反洗钱风险为本原则监管理念转变及立法体现｜mhp君悦评论

本文将围绕新《反洗钱法》中“风险为本”原则立法转变等相关内容展开实务分析，助力金融机构精准规避合规风险、规范履行反洗钱义务。

一、我国反洗钱监管理念的历史演进：从“规则为本“到“风险为本”

中国反洗钱法律体系的正式建立，以2006年《中华人民共和国反洗钱法》的颁布为标志。该法是我国第一部专门针对反洗钱的法律，由第十届全国人民代表大会常务委员会第二十四次会议于2006年10月31日审议通过，确立了“规则为本“的监管框架，在强化监管力度、打击洗钱及上游犯罪、促进国际协作等方面发挥了关键作用。

传统“规则为本“的监管模式，主要检视金融机构是否按照要求完成了各项规定动作，是一种对“过程合规“的考核，注重监管要求的执行过程。其主要特征体现在以下四个方面：第一，以清单式监管为主要手段，通过列明客户身份识别、大额交易报告、可疑交易报告等具体监管要求，形成清晰明确的执行标准。第二，注重执行过程的形式合规，强调金融机构须严格按照监管规定完成各项规定操作，而对实际风险状况关注不足。第三，监管资源实行平均化配置，未根据金融机构风险水平的差异采取分类监管措施，而是统一适用相同的监管要求。第四，监管工具和手段较为单一，主要依赖检查、行政处罚等传统方式实施监管。

某种意义上看，“规则为本“的监管模式侧重于形式合规，容易导致金融机构将监管要求简单化为“照章办事“，或对条文规定机械套用。然而，金融业态错综复杂，风险形态千差万别，实操中并不存在一套能够普适于所有机构、所有场景的标准化规范。

然而，随着经济社会发展与金融业态的快速演变，特别是信息网络技术被深度运用于洗钱手法之中，洗钱活动日趋隐蔽化、复杂化，原有法律已难以充分回应现实监管需求。与此同时，洗钱犯罪的跨境化趋势日益凸显，对国际信息共享与执法合作的协同应对提出了更高要求。从国际规则到国内立法，关注风险始终是反洗钱工作的核心逻辑。全球反洗钱治理的理念和方法，已从过去的“规则为本“转向如今的“风险为本”，国际标准持续演进升级。

“风险为本”监管则关注金融机构是否能够有效识别、评估和控制洗钱风险，资源配置不再平均用力，而是依据洗钱风险的高低和时空分布，确保将有限的反洗钱资源精准地配置到高风险领域（机构、业务、产品等）和高风险时段，实现动态化的高效配置，其核心是“将最多的反洗钱合规资源投入到洗钱风险大的业务领域“，提高监管效率和有效性以应对洗钱风险。

在国际层面，国际反洗钱治理的标杆机构——金融行动特别工作组（FATF），自2012年起便推动全球监管模式向“风险为本”转型，将“风险为本”确立为各成员国必须采纳的监管原则，并以此作为评估成员国反洗钱体系有效性的核心标尺。

2026年6月23日，沃尔夫斯堡集团发布更新版《风险为本方法指引》，在监管机构和行业参与者日益关注结果而非单纯过程的当下，指引重申了一个简单的原则：面面俱到等于处处平庸。金融机构应当将注意力和资源投向最高优先级的风险，同时停止、减少或重新设计那些无法实质性强化打击金融犯罪的活动。

可见，为统筹国内制度与全球规范的有效衔接，进一步提升反洗钱工作的合规水平与实际成效，中国亦不断推进并深化反洗钱监管方法的转型，启动了反洗钱法及相关法律法规的修订进程。

2008年，中国人民银行以《关于进一步加强金融机构反洗钱工作的通知》（银发【2008】391号）首次明确提出“风险为本”，完成概念引入。此后，相继通过2009年《关于进一步严格大额交易和可疑交易报告填报要求的通知》（银发【2009】123号）、2014年《金融机构反洗钱监督管理办法（试行）》（银发〔2014〕344号），完成了制度框架的初步搭建；2016年《金融机构大额交易和可疑交易报告管理办法》（中国人民银行令〔2016〕第3号）明确了金融机构基于自身判断下进行报送的“合理怀疑标准”，同时删除原规章中已不符合形势发展需要的银行业、证券期货业、保险业可疑交易报告标准，以及2018年发布《法人金融机构洗钱和恐怖融资风险管理指引》（银反洗发〔2018〕19号），则标志着理念向实践层面的深度转化，进入“风险为本”监管转型阶段，“风险为本”的监管逻辑日趋成熟。

2021年11⽉18⽇，时任中国⼈⺠银⾏反洗钱局副局⻓王静公开表示：“在当前的形势下，规则为本的⽅法越来越显现出它的弊端，顺应世界反洗钱的发展趋势，逐步实现从规则为本到⻛险为本的转变，将是中国反洗钱⼯作的必由之路。”

随着2024年11月8日第十四届全国人民代表大会常务委员会第十二次会议修订，2025年1月1日起施行的《中华人民共和国反洗钱法》（以下简称“新《反洗钱法》“）的颁行，进一步确立了风险为本的监管理念，标志着我国反洗钱监管正式开启了风险为本原则全面制度化、法律化的全新时期。在新《反洗钱法》中首次提出了特定非金融机构的概念，并规定了其反洗钱工作应履行的职责，进一步拓宽了反洗钱义务机构的范围。同时，我国形成了“机构自评估+现场检查“双支柱监管模式，金融机构通过自评估及时识别和预测风险，监管机关发起检查，监察漏洞，提出整改意见，深度贯彻FATF“风险为本”的反洗钱和反恐怖融资理念。可以说，我国反洗钱监管体系于2025年进入了集中密集重构期，围绕涉及客户尽职调查、受益所有人核实、大额交易与可疑交易报告、特别预防措施等反洗钱核心环节的配套规章接连落地，监管规范呈现出持续细化并向操作层面纵深推进的显著态势。由此，“风险为本”的监管理念正式取代“规则为本”，确立为我国反洗钱工作的核心范式。这一范式转换不仅意味着合规逻辑从“对照条文“走向“识别风险、精准施策”，更对金融机构的风险研判能力、资源配置效率与技术应用能力提出了实质性要求，这亦是国际反洗钱标准与国内实践相结合的必然结果。

二、新《反洗钱法》中“风险为本”原则的立法体现

新《反洗钱法》及配套规章以“风险为本”原则重构监管框架，将“风险为本”的监管理念制度化、法律化，既提出了原则要求，又进行了细化规定。新《反洗钱法》第3条要求反洗钱工作应当“健全风险防控体系“，第4条要求“确保反洗钱措施与洗钱风险相适应，保障正常金融服务和资金流转顺利进行“，这是原则性的要求。具体而言，监管理念转变下的立法体现涉及以下几个方面：

（一）从“身份识别“到“尽职调查“的概念转变，建立客户尽职调查制度分类机制。

对于金融机构而言，客户尽职调查是反洗钱工作的基础和前提。金融机构必须依靠尽职调查形成的信息，对客户风险等级进行准确划分，从而指导开展下一步的工作。实务中，监管实践中的高频违规领域主要聚焦于以下两点：其一，客户身份识别环节存在履行瑕疵，具体表现为信息采集不充分，进而导致关键要素的缺失；其二，与身份存疑的客户建立业务关系或开展交易，典型情形包括向此类主体开立账户及办理资金划转。

本次《反洗钱法》修订在客户尽职调查领域最根本的变化，在于法律概念从长期沿用的“客户身份识别“转变为“客户尽职调查“，新法明确确立了“风险为本”的金融机构尽职调查之法定义务。旧《反洗钱法》（2006年10月31日第十届全国人民代表大会常务委员会第二十四次会议通过《中华人民共和国反洗钱法》）要求金融机构建立客户身份识别制度，而新《反洗钱法》通过第六条及第二十八条的规定要求我国境内设立的金融机构以及相关特定非金融机构履行客户尽职调查反洗钱义务，这也是我国在新《反洗钱法》中首次明确了客户尽职调查的独立法律地位。

同时，“客户尽职调查”亦是反洗钱金融行动特别工作组（FATF）长期沿用的一贯表述。新《反洗钱法》中相关术语的变更并非简单的文字替换，而是更深刻体现了我国反洗钱监管理念与国际标准的全面接轨。“身份识别”与“尽职调查”存在本质差异。前者侧重于程序性动作的完成，即金融机构收集了客户身份证件、核对了基本信息、留存了必要资料，就被视为履行了义务；而后者则强调实质性的风险评估，金融机构不仅要“识别”客户是谁，更要“理解”客户为何以及如何使用金融产品和服务。这一转变意味着金融机构的合规义务从被动的信息收集转向主动的风险研判，合规工作的重心从形式完备转向实质有效，这也体现了我国监管逻辑的根本转变，即从“要求金融机构做什么”转向“要求金融机构如何有效做”。

新《反洗钱法》同时强调了差异化措施的审慎适用，明确要求金融机构“不得采取与洗钱风险状况明显不相匹配的措施”。进一步来讲，新《反洗钱法》第二十九条建立了“标准尽职调查”、“简化尽职调查”和“强化尽职调查”的分类机制，并通过《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》（以下简称《管理办法》）对该尽职调查分类机制进行细化。

《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》第三条强调应“根据客户特征和交易活动的性质、风险状况”采取相应措施，并在业务关系存续期间“持续关注并评估客户整体状况及交易情况，了解客户的洗钱、恐怖融资风险”，“必要时可以采取与风险相匹配的洗钱风险管理措施”，取代了2022版办法中直接“拒绝建立业务关系或者办理业务，或者终止已经建立的业务关系”的表述。

进而言之，对于一般风险客户，客户尽职调查包括识别并采取合理措施核实客户及其受益所有人身份，了解客户建立业务关系和交易的目的，并在业务存续期间进行持续的尽职调查。

对于经评估为低风险的客户，可以适用简化的尽调程序。《管理办法》第二十九条还明确“简化尽职调查措施”范围包括“在建立业务关系后的合理期限内完成客户及其受益所有人身份核实、延长客户定期审查的周期，降低尽职调查措施的频率和强度、降低交易监测的频率和强度等”，及低风险评估的参考因素，包括客户风险因素（如客户为党政机关、预算管理事业单位、军队武警相关单位、上市公司、境内或反洗钱体系有效国家/地区的金融机构等）、产品业务风险因素（如仅具社会保障或者住房公积金功能的账户、政策性或者强制性保险产品等）、业务渠道或交易渠道风险因素（如专业市场场内与中央交易对手、政府公共部门的交易等）、国家洗钱恐怖融资风险评估报告及中国人民银行发布的相关规定指引类型分析报告和风险评估报告等确定的低风险因素，以及其他低风险因素。这种正反向标准的并列规定，使风险评估具备了可操作性，避免了仅规定强化措施而缺乏放宽条件的失衡问题。

对于高风险客户，则必须采取强化的尽调措施，包括获取额外身份信息、加强信息审查、加强交易监控等，必要时可以采取限制交易方式、金额或者频次，限制业务类型，拒绝办理业务，终止业务关系等洗钱风险管理措施。

这种监管资源差异化配置具有双向约束意义：既禁止机构对高风险客户采取过于宽松的措施，也防止机构对低风险客户施加不必要的繁琐要求，体现了“风险为本”的监管理念，避免了“一刀切“式监管可能带来的效率损失，也为防范“误杀”正常交易提供了制度基础。例如，个人客户办理日常小额转账或工资卡代发业务时，部分金融机构可能以“需核实资金来源“为由要求客户提供收入证明、劳动合同等额外材料，上述做法即属于对低风险客户采取了与其洗钱风险明显不相称的过度措施，既增加了客户的合规负担，也可能引发不必要的投诉乃至声誉风险。因此，笔者认为，金融机构在落实差异化尽调机制时，应当建立清晰的风险分级标准与对应的尽调措施清单，确保措施的强度与客户实际风险水平相匹配，实现洗钱风险防控与金融消费者权益保护的平衡。

同时，新《反洗钱法》第十条、第三十八确定了金融机构客户对尽职调查的法律配合义务；新《反洗钱法》第三十二条，规定了金融机构依托第三方开展尽职调查工作情形下，第三方义务和金融机构义务。同时，新《反洗钱法》第三十条对金融机构开展尽职调查工作进行了约束并提供了金融客户相关投诉或者诉讼救济途径，以及第五十三条规定了未按照规定开展客户尽职调查工作的金融机构所面临的行政处罚风险。

（二）明确“受益所有人识别“概念，建立受益所有人识别的制度化与精细化规则

FATF在其“40项建议“中已将受益所有人透明度列入核心标准，视为评价成员国金融体系稳定性的关键指标之一，中国人民银行也一向将其作为金融机构客户尽职调查的重点内容。而在FATF互评中，中国曾被提及存在受益所有人有效性方面的问题。遵循国际标准要求，中国人民银行会同国家市场监管总局自2024年起实施受益所有人信息集中备案制度，以此增强市场透明度，从根源上遏制空壳公司、虚假注资和嵌套持股等违规行为，进而预防和减少违法犯罪。

2024年4月29日，中国人民银行、国家市场监督管理总局专门发布了《受益所有人信息管理办法》（中国人民银行 国家市场监督管理总局令〔2024〕第3号），该管理办法“规定了应当备案受益所有人信息的主体，设置了承诺免报条款，明确了受益所有人识别标准，限定了备案信息查询使用条件等，更好地规范公司等主体备案受益所有人相关信息，“为金融机构提供了可操作的实施指引”。该管理办法为建立统一的受益所有权信息登记系统打好基础，填补受益所有权信息备案缺口。

本次新《反洗钱法》中，我国将“受益所有人”作为修订新增的核心概念之一，明确规定了金融机构应当识别并核实非自然人客户受益所有人身份，从而强化了穿透监管要求。所谓受益所有人，是指最终拥有或者实际控制法人、非法人组织，或者享有法人、非法人组织最终收益的自然人。新《反洗钱法》要求金融机构在建立业务关系或办理特定交易时，必须识别并核实客户及其受益所有人身份。旧《反洗钱法》第十六条仅要求核对客户或客户及其代理人的身份证明，并未提及“受益所有人”这一概念，这意味着旧《反洗钱法》框架下，金融机构只需识别名义上的法定代表人或代理人即可满足合规要求，而无需穿透至实际控制人。然实务中，洗钱分子往往通过复杂的股权结构、多层嵌套的投资关系、空壳公司来隐藏真实身份，仅识别名义上的法定代表人已无法有效防范洗钱风险，金融机构应当进行客户穿透核查。

2026年1月20日起施行的《金融机构客户受益所有人识别管理办法》（中国人民银行令〔2025〕第 12 号）又将原先分散于《中国人民银行关于加强反洗钱客户身份识别有关工作的通知》（银发〔2017〕235号）、《中国人民银行关于进一步做好受益所有人身份识别工作有关问题的通知》（银发〔2018〕164号）等规范性文件中的操作指引进行整合优化。其针对党政机关、事业单位、外国驻华使领馆等特定主体，法规豁免了金融机构核实其受益所有人的义务。并进一步明确了过往实务中“法人股东是否为受益所有人”的模糊认知，清晰界定：受益所有人必须是自然人。而对于非自然人客户股权结构复杂、存在多层嵌套导致结构不透明的情形，金融机构则被要求采取更严格的识别标准，和可包括将控制权或收益权的识别阈值从标准的25%下调至10%等降低排查门槛、扩大认定范围的措施。由此，该办法以部门规章的形式，进一步细化了受益所有人识别的具体工作要求，与现行法律法规实现紧密衔接，构建“市场主体备案—金融机构核对—监管部门核实”的完整管理链条。

（三）客户反洗钱风险等级的确立与客户风险等级档案的建立

新《反洗钱法》第二十九条所确立的“风险为本”原则，其落地实施的核心抓手在于客户反洗钱风险等级的确立与风险等级档案的建立，进一步要求金融机构在客户身份识别环节更加注重精准防控。然，这一制度安排在旧《反洗钱法》框架下是缺失的。

旧《反洗钱法》第十六条仅规定了“身份识别”和“重新识别”的程序性内容，并未建立系统的客户风险分级机制，金融机构对所有客户适用基本相同的尽调标准，缺乏根据风险差异配置不同尽调资源的法律依据，这就造成了两方面的弊端：一方面，对低风险客户施加了不必要的繁琐措施，增加了合规成本和客户负担；另一方面，对高风险客户的关注力度不足，可能遗漏重要的洗钱风险信号。

而新《洗钱法》第二十九条第二款明确要求“金融机构开展客户尽职调查，应当根据客户特征和交易活动的性质、风险状况进行”。2026年1月1日实施的《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》第二十五条规定“金融机构在与客户建立业务关系时，应当根据客户尽职调查所获得的信息，及时评估客户风险，划分风险等级，确定不同风险等级客户的定期审核频次和方式。对洗钱、恐怖融资风险等级最高的客户，金融机构应当至少每年进行1次审核。”可见，金融机构应当持续关注客户的风险状况、交易情况和身份信息变化，及时、合理调整客户洗钱、恐怖融资风险等级。前述规定隐含了两个关键制度要求：第一，金融机构应当根据客户的身份特征（个人/法人/非营利组织等）、业务类型（存款/贷款/支付/理财/跨境汇款等）、交易行为模式（频率、金额、地域分布等 ）等多维度指标，按风险程度对客户进行分级，将客户归入不同的风险等级，且客户风险等级至少应当分为高、中、低三个等级。风险等级并非一次性确定的静态结果，而是一个持续更新的动态过程，一旦客户信息、交易行为或外部环境发生实质性变化，即应启动相应调整程序，确保风险等级划分始终反映真实风险状况。第二，必须建立并持续维护客户风险等级档案。每一位客户的风险等级评定依据、评级结果、调整记录、以及对应的尽调措施清单，都应当形成完整的档案资料。这一档案不仅是合规检查的重要凭证，更是后续可疑交易分析的基础数据来源。当某笔交易的监测预警触发时，风控人员可以立即调取该客户的风险档案，结合其历史风险等级和尽调记录进行综合研判，从而提高分析的准确性和效率。

（四）多部门协同、信息融合：构建反洗钱信息共享新格局

党的十八大以来，人民银行与监委、法院、检察院、公安、海关、税务等部门协同联动，以“追踪资金“为导向，构建了严密的资金链治理体系，依法重拳惩治洗钱犯罪及相关犯罪，紧密跟踪新型支付、虚拟货币、伪金融创新等前沿风险领域，强化对环境犯罪、贸易洗钱等特定洗钱类型的研究并及时提供风险预警。在多部门认真履职，密切配合，预防和打击洗钱及相关违法犯罪取得积极进展，反洗钱主管部门和各金融监督管理部门指导反洗钱义务机构强化风险为本的意识，扫黑除恶、反恐、反腐败、禁毒、反逃税及打击地下钱庄等专项工作均成效斐然。

可见，反洗钱客户尽职调查的有效实施，离不开跨部门的信息支撑。新《反洗钱法》第三十三条就金融机构开展客户尽职调查时的信息核实渠道作出规定，构建了全新的多部门协同与信息融合机制。

新《反洗钱》法第三十三条在旧法第十八条基础上作出了进一步完善：（1）从原本仅公安、工商两个部门扩展至反洗钱行政主管部门、公安、市场监督管理、民政、税务、移民管理、电信管理等7类部门，几乎覆盖了客户身份核验所需的所有政务数据源；（2）删除了“认为必要时“这一主观判断标准的限制性表述，赋予金融机构依法核实的主动权；（3）明确规定“相关部门应当依法予以支持“，将被查询部门的配合义务上升为法律义务，更能避免实践中金融机构常因缺乏法定依据而被拒绝；

另外，上述七个部门的信息分别对应客户尽职调查中的不同验证需求。举例而言，通过市场监督管理部门，可获取企业的注册信息，包括但不限于企业名称、法定代表人、注册资本、成立日期、经营范围及当前经营状态等。对于法人客户尽职调查而言，这是获取公开工商信息的权威渠道，也是穿透核查股权结构的第一步。亦可通过税务部门掌握着纳税信用等级、重大税收违法案件当事人名单等关键信息等，客户的税务合规情况往往能间接反映其经营活动的真实性和合法性，为风险评估提供重要参考。移民管理部门可以提供出入境记录、外籍人员签证和居留许可信息，对于涉及跨境业务的客户或外籍人士账户，移民管理数据有助于核实客户的跨境活动轨迹和身份真实性。

由此，新《反洗钱法》第三十三条所构建的多部门协同机制，标志着我国反洗钱工作迈向“联防联控”的新阶段。对于金融机构而言，这既是机遇，因为信息获取渠道的大幅拓宽将显著提升尽职调查的效率和准确性；同时也是挑战，如何有效整合来自多个异构数据源的信息、如何在充分利用信息的同时保护客户隐私和数据安全，将是实务中需要重点解决的问题。