够的知识和经验来识别和承担如此艰巨的责任呢？
法规给出的监管要求和解决方案是：业务部门“应当根据业务实际和洗钱风险状况配备专职或兼职洗钱风险管理岗位（反洗钱岗位）人员”[23]，且：
（1）洗钱风险管理岗位（反洗钱岗位）职级不得低于其他风险管理岗职级；
（2）不得将洗钱风险管理岗位（反洗钱岗位）设置为操作类岗位或外包；
（3）专职人员应具有三年以上金融从业经历；
（4）专职人员和兼职人员均应具备必要履职能力和职业操守；
（5）兼职人员占全部洗钱风险管理人员的比例不得高于80％。
五、金融机构洗钱风险管理的内部监督
5.1 监事会/监事监督董事会和高级管理层
《公司法》规定：“有限责任公司设监事会，其成员不得少于三人。股东人数较少或者规模较小的有限责任公司，可以设一至二名监事，不设监事会。董事、高级管理人员不得兼任监事。”[24]
金融机构监事会承担洗钱风险管理的监督责任，负责监督董事会和高级管理层在洗钱风险管理方面的履职尽责情况并督促整改，对法人金融机构的洗钱风险管理提出建议和意见[25]。同时，高级管理层有义务“及时向监事会报告重大洗钱风险事件”[26]。
5.2 洗钱风险管理的银行内外和外部审计
5.2.1 年度内部审计
内部审计部门负责对反洗钱法律法规和监管要求的执行情况、内部控制制度的有效性和执行情况、洗钱风险管理情况进行独立、客观的审计评价[27]。金融机构应每年开展反洗钱和反恐怖融资内部审计，内部审计可以是专项审计，或者与其他审计项目结合进行[28]。
反洗钱内部审计报告应当提交董事会或其授权的“反洗钱风险管理委员会”。董事会或“反洗钱风险管理委员会”应针对内部审计发现的问题，督促高级管理层及时采取整改措施。内部审计部门跟踪检查整改措施的实施情况，涉及重大问题的整改情况，应及时向董事会或其授权的专门委员会提交有关报告[29]。
5.2.2 委托外部审计
金融机构委托外部审计机构对洗钱风险管理工作开展评价的，外部审计必须确保审计范围和方法科学合理，审计人员具有必要的专业知识和经验，审计工作应当满足反洗钱保密要求。
六、洗钱风险管理相关信息与数据处理
在金融机构洗钱风险管理的过程中，从客户身份识别（KYC）到帐户开立、业务交易进行、在客户关系维护期间、直至客户关系结束后，都涉及到大量书面或电子形式的信息和数据处理，内容主要包括[30]：
（1）客户身份资料；包括记载客户身份信息、资料以及反映金融机构开展客户身份识别工作情况的各种记录和资料；
（2）客户交易记录：包括关于每笔交易的数据信息、业务凭证、账簿以及有关规定要求的反映交易真实情况的合同、业务凭证、单据、业务函件和其他资料；
（3）向中国人民银行反洗钱情报中心递交的大额和可疑交易报告。
尽最大努力保证这些信息和数据的安全、不被泄漏或不正当使用，不仅是反洗钱法规反复强调的监管要求，也是金融业为客户保密的基本职业操守。
6.1 身份资料和交易记录保存期限[31]
（1）身份资料，自业务关系结束当年或一次性交易记账当年计起至少5 年；交易记录，自交易记账当年计起至少5 年；
（2）如涉及正在被反洗钱调查的可疑交易活动，应保存到调查工作结束；
（3）同一介质存有不同保存期限客户身份资料或交易记录的，按最长期限保存；
（4）银行及其工作人员应予保密；非依法律规定，不得向任何单位和个人提供[32]。
6.2 反洗钱信息跨境提供法规限制[33]
（1）反洗钱工作中获得的信息，非依法律规定，不得向任何单位和个人提供；
（2）金融机构当建立跨境信息保密保障措施，对于在开展跨境业务、应对跨境监管等过程中所涉的客户、账户和交易信息、可疑交易报告等信息，应严格控制跨境信息知悉范围和程度，建立完善的内部跨境信息传递体系、风险控制流程和授权审批机制；
（3）境外有关部门因反洗钱/反恐怖融资需要要求其提供客户、账户、交易信息及其他相关信息的，金融机构应告知对方通过外交途径、司法协助途径或金融监管合作途径等提出请求不得擅自提供；
（4）有关国内司法冻结、司法查询、可疑交易报告、行政机构反洗钱调查等信息不得对外提供；
（5）境外清算代理行因反洗钱/反恐怖融资需要要求提供除汇款信息、单位客户注册信息等以外的客户身份信息、交易背景信息的，金融机构应在获得客户授权同意后提供；客户不同意或未获得客户授权同意的，不得提供；
（6）银行业金融机构对于涉及跨境信息提供的相关问题应当及时向中国银保监会报告，并按照法律法规要求采取相应措施[34]。
6.3 反洗钱信息内部信息共享制度
出于洗钱风险管理需要，金融机构应建立内部信息共享制度和程序，根据信息敏感度及其与洗钱风险管理的相关性确定信息共享的范围和程度，制定适当的信息共享机制，明确信息安全和保密要求，建立健全信息共享保障措施，确保信息的及时、准确、完整传递。
自2017年底中国迎接FATF第4轮互评估以来，以中国人民银行为首的金融监管机构密集地出台了众多的反洗钱监管法规，强化了对金融洗钱风险管理的监管要求，显著地提高了中国金融业整体的洗钱风险管理水平。
“从端到端（from end to end）”的洗钱风险管理，考验每一家金融机构的运营管理能力和职能部门的专业水准，良好的公司治理和优秀的合规文化是洗钱风险管理能够真正落到实处的前提和重要保障。在虚心学习中积累经验，在不断实践中检验知识，以积极开放的心态解决每一个环节中的不完美，努力达成各方可以接受的洗钱风险管理与业务稳健发展的平衡点。只要各职能部门相互协助，为共同的目标齐心协力，就一定能够做好洗钱风险管理这项艰巨的工作。
[1] 《公司法》第45、第46条。
[2] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第10条。
[3] 《银行业金融机构反洗钱和反恐怖融资管理办法》（中国银保监会令[2019]第1号）第9条
http://www.cbirc.gov.cn/ybjhGovView_6D8E20B93647C03F694F2B51B4A7E53F.html。
[4] 《商业银行合规风险管理指引》第10条http://www.cbirc.gov.cn/chinese/home/docView/2835.html。
[5] 《保险公司合规管理指引》第6条http://bxjg.circ.gov.cn/web/site0/tab5225/info53958.htm。
[6] 《证券公司和证券投资基金管理公司合规管理办法》第7条http://www.csrc.gov.cn/zjhpublic/zjh/201706/t20170609_318115.htm。
[7] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第10条。
[8] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第13条。
[9] 《银行业金融机构反洗钱和反恐怖融资管理办法》（中国银保监会令[2019]第1号）第10条
http://www.cbirc.gov.cn/ybjhGovView_6D8E20B93647C03F694F2B51B4A7E53F.html。
[10] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第13条。
[11] 《法人金融机构反洗钱分类评级管理办法（试行）》（银发[2017]1号）http://www.futuresonline.com.cn/home/info/detail/id/1111.html。
[12] 《银行业金融机构反洗钱和反恐怖融资管理办法》（中国银保监会令[2019]第1号）第10条
http://www.cbirc.gov.cn/ybjhGovView_6D8E20B93647C03F694F2B51B4A7E53F.html，《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第13条。
[13] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第14条。
[14] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第15条。
[15] 《商业银行合规风险管理指引》第20条http://www.cbirc.gov.cn/chinese/home/docView/2835.html、《保险公司合规管理指引》第18条http://bxjg.circ.gov.cn/web/site0/tab5225/info53958.htm、《证券公司和证券投资基金管理公司合规管理办法》第10条http://www.csrc.gov.cn/zjhpublic/zjh/201706/t20170609_318115.htm。
[16] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第12条。
[17] 《银行业金融机构董事（理事）和高级管理人员任职资格管理办法》第3条http://www.cbrc.gov.cn/chinese/home/docDOC_ReadView/7DCD73987BB64DC3A412DBD6BC2839ED.html。
[18] 《外资银行董事、高级管理人员、首席代表任职资格核准事项服务指南》http://www.cbirc.gov.cn/chinese/files/2019/AD0F68240F7844C49DEBD8E2D6CE8275.pdf。
[19] 《证券投资基金管理公司高级管理人员任职管理办法》第2条http://www.csrc.gov.cn/pub/newsite/flb/flfg/bmgz/jjl/201012/t20101231_189867.html
[20] 《证券公司董事、监事和高级管理人员任职资格监管办法》
https://www.sac.net.cn/pxzx/flfgzq/201409/t20140918_104812.html
[21] 《保险公司董事、监事和高级管理人员任职资格管理规定》
http://bxjg.circ.gov.cn/web/site0/tab5224/info4064825.htm
[22]《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第13条。
[23] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第22条。
[24] 《公司法》第52条
[25] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第11条。
[26] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第12条。
[27] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第17条。
[28] 《银行业金融机构反洗钱和反恐怖融资管理办法》第21条http://www.cbirc.gov.cn/ybjhGovView_6D8E20B93647C03F694F2B51B4A7E53F.html
[29] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第57条。
[30] 《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》第27条http://www.pbc.gov.cn/tiaofasi/144941/144957/2817396/index.html
[31] 《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》第3章http://www.pbc.gov.cn/tiaofasi/144941/144957/2817396/index.html
[32]《银行业金融机构反洗钱和反恐怖融资管理办法》第22条http://www.cbirc.gov.cn/ybjhGovView_6D8E20B93647C03F694F2B51B4A7E53F.html
[33] 《法人金融机构洗钱和恐怖融资风险管理指引（试行）》（银反洗发[2018]19号）第41条。
[34] 《银行业金融机构反洗钱和反恐怖融资管理办法》第28条http://www.cbirc.gov.cn/ybjhGovView_6D8E20B93647C03F694F2B51B4A7E53F.html
（完）
2018年底中国通过FATF第四轮互评估以来，金融机构反洗钱和反恐融资监管日益严格，监管罚单层出不穷。报名反洗钱与国际制裁研讨会，详询13524285894（同微信）
点击【阅读原文】查看详情报名