西班牙支付机构与金融科技反洗钱合规

从您开展业务起。支付机构、电子货币机构和汇款机构因其金融机构身份，被列入第10/2010号法律第2条，义务随业务开始而产生，而不是从第一次收到监管问询时才产生。

实际上，体系必须提前建立：向西班牙银行提交的牌照申请文件要求说明您将如何预防洗钱、使用什么手段以及由谁负责。带着一份通用手册进入这一阶段的项目，通常会收到监管问询。我们会结合支付机构牌照一并处理。

两者都监管，但层面不同。西班牙银行依据支付服务框架——第(UE) 2015/2366号指令（PSD2）以及在西班牙适用的第19/2018号皇家法令-法（Real Decreto-ley 19/2018）——授权并登记您的牌照，并对机构整体进行监管。SEPBLAC是金融情报机构，也是反洗钱领域的专门监管机构：它接收您的报告并审查您的体系。

实际后果是：两个对口机构、两套档案，谁也不能互相推诿。牌照申请中提交的内容，必须与SEPBLAC核查时实际执行的内容一致。

可以，但前提是有一套合格的程序。ETD/465/2021号部长令规定了视频远程识别方法——录制视频和实时视频——要求程序在使用前形成文件并获得批准，且证据必须保存。

不被接受的恰恰是最常见的做法：用手机上传一张证件照片，既无核验也无记录。仅仅聘请供应商并信任它也不够：责任仍由机构承担，供应商的程序必须是您自己的程序，并经您审查和批准。更多详情见反洗钱与KYC。

应当是由您的风险地图推导出来的规则，而不是供应商默认提供的规则。正确的顺序是：先按产品、渠道、地域和客户类型进行风险自评估；由此得出需要监控的场景；再为每个场景设定带阈值的规则。

典型场景包括：金额拆分、交易速度异常、资金即进即出、高风险通道、与申报画像不符，或看似相互独立的账户之间存在关联。关键不在于清单本身，而在于要有一份文件解释每个阈值为何取该数值。

没有官方数字，对给您数字的人要保持警惕。监管关注的是该比率是否经过衡量、有解释并处于管理之下。如果引擎生成的预警量超出您的团队分析能力，其结果比一个更窄但有人处理的引擎更糟：预警被无标准地成批关闭。

合理的做法是形成有书面记录的校准循环：衡量比率，找出噪音大的规则，用自有数据调整阈值，在投入生产前测试效果，并记录调整前后的情况。当被问到为什么某笔交易没有触发预警时，这份报告就是最好的辩护。

应包含让第三方无需联系您就能还原决定的一切内容。至少包括：触发了哪条规则及其参数、当时交易和客户的数据、已开展的分析、所要求并取得的补充信息、说明理由的决定、由谁在何时作出。

如果结论是基于迹象进行报告，还要归档向SEPBLAC报告的回执；如果是暂停执行，则归档暂停的记录。如果是排除，则要写明具体理由：“常规业务”不是理由，只是一个标签。

是的。外部网络以您的名义运作，面对监管机构，机构要对其业务负责。这是汇款和产品分销中最常见的盲区：代理人以不同于公司的标准为客户开户，没有经认证的培训，也没有人抽查他们的档案。

控制要靠文件来证明：对代理人的事先尽职调查、含明确反洗钱义务的合同、有参加人员登记的培训、对所拓客户档案的定期审查，以及走访记录。我们在支付机构代理人中对此作了展开。

并非天然如此，但它们具有一些必须在自评估中认清的特征。在汇款中，起作用的是目的地通道、现金业务、小额高频交易以及中间人的使用。在电商平台和聚合支付模式中，难点在于了解交易双方，以及识别替他人转移资金的商户。

假装这种风险不存在，才是代价高昂的错误。认清它、分级采取尽职调查并记录额外控制措施，才能把一个令人不安的模式变成站得住脚的模式。您可以在汇款与汇款机构中了解相关安排。

您可以借助供应商，但责任不能外包。机构必须了解并批准供应商所采用的程序，能够对其进行审计，保存证据，并对重要决定保持控制：接受客户、关闭预警或报告可疑迹象。

还要加上技术层面：聘用关键ICT供应商还属于欧盟第2022/2554号条例（DORA）的适用范围，须登记供应商信息并订立强制性合同条款。如果您想将内部职能委托出去，请参阅反洗钱职能外包。