西班牙反洗钱整改计划：以证据闭环整改发现事项

来自三个渠道，而且往往三者并存：西班牙反洗钱监管机构（SEPBLAC）检查的纪要、审查您体系的外部专家报告，以及您自己的内部审查或反洗钱审计。也可能通过间接方式出现，例如代理行或合作伙伴发来问卷并发现漏洞。

我们首先把它们整合成唯一一份清单，因为这些来源的表述各不相同，还常有重复：专家称为保留意见、检查人员描述为违规的事项，有时其实是同一个漏洞被描述了两次。

审计负责检查和诊断；整改负责修复并证明已修复。这是两项不同的工作，不宜混为一谈，也不宜不加考虑地习惯性交给同一个人。

事实上，合理的顺序是：诊断（审计或专家报告）→ 按优先级排序的整改计划 → 带证据的执行 → 对关闭情况的独立核验。如果您缺少第一步，我们从第一步开始；如果您已有发现事项清单，我们直接进入第二步，不会就您已知的内容重新收费。

一份带日期的文件，让外部人员无需您的协助就能核实该行动确已完成。实际例子包括：批准新程序的内部控制机构会议纪要、标明生效日期的手册版本、培训签到表、显示控制措施已启用的系统截图、附有复核日期的已补全客户档案，或向团队通知变更的邮件。

不属于证据的有：电子表格中的“已完成”、说明将要去做的内部邮件，以及无人分发的已批准政策。

不是一次性全部审查，也不是按字母顺序。存量客户整改应当按风险批次推进：先处理按您的风险自评估风险最高的客户，例如股权结构不透明、涉及敏感司法管辖区、政治公众人物、涉及现金交易或交易量异常的客户，然后分波次有计划地处理其余客户。

这种做法有两个好处：先降低实际风险，再降低形式风险；并且从第一批审查完成起就能产生证据。此外，它还能让您向监管机构说明所依据的标准，而这恰恰是对按风险行事、而非按惯性行事的反洗钱义务主体的期望。

计划由合规部门提出，但须由上层批准：管理机构和内部控制机构，并形成会议纪要。这一批准不是官僚程序：它使一份美好愿望的清单变成机构的承诺，配有资源，每项行动都有人负责。

此后，跟进工作仍回到同一机构：对计划状态的每次定期复核都提交该机构，记录已关闭的事项，并决定如何处理已延误的事项。这一循环以会议纪要形式留存，构成了计划一半的可信度。

可以，而且应当整改。但无论如何都不能修改过去的文件，使其看起来一直合规。整改应当面向未来，标明每项行动的真实日期，并作为事后纠正予以记录。

这样做，是程序进行期间少数对您有利的做法之一；反之，则会毁掉整个抗辩。我们在处罚程序中的抗辩中有详细说明。

取决于两个变量，而且都不是发现事项的数量：需要审查的历史存量客户规模，以及执行团队的实际能力。发现事项很多但多属文件类的计划可以很快完成；发现事项不多、却需要重做成千上万份客户档案的计划，则是一个长周期项目。

因此，计划按波次设计，并设置可核验的阶段性里程碑：重要的是从一开始就能证明持续的进展，而不是在有人询问的前一天才把所有事项关闭。

我们可以执行可外包的部分，包括审查和补全客户档案、重写程序文件、培训、准备证据以及计划跟进，其余部分与您的团队并肩协作。这正是我们在反洗钱外包中所做的工作。

不过，规则始终不变：责任不能外包。贵机构仍是反洗钱义务主体，管理机构仍负责批准，SEPBLAC代表仍须承担责任。我们提供人手、专业判断和方法；体系的所有权留在内部。

要如实记录，这与隐瞒截然不同。有些行动取决于信息系统开发、供应商或业务决策，无法在预定期限内解决。此时应记录原因、您在此期间采取的补偿措施，以及经相关机构批准的新承诺日期。

延误有解释、有缓解措施的计划完全站得住脚。含有虚假关闭的计划则不然：这正是会让一次例行检查变成严重问题的那类发现事项。