OCI
从“名义机构”到有效治理
“我们让内部控制机构成为运转中的体系：决策、会议纪要、责任人和可追溯的证据一应俱全。”
西班牙反洗钱内部控制机构（OCI）
我们协助您依据西班牙第10/2010号法律和第304/2014号皇家法令，建立并完善内部控制机构，覆盖反洗钱与反恐怖融资（AML/CFT）。我们明确职责、会议纪要、汇报机制和运营控制措施（而不只是书面文件），统一风险为本方法，并留存可在西班牙反洗钱监管机构（SEPBLAC）和管理层面前经得起检验的证据和整改措施计划。
会议纪要
经得起检验的纪要与汇报
“我们规范会议、决议、跟进和上报流程：决定了什么、为什么这样决定、如何证明。”
KYC / 最终受益人
监督客户档案，而非“零散文件夹”
“我们审查文件完整性、最终受益人（UBO）和资料保存：OCI必须经得起监管问询。”
监测
预警、上报与记录
“我们核验预警标准和处理流程：每个案件的证据、时间节点、决策和可追溯性。”
- 文件保存
- 10年
- 员工培训
- 第29条
- 实施细则
- 第304/2014号皇家法令
反洗钱与反恐怖融资领域，有效的内部控制机构（OCI）包括哪些内容
第10/2010号法律 + 第304/2014号皇家法令（OCI）
内部治理设计：职责、责任人、证据、可追溯性，以及反洗钱与反恐怖融资的合规运营控制。
什么是内部控制机构（OCI）？
负责监督、记录并证明预防措施得到实际执行的治理架构：决策、跟进和上报。
纪要、政策与汇报
审查并完善会议纪要、决议、跟进和汇报：决定了什么、何时决定、依据是什么，以及如何保存证据。
谁需要设立运转有效的OCI？
金融机构、保险公司、专业人士及其他反洗钱义务主体：OCI应与风险、业务、客户和实际运营相适应。
培训与控制文化
监督培训证据：内容及时更新、按岗位定制，并有可核查的出勤与考核记录。
整改措施与控制
按优先级排列的发现事项 + 带时间表的计划：明确责任人、证据，并由OCI跟进，有序弥补缺口，避免临时应付。
内部控制机构的周期与关键期限
运转有效的OCI要看其运行周期：会议、纪要、跟进和证据。 面对监管问询，重要的不是“声称存在”，而是证明决策、控制措施、 上报、整改措施和具有可追溯性的存档。
会议与纪要：实际召开的频率、清晰的决议和明确的责任人。
内部上报：重大事件上报管理层/相关机构，并附行动和跟进。
措施计划：可核查的时间表，用于弥补缺口（否则无法“当场”纠正）。
资料保存：有序存档KYC/UBO、预警、培训、纪要及OCI的决策。
变更复核：业务、客户或运营发生变化时，强化相应体系。
内部控制机构的监督范围：我们监督什么？
健全的OCI不只是一张组织架构图，而是控制、证据和跟进。我们监督文件、运营和数字化可追溯性。
1. 档案与文件（KYC/UBO）
我们检查文件在10年法定期限内的保存情况，并抽样核验客户身份识别的形式完整性和最终受益所有权声明，证据随时可应对监管问询。
2. 软件、预警与处理
我们对您的监测工具进行测试，模拟风险场景，检查系统能否生成正确的预警，以及处理过程是否有可追溯的记录和判断依据。
3. 培训与程序（第29条）
我们审查证据和内容。OCI应确认培训内容及时更新且按岗位定制，有可核查的记录，并与行业风险相一致。
内部OCI还是专业外部支持？
关键不在于“由谁签字”，而在于内部控制机构能否有效运转：治理、运营控制、证据和跟进。 选择合适的模式，可在不损失可追溯性的前提下优化资源。
| 特征 | 内部OCI（自有团队） | 外部支持 / 协同外包（co-sourcing） |
|---|---|---|
| 何时适用？ | 组织内部已有成熟的架构、业务量和扎实的文件管理。 | 缺乏专业能力，或出现变化、业务增长，或需要加快证据整理和方法建设。 |
| 适用范围 | 内部控制的日常管理、会议纪要、跟进和运营执行。 | OCI的建立、技术强化、模板、方法论、抽样和可追溯性改进。 |
| 工作基础 | 内部资源 + 自有程序。 | 标准化的程序、清单和证据，以符合良好实践和监管要求。 |
| 目标 | 保障内部控制的持续与稳定。 | 缩小差距，使OCI专业化，并留存可应对监管问询的有力证据。 |
*所选模式应与您的业务、风险以及能够持续保持的可追溯性相匹配。
我们如何建立并梳理您的内部控制机构
让OCI成为有效治理的实用方法：决策、证据、运营控制，以及随时可应对监管问询的可追溯性。
01
OCI设计与职责
我们明确架构、职责、审批流程、上报机制和会议纪要。内部控制机构必须具有实质性授权和最低限度的证据。
02
程序与运营控制
我们梳理各项程序：客户准入、尽职调查（KYC）、最终受益人（UBO）、资料保存和登记。目标是使执行情况可核查。
03
纪要、跟进与措施
我们落实纪要和跟进模板：事件、决策、责任人，以及带时间表的整改措施。缺少跟进，OCI就会流于“摆设”。
04
定期复核与改进
我们建立复核机制：预警、培训、证据和存档。OCI应保持持续运转，并与风险和运营相一致。
操作清单
增强反洗钱与反恐怖融资内部控制机构（OCI）的证据
如果内部控制机构需要“经受”监管问询，决定成败的是证据： 会议纪要、决策、记录、抽样以及有文件支持的措施计划。
定期纪要
有记录的上报
存档10年
整改计划
-
明确的职责和责任人
OCI不能只是“一个名字”：要界定角色、决策流程以及谁签署什么，并保持可追溯。
-
内容实在的会议纪要
决策、事件、决议、责任人和跟进。避免空洞或没有证据的纪要。
-
经得起检验的记录与抽样
通过抽样和标准控制KYC/UBO档案、预警和培训：覆盖范围、期间、类型和结果。
-
带时间表的措施计划
如有缺陷，应记录包含期限、完成证据并经OCI复核的计划。
-
有序且易于调取的档案
纪要、证据和支持文件随时可迅速提交监管问询，无需“临时抱佛脚”地查找。
我们纠正的内部控制机构常见错误
运转失灵的OCI会使机构暴露在风险之中：风险不仅在于“文件”，更在于运营层面以及面对SEPBLAC时的举证。
⚠️
OCI缺失或徒有其名
仅出现在组织架构图上，没有会议、没有纪要、没有决策。内部控制机构必须能够运转并可被证明。
⚠️
“空洞”的纪要
纪要没有决议，也没有责任人和跟进。OCI应对决策、事件和措施留下可追溯记录。
⚠️
KYC/UBO缺乏监督
仅收集身份证件并不足够。缺少对最终受益人的控制、风险的一致性以及OCI的复核证据。
⚠️
预警缺少标准和记录
如果没有记录在案的处理，监测便毫无意义：决策、上报和支持材料。这会被视为运营上的未尽审慎义务而受到处罚。
内部控制机构应能证明的事项
比起“组织架构图”，检查时更重要的是可追溯性：纪要、决策、测试、跟进和整改计划。
纪要
证据
上报
运营有效性
OCI的治理与运行周期
- 实际召开的会议，有纪要、决议和责任人。
- 对事件和整改措施的跟进。
- 将重大缺陷上报管理层/相关机构。
- 风险、控制与证据之间的一致性。
这是避免沦为“形式合规而无运营有效性”的关键。
证据（检查时期望看到的内容）
- 审查了什么：已实施的测试、结果和发现。
- 记录：KYC/UBO、预警、培训及OCI决策，并附支持材料。
- 可追溯性：为何作出决定、何时作出、依据什么证据。
- 整改：可核查的完成情况和跟进。
质量提示
如果无法证明OCI“如何”决策和监督，面对监管问询时这通常是第一个薄弱点。
文件保存与可调取性
- 存档：纪要、证据和支持文件随时可提交。
- 保存：文件有序，并与法定期限一致。
- 可调取性：应对监管问询时快速而有条理。
- 一致性：程序得到统一适用。
降低检查中的处罚风险和声誉风险。
风险为本方法
- 控制措施与业务、客户和运营相适应。
- 针对政治公众人物（PEP）及高风险情形的强化措施。
- 程序与日常执行相一致。
检查中“对得上”的，是风险、控制与证据之间的一致性。
重要提示：
索取OCI实施清单
为避免不一致，请使您的档案与内部控制保持一致： 保存OCI纪要、决策、KYC/UBO、预警和培训，并确保可追溯。
如果您的内部控制机构不运转有效，将面临的风险与处罚
违规风险：OCI缺失、徒有其名或没有可核查的证据。
经济处罚和监管措施：缺乏运营控制会加重受处罚的风险。
声誉风险：检查、监管问询，以及银行、客户和投资者的信任流失。
运营受阻：客户准入、供应商、银行账户和外部审计出现障碍。
应急成本：“赶时间”整理纪要、证据和控制措施，往往代价高得多。
您需要为反洗钱与反恐怖融资建立或强化内部控制机构（OCI）吗？
我们协助您让OCI成为真正的控制：有用的纪要、KYC/UBO、预警、培训、跟进，以及随时可应对监管问询的证据。
反洗钱与反恐怖融资内部控制机构（OCI）常见问题
什么是内部控制机构（OCI）？
内部控制机构（OCI）是负责监督并证明洗钱防范体系得到实际执行的治理架构。 其目标是确保运营有效性：决策、纪要、跟进、记录和证据。
它必须能够迅速应对监管问询，在KYC/UBO、预警、培训和整改措施方面证明可追溯性。
它不是“一个职位”：而是有可靠证据支撑的真实控制。
多久应召开会议并形成记录？
仅仅“存在”是不够的：OCI应按与风险相适应的周期召开会议并形成纪要，并有真实的跟进循环。
重要的是风险、决策、证据和整改措施之间的一致性。
哪些法规适用于反洗钱领域的OCI？
主要框架：西班牙第10/2010号法律及其实施细则第304/2014号皇家法令。实践中要求控制措施可追溯、证据、文件保存以及风险为本方法。
关键在于：运营层面的内部控制，而不只是文件。
建立良好的OCI包括哪些内容？
治理与控制：纪要、政策、客户准入、KYC与最终受益人（UBO）、交易监测、预警、培训（第29条）、文件保存、跟进和整改措施。
真正的差别在于：
- 纪要载明决策和跟进（而非“空洞的纪要”）。
- 可核查的记录和证据（KYC/UBO、预警、培训）。
- 带时间表的整改措施，并有书面记录的完成情况。
- 档案有序，应对监管问询时随时可调取。
拥有运转有效的OCI的好处
强化合规，降低受处罚风险。避免手册与实践不一致，并改善对银行、合作伙伴和审计的应对。
带来真实的内部治理：决策、证据和持续控制。
建议准备哪些文件？
要建立或强化OCI，需要：现有纪要、现行手册、风险评估、客户准入政策、KYC/UBO档案、预警/监测记录、培训以及整改措施的证据。
文件井然有序，OCI就能更快速、更一致，也更有保障。
如果OCI运转失灵或没有留下证据，会怎样？
处罚、监管问询和声誉问题的风险上升，还会与银行、投资者和合作伙伴产生摩擦。
及时预防并留存记录，比“赶时间”纠正便宜得多。
建立或改进OCI需要多少费用？
取决于规模、行业、档案数量和运营的复杂程度。起决定作用的是现有证据和当前的有序程度。
在对风险、纪要和文件进行快速诊断后，我们会给出量身定制的报价。
预约OCI通话
官方来源
参考法规（附官方文本链接）：
- 2014年5月5日第304/2014号皇家法令，批准2010年4月28日第10/2010号《反洗钱与反恐怖融资法》实施条例BOE · 合并文本
- 2010年4月28日第10/2010号法律，关于防止洗钱和恐怖融资BOE · 合并文本
法规及链接已于核实。