全景第1阶段
您的服务提供商实际做什么
我们会区分外包（服务提供商代您执行客户尽职调查任务）与非外包（使用其软件、数据库或筛查服务），因为两者适用的规则不同。
AMLR鉴于条款第47项。
KYC外包合同
如果KYC服务提供商为您识别客户或核验客户文件，责任仍由您承担。自2027年7月10日起，欧盟第2024/1624号条例（AMLR）第18条要求签订书面合同、开展定期控制，并事先通知监管机构。我们负责起草或审查该合同。
您的KYC合同符合AMLR要求吗？免费审查
请告诉我们您的KYC服务提供商做什么，我们会告诉您合同还缺少什么。
- 24小时内回复
- 无需承诺
- 严格保密
- 适用日期
- 2027年7月10日
- 绝不可外包的任务
- 6
- 依赖第三方时的交付期限
- 5个工作日
- 参考法规
- AMLR第18条
我们能为您做什么
在监管机构面前保护您的KYC合同
KYC外包是合法的，但AMLR规定了哪些事项可以委托、哪些不可以，以及合同必须写明什么。我们会在SEPBLAC或您的监管机构审查之前把这些都安排妥当。
边界第2阶段
不得委托的任务
我们核查服务提供商没有替您决定客户风险画像、是否接受业务关系，也没有代您提交可疑交易报告。
AMLR第18.3条。
合同第3阶段
合同条款
我们起草或审查书面协议：任务范围、贵方政策的适用、再外包、信息获取、审计、数据保存和合同终止。
AMLR第18.4条。
事前评估第4阶段
服务提供商评估
在服务提供商开始工作之前，我们会记录其是否具备足够资质、设立在何处以及如何保护数据。
在签约之前，而不是之后。
监管机构第5阶段
通知与定期控制
我们准备向监管机构的事先通知以及定期控制计划，控制频率与该任务的重要程度相匹配。
AMLR第18.1条和第18.4条。
过渡第6阶段
从第10/2010号法律到AMLR
我们调整您现有的、依据西班牙第10/2010号法律和第304/2014号皇家法令签订的合同，使其能够平稳过渡到2027年7月10日，而无需仓促重新谈判。
一份合同，适用两套制度。
常见情形
何时需要审查您的KYC合同
当客户开户并非由您自己的团队完成时，服务提供商合同是监管机构首先要求提供的文件。
线上开户
您通过服务提供商远程识别客户
由第三方负责视频身份验证、证件读取或生物识别：如果其代您执行该任务，则视为贵机构的一部分，责任由您承担。
AMLR 2027
2027年7月10日即将到来
AMLR第18条将直接适用：外包前须签订书面合同、开展定期控制，并事先通知监管机构。
欧盟以外
您的服务提供商位于第三国
如果其设立在依AMLR认定的第三国（高风险国家、存在合规缺陷或构成特定且严重威胁的国家），您只能在集团内部外包，并须适用集团层面的控制。
检查
监管机构要求您解释流程
您必须能够证明您理解服务提供商所做事项的逻辑，并证明其能够缓释您面临的具体风险。
法规要求
KYC外包数据一览
数据来自欧盟第2024/1624号条例（AMLR）、西班牙第10/2010号法律和第304/2014号皇家法令。
AMLR第90条
2027年7月10日
欧盟第2024/1624号条例的一般适用日期。
AMLR第18.3条
6项任务
绝不可外包：风险评估、政策、风险画像、客户接受、向金融情报机构（FIU）报告以及检测标准。
AMLR第18.1条
事先通知
机构须在服务提供商开始执行任务之前，向监管机构通知外包事项。
AMLR第49.3条
5个工作日
您所依赖的反洗钱义务主体向您提交客户尽职调查信息的最长期限。
第10/2010号法律第8条
书面协议
目前，依赖第三方须事先签订书面协议，且不包括对业务关系的持续监测。
AMLR第18.8条
指引
欧盟反洗钱管理局（AMLA）须最迟于2027年7月10日发布外包指引。
常见问题
KYC外包：常见问题
KYC可以外包吗？
可以。AMLR第18条允许将该条例所产生的任务外包给服务提供商；目前，西班牙第10/2010号法律也允许依赖第三方以及外包或代理关系。无论哪种情况，反洗钱义务主体仍对服务提供商的作为或不作为承担全部责任。
哪些任务绝不能外包？
根据AMLR第18.3条：提出并批准整个机构的风险评估；批准内部政策、程序和控制措施；决定客户的风险画像；决定建立业务关系或开展偶发交易；向金融情报机构（FIU）报告可疑交易或基于阈值的申报（向同一集团、同一成员国的另一反洗钱义务主体报告的除外）；以及批准可疑交易的检测标准。
使用身份验证软件算外包吗？
不一定。AMLR鉴于条款第47项明确，如果履行该要求的仍是机构本身，则使用或购买第三方软件、访问数据库或筛查服务不视为外包。当服务提供商代您执行客户尽职调查任务时，则属于外包。
与KYC服务提供商的合同应包含哪些内容？
至少应包含AMLR第18.4条所要求的内容：一份书面协议，写明任务条件，以及服务提供商和任何分包商适用您的政策、程序和定期控制的义务；此外，依第18.5条，不得有任何妨碍监管的内容。如果您是信贷机构、支付机构或电子货币机构，建议同时与欧洲银行管理局（EBA）的外包指引保持一致。
需要通知监管机构吗？
依AMLR，需要：机构应在服务提供商开始之前向监管机构通知外包事项（第18.1条）。通知并不意味着监管机构认可该协议，但监管机构可以利用它评估您的控制措施或筹备检查。
外包与依赖另一反洗钱义务主体有什么区别？
在外包中，服务提供商视为贵机构的一部分，并适用您的政策。在依赖第三方（AMLR第48至50条）中，您依赖的是另一家受监管的反洗钱义务主体已经完成的客户尽职调查，对方须在最长五个工作日内向您提交信息。两种情况下，最终责任都仍由您承担。
我可以使用欧盟以外的KYC服务提供商吗？
可以，除非其设立在依AMLR第三章第2节认定的第三国：高风险国家、存在合规缺陷或构成特定且严重威胁的国家。在这种情况下，您只能外包给自己集团内的服务提供商，该提供商须适用符合该条例的集团政策，并受集团层面的监管（第18.6条）。
那么到2027年之前适用什么规则？
适用第10/2010号法律和第304/2014号皇家法令。该法第8条允许在事先签订书面协议的前提下，依赖受反洗钱规则约束的第三方，但持续监测除外；该条不适用于服务提供商被视为反洗钱义务主体一部分的外包或代理关系。此外，自2026年10月28日起，第304/2014号皇家法令第21条要求非面对面身份识别的“其他安全程序”须满足SEPBLAC公布的一般授权的最低要求。
实操指南
如何在不失去控制的前提下外包KYC
监管机构不会问您服务提供商是否优秀，而是问您是否理解并控制其所做的事情。
什么是外包，什么不是
软件和数据库不属于外包；代您执行客户尽职调查则属于外包。
决定权在您手中
风险画像、客户接受和向金融情报机构（FIU）报告，绝不能离开机构。
有据可查的控制措施
合同、事前评估、定期控制和向监管机构的通知，证明该模式行之有效。
分10步外包KYC
- 列出服务提供商将执行的任务，并区分外包与单纯使用其软件。
- 核查这些任务均不在AMLR第18.3条的清单之内。
- 签约前，评估服务提供商是否具备足够资质以及设立在何处。
- 排除位于依AMLR认定的第三国的服务提供商，除非其属于您的集团且满足集团层面的条件。
- 签订书面协议，要求服务提供商及其分包商适用您的政策和程序。
- 加入信息获取、数据保存、审计权和有序退出条款；如适用，与EBA指引保持一致。
- 在服务提供商开始之前，向监管机构通知外包事项（AMLR制度）。
- 设定定期控制，控制频率与外包任务的重要程度相匹配。
- 记录服务提供商流程的逻辑，以及它如何缓释您面临的具体风险。
- 待AMLA发布外包指引后，重新审查合同。
来源：欧盟第2024/1624号条例（第18、48至50和90条；鉴于条款第47至50项）、第10/2010号法律（第8条）和第304/2014号皇家法令（第13和21条）。
实务词典
KYC外包的关键概念
这些术语出现在欧盟第2024/1624号条例、第10/2010号法律以及对您客户开户流程的任何审查中。
KYC了解您的客户
客户尽职调查
识别并核验客户和最终受益人，了解业务关系的目的，并对其进行监测。
反洗钱预防的核心。
外包AMLR第18条
外包
将该条例所产生的任务委托给服务提供商；服务提供商被视为机构的一部分。
责任不会转移。
依赖第三方第48至50条
依赖其他反洗钱义务主体
依赖另一家受监管的反洗钱义务主体已经完成的客户尽职调查。
五个工作日内提供信息。
服务提供商供应商
服务提供商
代反洗钱义务主体执行合规任务的公司，即使其本身不是反洗钱义务主体。
其义务源自合同。
再外包链条
再外包
服务提供商将任务委托给另一服务提供商，后者同样须适用机构的政策。
AMLR第18.4条。
重要任务重要性
重要的外包任务
其重要程度决定机构必须开展控制的频率。
越重要，控制越严。
AMLA管理局
欧盟反洗钱和打击恐怖融资管理局（AMLA）
负责发布外包和依赖第三方指引的欧盟机构。
须在2027年7月10日之前发布指引。
第三国禁止
被认定的第三国
依AMLR认定的高风险国家、存在合规缺陷或构成严重威胁的国家：除集团内部外，不得在该国外包。
AMLR第18.6条。
监测目前须自行开展
对业务关系的持续监测
依据第10/2010号法律，在依赖第三方的情形下，除集团内部外，不得委托第三方开展。
第10/2010号法律第8.1条。
操作手册
外包KYC还是依赖其他机构：有何不同
由谁来做
外包：服务提供商作为贵机构的一部分开展工作。
依赖其他反洗钱义务主体：另一家已完成自身客户尽职调查的反洗钱义务主体。
适用的政策
外包：适用您的政策，再外包时同样如此。
依赖其他反洗钱义务主体：适用另一机构的政策，该机构须遵守AMLR或等效规则。
形式要求
外包：书面协议并事先通知监管机构。
依赖其他反洗钱义务主体：就信息传递订立书面协议。
信息
外包：依合同获取信息，并开展定期控制。
依赖其他反洗钱义务主体：立即提供，且最长不超过五个工作日。
责任
外包：由反洗钱义务主体承担全部责任。
依赖其他反洗钱义务主体：由依赖方承担最终责任。
外包KYC时的常见错误
在审查外包的客户开户流程时，这些环节最容易出问题。
- 让服务提供商决定是接受还是拒绝客户。
- 直接签署服务提供商的标准合同，其中没有您的政策和访问权。
- 无法解释服务提供商如何作出决定，以及它覆盖哪些风险。
- 不控制服务提供商的分包商。
- 在没有事前评估、也没有记录在案的定期控制的情况下外包。
联系我们
预约通话
请告诉我们您使用哪家KYC服务提供商、委托其哪些任务，以及您签署了什么合同，我们会告诉您需要修改什么。
KYC外包与欧盟第2024/1624号条例第18条
更新于2026年10月15日
欧盟第2024/1624号条例（AMLR）自2027年7月10日起适用，以一部直接适用的欧盟法规对反洗钱任务的外包作出规范。其第18条允许将任务委托给服务提供商，但设定了限制，要求签订书面协议，并让反洗钱义务主体继续承担全部责任。
第18条允许什么
反洗钱义务主体可以将该条例所产生的任务外包给服务提供商，并须在服务提供商开始之前通知监管机构。服务提供商被视为机构的一部分，机构仍须对任何作为或不作为承担全部责任，并须能够向监管机构解释服务提供商所做事项的逻辑，以及它如何缓释机构的风险。
绝不外包的事项
第18.3条排除了以下事项：整个机构的风险评估、政策和控制措施的批准、客户风险画像的决定、建立业务关系的决定、向金融情报机构（FIU）报告可疑交易或基于阈值的申报（集团内部且同一成员国的除外），以及检测标准的批准。对于没有法人资格的集体投资机构，经监管机构批准，设有有限的例外。
合同与控制措施
外包之前，机构必须确保服务提供商具备足够资质。相关条件在书面协议中确定，服务提供商及其分包商适用机构的政策，机构则开展定期控制，控制频率取决于任务的重要程度。对于信贷机构、支付机构和电子货币机构，欧洲银行管理局（EBA）的外包指引（EBA/GL/2019/02）为涉及重要职能的合同增加了最低内容要求；EBA已于2026年9月发布关于第三方风险管理的指引，将取代上述指引。
2027年之前：第10/2010号法律
在此期间适用第10/2010号法律第8条：可以在事先签订书面协议并保持全部责任的前提下，依赖受反洗钱规则约束的第三方来履行客户尽职调查，但持续监测除外。该条不适用于服务提供商被视为反洗钱义务主体一部分的外包或代理关系。第304/2014号皇家法令对协议作了细化（第13条），并自2026年10月28日起，将非面对面身份识别的“其他安全程序”交由SEPBLAC的一般授权规范（第21条）。
适用位置
如果您需要了解基本背景，请先阅读什么是KYC。与服务提供商的合同是您的反洗钱手册和内部控制的一部分。如果您希望将合规管理委托给律师事务所，请参阅反洗钱与反恐怖融资外包；关于欧盟新框架的整体情况，请参阅我们的AMLR页面。