西班牙牌照申请中的反洗钱：监管机构要求提交的反洗钱手册

因为牌照是授予一家必须从开业第一天起就有能力合规的机构，而不是等它方便的时候再合规。监管机构在作出决定之前，会把反洗钱体系视为组织架构和资源的一部分来评估，与资本或管理人员的适当性同等重要。

这样看就合乎逻辑了：如果第一笔业务可能在获批次日就到来，就不能存在一段机构在没有程序、没有指定负责人、没有客户接受标准的情况下运营的空窗期。

不可以，而且很快就会被发现。迹象总是那几种：出现您的牌照不允许的产品章节，提到您并不具备的渠道或分支机构，风险自评估没有提及您的目标市场，程序按远大于您的团队规模设计，以及援引与您所属行业不相符的法规。

问题不仅在于被要求修改：一本明显与项目无关的手册，会影响对整份申请文件的评价，并使其他方面的问题成倍增加。

一般而言，包括：载有书面政策与程序的反洗钱/反恐融资手册；机构的风险自评估；客户尽职调查程序——简化、标准和强化——以及最终受益人的识别；对政治公众人物的处理；文件保存政策；可疑交易报告与暂停执行程序；内部控制机构的设立和SEPBLAC代表的任命；员工培训计划；以及由外部专家进行年度审查的安排。

具体范围取决于您的机构类型和风险状况，但这就是监管机构期望看到的基本框架。

这在小型项目中是常见的做法，只要被指定的人具备足够的专业知识、实际投入的时间并能有效获取机构的信息，实践中效果很好。行不通的，是只为填满一个空格而写上的名字。

请注意，义务主体的责任不能外包：即使职能借助外部力量，体系仍然是您的，您的管理机构仍然要承担责任。详见外部SEPBLAC代表。

区别相当大，也是引发监管问询最多的环节之一。远程视频身份识别由2021年5月6日第ETD/465/2021号部长令规范，该部长令规定了录像式和实时视频两种方式，要求保存证据，并按该规定的条件对程序进行事先授权。

申请文件中必须说明完整流程：采集什么、如何核验、保存什么、由谁复核存疑案件，以及涉及哪家服务商。手册写的是当面签字，而您的产品却是一款应用，这是您能提交的最明显的矛盾。

基本框架是相通的——手册、风险自评估、客户尽职调查、治理、培训、外部审查——但侧重点差异很大。支付机构的关键在于运营分析和交易监控；加密资产项目在于可追溯性和对手方风险；投资服务公司（ESI）则在于资金来源和复杂结构的最终受益所有权。

因此我们不会在客户之间重复使用手册：目录可以相似，但真正重要的内容恰恰无法复制。

在提交之前，而不是在收到第一次监管问询之后。反洗钱部分如果来得晚或不扎实，影响不止是延误：已提交的材料也要重做，因为手册的任何调整都会牵动业务活动计划、组织架构和所申报的资源。

我们的实际建议是与申请文件的其余部分同步编制，而不是作为最后的附录。这样文件质量更好，完成得更早，也能避开整个流程中最令人难堪的一轮提问。

欧盟的这一揽子立法——欧盟第2024/1624号条例（AMLR）、欧盟第2024/1640号指令（AMLD6）以及设立总部位于法兰克福的欧洲反洗钱管理局AMLA的欧盟第2024/1620号条例——分阶段适用，目前处于落地实施阶段。

对您的申请文件而言，这意味着两点：目前仍依据第10/2010号法律及其实施条例提交，但在设计体系时最好着眼于这一新框架，尤其是客户尽职调查、最终受益所有权和信息可追溯性。现在搭建得好的体系，稍作调整即可适应；仓促搭建的则要整体重做。

真正的监管此时才开始。手册必须持续更新，业务变化时要复核风险自评估，内部控制机构必须开会并形成会议纪要，培训必须实施并留有记录，而外部专家的年度审查所产生的发现事项必须整改闭环。

这一循环正是我们在反洗钱整改计划中所做的工作。如果有一天监管机构开展检查，被审查的不是您当初提交的手册，而是您此后产生的证据。