什么是反洗钱与反恐怖融资（AML/CFT）审计？
对为预防和发现洗钱及恐怖融资而建立的制度框架、控制措施和程序所开展的独立、系统性审查。
交易监测
评估检测规则、场景覆盖范围、阈值校准、误报率和预警处理。
可疑交易报告与监管沟通
核查可疑交易报告的留痕、与监管机构沟通的管理、文件留存及保密情况。
合规文化
审查培训计划、出勤记录、内部宣导活动，并评估管理层和业务层面的合规文化。
审计流程与关键步骤
我们将法律经验与技术能力相结合，按您的机构类型和风险状况开展量身定制的审计。
规划与范围确定
我们确定审计目标、范围（国家、部门、产品线）、重要性水平和所需资源，并收集反洗钱制度的基础文件。
风险评估与控制措施
我们审查风险评估（RBA），核实控制措施与已识别的风险是否匹配，并记录预防性与检测性控制措施。
KYC/KYB测试与抽样
我们按风险等级抽取样本，核查身份识别、最终受益人、资金来源和档案文件。
监测测试
我们评估预警场景的覆盖范围、阈值校准、链上/链下关联分析，以及从预警到最终决定的可追溯性。
可疑交易报告审查
我们核查升级标准、报告的一致性、文件留存期限和保密规程。
培训与合规文化
我们审查培训记录、调查演练、规则调优演练，以及对以往整改事项的跟进情况。
最终报告
我们记录按严重程度分级的审计发现，并给出可操作的建议、责任人、期限和整改落实后的控制措施。
跟进
后续复核，用以证明审计发现已经整改完毕，且所采取的纠正措施行之有效。
我们如何开展反洗钱审计
结合法律经验与技术能力（区块链分析、KYC/KYB审查、控制测试），为虚拟资产服务提供商（VASP）和受监管机构提供量身定制的审计。
.webp)
出入金通道与KYC审查
检查客户开户流程、KYC/KYB证据以及法币与加密资产互换环节的控制措施，找出程序上的薄弱点。
.webp)
链上监测测试
评估检测规则、场景覆盖范围、阈值校准以及链上/链下关联分析，以衡量其有效性。
审计报告与培训
交付载明审计发现的报告、列明责任人和期限的整改计划，并提供培训以弥补发现的缺口。
关键参与方与常见审计发现
谁会参与审计，以及我们最常发现哪些问题。
我们协助整改的常见审计发现
- 档案不完整——KYC/KYB文件缺少日期、核查尚未完成或留存记录不全。
- 风险评估已过时——RBA没有反映业务、客户、产品或司法管辖区的变化。
- 监测规则校准不当——阈值过于笼统、误报过多，或存在未被覆盖的风险场景。
- 调查缺乏证据——预警被关闭，却没有记录决定、理由和可追溯的过程。
- 制裁筛查不足——名单未及时更新、覆盖不全，或未嵌入业务工作流程。
- 反洗钱手册流于形式——已批准的政策没有体现在日常运营和可核查的记录中。
审计中的关键参与方
合规官：反洗钱制度的运营负责人，也是与审计方对接的联络人。
高级管理层：负责治理、资源配置和风险承担。
内部/外部审计：开展独立测试并出具附建议的报告。
监管机构/金融情报机构（UIF）：接收审计所涉及的报告和监管要求。
我们评估的技术与组织控制措施
审计会检查技术与组织（T&O）控制措施，它们保障调查和整改期间证据的完整性与保密性。
访问权限管理
有文件记录的基于角色和最小权限的控制。我们核实只有获授权人员才能访问敏感的反洗钱数据。
不可篡改的审计日志
按法规要求留存的日志，能够还原决策、交易以及对档案的访问记录。
嵌入工作流程的筛查
将制裁名单整合进业务流程，并有日志证明在出现命中时采取了何种措施。
供应商尽职调查
对第三方（KYC、托管机构、分析服务商）的审计证据、认证、反洗钱/反恐融资条款以及服务连续性计划。
不做反洗钱审计的风险
监管处罚：因控制措施不到位或缺乏合规证据而被处以罚款、取消任职资格并收到监管问询。
业务受阻：与代理行之间出现问题、账户被冻结，以及机构客户开户受阻。
声誉风险：缺少独立审计，投资者、合作伙伴和客户的信任受损。
刑事责任：因未落实反洗钱与反恐怖融资法规要求的控制措施，董事和管理人员面临被追责的风险。
补救成本：在检查或监管问询之后再整改缺陷，成本远高于通过定期审计提前预防。
与反洗钱审计相配合的服务
审计不是孤立的一次性工作。以下服务可强化您的合规体系，覆盖审计中常被指出需要改进的领域。
外部专家报告
《第10/2010号法律》要求的独立审计：控制措施审查、抽样、证据，以及面向SEPBLAC的纠正措施计划。
→ 文件反洗钱手册
起草或审查反洗钱手册：政策、程序、岗位职责、文件留存和升级规程，均按您的业务量身定制。
→ 风险风险自评估（IAR）
设计并更新RBA方法：按客户、产品和司法管辖区识别、衡量和管理风险。
→ 加密资产加密资产与区块链
面向VASP和交易所的AML合规：链上可追溯性、Travel Rule、MiCA，以及应对监管要求的准备。
→ 合规企业合规
刑事合规体系（《刑法典》第31条之二）、举报渠道、道德准则、培训和第三方尽职调查。
→ 溯源资金溯源报告
链上分析、资金来源、钱包识别以及AML/KYT风险，适用于银行开户、合规和索赔。
→反洗钱内部审计须知
展开各个板块，了解法律依据、权利、机构义务，以及区分“走过场”与建立站得住脚的反洗钱制度的最佳实践。
1审计工作的法律依据
反洗钱与反恐怖融资审计审查与预防洗钱和恐怖融资相关的法律及监管义务的履行情况。适用原则包括审计期间所处理信息的合法性、相称性、可追溯性和保密性。
可作为参考的法律依据包括：法律规定的信息保存和提供义务；为满足代理行和要求提供控制证据的供应商而产生的合同履行需要；以及审计发现系统性风险或违法迹象时的公共利益。
实务建议
审计计划应载明每项审查程序的法律依据，并记录访问敏感数据所需的授权。
2审计中个人的权利
反洗钱审计期间可能会处理个人数据：应尊重访问、更正、删除、限制处理和反对的权利，但法律因反洗钱与反恐怖融资调查而要求保存或保密的情形除外。
- 以透明方式告知审计中进行的数据处理及其法律依据。
- 在处理与被审计档案相关的请求前，先核实身份。
- 记录审计期间对个人数据的任何访问，并保存审查日志。
- 审计涉及访问敏感数据时，与数据保护官协调。
3被审计机构的义务
反洗钱义务主体（银行、VASP、金融服务提供商以及受反洗钱规定约束的专业人士）在反洗钱审计中，须提供文件、政策、KYC/KYB记录、监测日志和可疑交易报告的查阅渠道。
必须有一名内部负责人统筹提供证据，确保证据保管链完整和保密。通过书面请求和约定期限来规范配合，有助于审计工作的开展，并减少与监管机构之间的摩擦。
4合规官与内部控制机构（OCI）
合规官和内部机构（风险委员会、OCI）是关键环节：他们须提供访问便利、确认方法论，并统筹对审计发现的回应。
要点
设有正式的报告渠道且合规官具备权威，会提升审计所审查制度的稳健性。
5内部程序、反洗钱手册与证据
反洗钱手册是审计人员审查的核心文件：应包含政策、操作程序、文件留存、升级规程以及明确界定的岗位职责。审计会核实实际操作是否与手册规定一致，以及是否有记录证明其得到执行。
应有内部测试、手册审查和更新的证据，以及管理层或OCI的批准记录。
6供应商与交易对手的尽职调查
审计会审查对关键供应商（KYC服务、托管机构、分析服务商、系统集成商）所做的尽职调查，以及是否存在反洗钱/反恐融资合同条款。我们会要求提供第三方审计证据、认证、含合规条款的合同以及服务连续性计划。
7培训、内部审计与压力测试
持续培训、内部审计和压力测试演练，是机构用以证明合规文化和应对能力的证据。审计会审查培训记录、调查演练、规则调优演练，以及以往审计的结果和整改跟进情况。
8制裁、合作与国际义务
审计还会评估对制裁名单（OFAC、欧盟、联合国）的遵守情况，以及机构在收到监管要求时与国内外主管机构合作的能力。不遵守可能导致行政处罚、业务受阻和刑事责任。
确保遵守制裁名单和国际合作规程，对于降低反洗钱审计中可发现的监管风险至关重要。
反洗钱审计常见问题
什么是反洗钱与反恐怖融资审计？
这是对机构为预防和发现洗钱及恐怖融资而建立的框架、控制措施和程序所开展的独立审查。审计评估其适当性、有效性和合规情况，找出缺口并提出纠正措施。
审计有哪些法律依据？
审计审查反洗钱与反恐怖融资领域法律和监管义务的履行情况：第10/2010号法律、第304/2014号皇家法令、适用的欧盟指令以及行业法规。相关原则包括合法性、相称性、可追溯性和保密性。
哪些人会参与审计？
关键参与方包括：
- 合规官：反洗钱制度的运营负责人。
- 高级管理层：治理、资源配置和风险承担。
- 内部/外部审计：独立测试并出具报告。
- 监管机构/金融情报机构（UIF）：接收报告和监管要求。
风险评估（RBA）审查哪些内容？
审计人员评估机构如何按客户、产品、渠道和司法管辖区识别、衡量和管理风险，并审查文件、更新周期、风险评级标准、阈值，以及控制措施与风险等级是否匹配。
如何审查KYC/KYB档案？
我们按风险等级抽取样本，审查档案的完整性、最终受益人的核实情况、电子核验测试、高风险交易中的资金来源，以及定期更新的记录。
交易监测评估哪些内容？
预警场景的覆盖范围、阈值校准、误报率、预警调查与关闭流程，以及从预警到最终决定、附证据记录的可追溯性。
反洗钱手册在审计中起什么作用？
反洗钱手册是核心文件：应包含政策、操作程序、文件留存、升级规程和岗位职责。审计会核实实际操作是否与手册规定一致，以及是否有记录证明其得到执行。
反洗钱与反恐怖融资审计费用是多少？
取决于机构规模、司法管辖区数量、档案数量、业务复杂程度以及反洗钱制度的成熟度。在对风险和现有文件做初步诊断后，我们会给出相应的报价。
预约通话
请告诉我们您的情况，我们将向您说明如何开展贵机构的反洗钱与反恐怖融资审计。
西班牙反洗钱与反恐怖融资审计的法规框架
反洗钱与反恐怖融资内部审计是源自西班牙第10/2010号法律（预防洗钱和恐怖融资）及其实施条例（第304/2014号皇家法令）的一项义务。其目的是独立评估义务主体所建立的预防制度是否适当、有效并合规。
风险为本的方法（RBA）
反洗钱审计应采用风险为本的方法：所审查的控制措施应与机构的业务、客户、产品和司法管辖区相称。审计人员评估RBA方法论是否适当，以及所采取的措施是否有效并有文件记录。
技术与组织控制措施
除文件审查外，审计还检查技术与组织控制措施：访问权限管理、加密、日志记录、职责分离、备份、嵌入工作流程的制裁筛查，以及能够还原决策和交易的不可篡改审计日志。
国际合作与制裁
审计还会评估对制裁名单（OFAC、欧盟、联合国）的遵守情况，以及机构在收到监管要求时与国内外主管机构合作的能力。不遵守可能导致行政处罚、业务受阻和刑事责任。
官方来源
参考法规（附官方文本链接）：
- 2010年4月28日第10/2010号法律，关于防止洗钱和恐怖融资BOE · 合并文本
- 2014年5月5日第304/2014号皇家法令，批准2010年4月28日第10/2010号《反洗钱与反恐怖融资法》实施条例BOE · 合并文本
法规及链接已于核实。