AML/CFT
从“为合规而合规”到可审计的证据
“我们把政策和手册转化为已执行的控制措施：抽样、可追溯性，以及带时间表的整改计划。”
西班牙反洗钱与反恐怖融资外部专家报告
依据西班牙第10/2010号法律和第304/2014号皇家法令（RD 304/2014）开展的反洗钱与反恐怖融资（AML/CFT）独立审计。我们评估贵司体系的运行有效性（而不仅是文件），找出缺口，并出具可向西班牙反洗钱监管机构（SEPBLAC）和内部控制机构（OCI）说明、站得住脚的整改措施计划。
OCI
清晰的发现事项与整改措施
“我们交付真正有用的报告：哪里出了问题、为什么出问题、由此产生的风险，以及如何凭证据逐项解决。”
KYC / 最终受益人
档案前后一致，而不是“零散的文件夹”
“我们审查文件完整性、最终受益人（UBO）和资料留存：报告必须经得起监管问询。”
监测
有判断力的预警与处理
“我们测试风险场景，验证软件能否正确预警，以及处理过程是否留有记录。”
- 审查周期
- 每年
- 提交管理机构
- 3个月
- 文件保存
- 10年
- 审查的法律依据
- 第28.1条
反洗钱与反恐怖融资外部专家报告包含哪些内容
第10/2010号法律 + 第304/2014号皇家法令
对内部控制体系的年度独立审查：运行有效性、证据材料和改进建议。
什么是反洗钱外部专家报告？
这是对机构在防范洗钱方面的政策、程序和内部控制所作的全面、独立且有文件记录的审查。
身份识别 + 最终受益人
对档案进行抽样审查：正式身份识别、UBO/最终受益人、客户画像、风险评级和文件留存。
谁必须拥有这份报告？
银行、保险公司等金融机构；外部审计师、会计师等专业人士和顾问；高风险行业及其他反洗钱义务主体。
第29条培训计划
审查培训内容和证据材料：培训内容须及时更新、针对不同岗位，并有可核查的记录。
整改措施
按优先级排序的发现事项，以及带时间表的计划：明确责任人、证据材料和跟进安排，以弥补缺口。
外部专家报告的周期与关键期限
审查至少每年一次。面对监管问询，要做到万无一失，关键不只是“有一份PDF”，而是能够证明基准日期、出具时间、提交管理机构、整改措施计划，以及附有证据材料的存档。
年度周期（最低要求）：审查内部控制体系、其运行有效性及存在的缺口。
内部提交：将重大缺陷连同行动和责任人一并提交管理机构/OCI。
整改计划：时间表须现实且可核查（适用于无法“当场”纠正的情形）。
留存：将报告及其证据材料纳入贵司档案（KYC/UBO、预警、培训），并保存较长年限。
跟进报告：在第2年和第3年可行，前提是适用且无重大变化。
核查范围：我们审查什么？
根据第10/2010号法律的实施条例，我们的审查涵盖三个强制性维度。我们既审计纸质文件，也审计数字化的可追溯性。
1. 档案与文件（KYC）
我们审计文件在10年法定期限内的留存情况。我们在随机抽取的客户样本中，核查身份证明文件复印件的完整性以及最终受益所有权声明。
2. 软件与预警
我们对贵司的监测工具进行测试，模拟风险场景，检验软件是否生成正确的自动预警，以及这些预警是否按SEPBLAC要求的及时程度得到处理。
3. 培训计划（第29条）
我们审查出席证明和面向员工的课程内容。外部专家须确认培训内容是最新的，并针对具体岗位，而非泛泛而谈。
完整报告还是跟进报告？
第10/2010号法律允许在一定条件下，于随后两年以跟进报告代替完整审计。了解这一区别，可以在不降低证据水平的前提下优化成本。
| 特征 | 完整报告（标准） | 跟进报告 |
|---|---|---|
| 何时需要办理？ | 第一年，或控制架构发生重大变化之后。 | 第2年和第3年（如无重大变化）。 |
| 适用范围 | 对全部内部控制措施和机构（OCI）进行全面审计。 | 仅核查此前提出的整改措施。 |
| 法律依据 | 第10/2010号法律第28.1条 | 第10/2010号法律第28.1条（第2段） |
| 目标 | 发现风险，并评估整体运行有效性。 | 检查此前发现的缺陷是否已得到纠正。 |
*第EHA/2444/2007号部长令规定了技术标准，用于判断某项变化是否要求在3年期满之前重新进行完整报告。
我们如何出具外部专家报告
我们严格遵守第EHA/2444/2007号部长令，采用高效的方法，不影响贵司的日常运营。
01
文件分析
我们索取并审阅贵司的反洗钱手册、客户准入政策和内部控制机构（OCI）的会议记录，以核实其在理论层面是否符合法律要求。
02
运行核查（抽样）
我们对客户档案进行随机抽样，审计客户尽职调查（KYC）措施的执行情况，以及依据第10/2010号法律第25条的文件留存情况。
03
发现与整改
在结案之前，我们会出具载明已发现缺陷的草稿。这使您可以立即落实整改措施，并在最终评估中得到正面体现。
04
经认证的最终报告
交付经数字签名的最终报告，可随时提供给SEPBLAC。我们还附上实用建议和下一年度的路线图。
操作清单
加快反洗钱外部专家报告的证据材料
如果报告需要“经得起”检查，决定性的是证据：测试、抽样、日期，以及有文件记录的整改计划。
出具 ≤ 2个月 提交 ≤ 3个月 存档10年 整改计划 ≤ 1年（一般情形）
-
明确基准日期
明确以哪一天作为该年度的“截止日”（避免报告过时或前后不一致）。
-
测试与结果（而非仅有结论）
记录检查了什么、结果如何、发现了哪些问题。避免“陈述式报告”。
-
说明抽样方法
注明样本规模和标准：客户类型、产品、期间和审查比例。如采用统计抽样，须界定总体、方法、置信水平和误差分析。
-
带时间表的整改计划
如存在无法立即纠正的缺陷，请预先批准一份带有明确时间表的计划。
-
档案井然有序
KYC、最终受益人、已开展的分析及支持材料：可在收到监管问询时迅速提交。
我们在审计中纠正的常见错误
外部专家报告的目的不仅是完成手续，更是发现并纠正SEPBLAC视为严重违规的运行缺陷。
⚠️
“纸面手册”
拥有一份泛泛而谈、并未落实到实际运营中的手册。法律要求的是真实的运行有效性，而不仅是理论上的。
⚠️
最终受益人方面的缺陷
仅收集身份证件是不够的。缺少最终受益所有权声明书，或在复杂的公司架构中存在错误。
⚠️
培训内容过时
第29条要求持续培训。典型错误：课程泛泛而谈，没有涉及具体风险（房地产、加密资产、珠宝等）。
⚠️
遗漏强化尽职调查
未对高风险客户（政治公众人物或高风险司法管辖区）采取强化措施。这将被作为未履行客户尽职调查义务予以处罚。
外部专家报告必须能够证明的事项
除“文件”本身之外，检查中真正重要的是可追溯性：期限、测试、抽样和整改计划。
期限 抽样 独立性 运行有效性
期限与报告的“治理”
- 年度报告（如适用，随后两年可出具“跟进报告”）。
- 基准日期与年度周期保持一致（各年度之间不出现断档）。
- 及时出具：避免报告相对基准日期“迟到”。
- 内部上报：重大缺陷连同整改措施提交管理机构/OCI。
这是避免陷入“形式合规而缺乏运行有效性”的关键。
抽样与证据（预期看到的内容）
- 检查了什么：已开展的测试、结果和发现事项（而非仅有结论）。
- 说明样本：规模和覆盖范围（客户、产品、期间等）。
- 可追溯性：KYC/UBO、跟进、预警和培训均有文件支持。
- 已发现的错误：原因、影响和可核查的纠正。
质量提示
如果没有说明“如何”审查（以及采用何种样本），这通常是面对监管问询时的第一个薄弱点。
独立性 + 文件留存
- 真实的独立性：因有偿服务而产生的不相容（设有时间窗口）。
- 合适的人选：说明专家的经验和能力。
- 留存：内部控制文件和证据材料随时可交付。
- 可调取性：回应监管问询时快速、有条理。
降低检查中的处罚风险和声誉风险。
风险为本方法
- 控制措施与业务活动、客户和运营相匹配。
- 针对政治公众人物（PEP）及高风险情形的强化措施。
- 手册、程序与日常执行之间保持一致。
检查中真正“对得上”的，是风险、控制与证据三者之间的一致性。
重要提示：
索取准备工作核对清单
为避免不一致，请使您的存档政策与内部控制体系保持一致：将报告及其证据材料与KYC/UBO、预警和培训资料一并保存。
未及时更新报告的风险与处罚
严重违规：在适用情形下未进行年度外部审查。
可观的经济处罚：起点金额较高，并可根据资产/业务规模进一步上升。
声誉风险：监管问询、检查，以及银行、客户和投资者信任的丧失。
运营受阻：客户开户、供应商、银行账户和审计环节受到阻碍。
补救成本：拖延纠正往往比及时建立并做好记录的成本更高。
您需要一份经得起SEPBLAC检验的外部专家报告吗？
我们协助您出具一份完整、严谨且证据充分的报告：抽样、发现事项、整改，以及可随时应对监管问询的文件。
外部专家报告（AML/CFT）常见问题
什么是外部专家报告？
反洗钱与反恐怖融资领域的外部专家报告，是对防范洗钱内部控制体系的独立审计。其目的是评估体系的运行有效性，找出缺陷，并提出纠正或改进建议。
报告必须可供SEPBLAC和机构的内部控制机构（OCI）随时查阅。
它不是走过场的“手续”：而是应对监管问询、检查和银行开户的一道防御性文件。
多久必须做一次？（周期）
一般义务是每年（最低要求）。在特定情形下，如无重大变化，可在随后两年以跟进报告代替。
重要的是保持年度周期，并使基准日期、测试、出具时间和整改措施前后一致。
哪些法规规范该报告？
主要是：第10/2010号法律及其实施条例第304/2014号皇家法令。技术标准和独立性标准由专门法规规定，包括第EHA/2444/2007号部长令。
关键在于：独立审查、测试的可追溯性、结论和改进计划。
报告具体包含哪些内容？
对体系的全面审查：反洗钱手册、OCI、身份识别（KYC）、最终受益人（UBO）、交易监测、预警、培训（第29条）、文件留存和风险评估。
真正的差别在于：
- 已开展的测试及结果（而非仅有“意见”）。
- 说明抽样方法：规模、标准、覆盖范围。
- 按风险排序的发现事项 + 带时间表的整改计划。
- 证据材料随时可在收到监管问询时交付。
拥有外部专家报告的好处
确保严格遵守第10/2010号法律及反洗钱条例；在内部控制体系的缺陷酿成更大风险之前发现它们；增强在监管机构、客户和战略伙伴面前的可信度。
提供一份正式报告，证明企业的主动合规责任；并给出改进程序、降低风险的具体措施。
审计之前宜准备哪些文件？
为加快进度：现行手册、OCI的会议记录/架构、风险评估、客户准入政策、KYC/UBO档案、预警/监测记录、培训资料，以及此前整改措施的证据。
如果一切井然有序，抽样会更高效，报告质量也更高。
如果不提交或报告已过时，会怎样？
面临处罚、监管问询和声誉问题的风险，并与银行、投资者和合作伙伴产生摩擦。
预防的成本远低于争分夺秒的补救。
外部专家报告费用是多少？
取决于规模、行业、档案数量和业务复杂程度。决定性因素是抽样的实际范围和现有的证据材料。
经快速的风险与文件诊断后，我们会给出量身定制的报价。
预约通话
官方来源
参考法规（附官方文本链接）：
- 2010年4月28日第10/2010号法律，关于防止洗钱和恐怖融资BOE · 合并文本
- 2007年7月31日第EHA/2444/2007号部长令（防范洗钱外部专家报告）BOE · 合并文本
- 2014年5月5日第304/2014号皇家法令，批准2010年4月28日第10/2010号《反洗钱与反恐怖融资法》实施条例BOE · 合并文本
法规及链接已于核实。