MiFID II合规审计：抢在西班牙证监会（CNMV）之前做的自查

最近更新：2026年8月4日

MiFID II合规审计：范围、方法和成果

MiFID II合规审计不是讲解法规，而是将法规与您的运营逐项对照。参照框架为第2014/65/UE号指令（MiFID II）、第600/2014号条例（MiFIR）和第2017/565号授权条例，它们在西班牙通过第6/2023号法律和第813/2023号皇家法令得以适用。审查只衡量一件事：每项行为义务是否都留有书面痕迹，让您无需重建任何材料就能向CNMV展示。我们基于真实档案开展工作，访谈一线接待客户的人员，并交付按优先级排序的发现事项和可执行的整改计划。

审查哪些领域

审查范围是客户的整个流程。起点是客户分类——按MiFID II附件II分为零售客户、专业客户或合格交易对手——因为应给予的保护和必须作出的风险警示都取决于分类。接着是事前评估：提供咨询或投资组合管理时进行适合性测试（MiFID II第25条），其中包含了2023年更新的ESMA适合性指引所纳入的可持续性偏好；在非咨询类服务涉及复杂产品时进行适当性测试，包括其风险警示制度和仅执行豁免。然后是经济透明度：事前和年度事后的成本与费用信息披露，须汇总列示、应要求提供明细，并体现对收益的累计影响（MiFID II第24(4)条和第2017/565号授权条例第50条），以及第24条的激励制度——在独立投资咨询和全权委托投资组合管理中，激励被禁止。最后是第16(7)条的通讯录音、第16(3)条和第24(2)条的产品治理（含正向和负向目标市场）、第27条的最佳执行，以及利益冲突管理。

如何执行：抽样、访谈和工作底稿

这套方法有意让人不太舒服，因为它复现的正是监管机构的逻辑。首先以书面形式确定审计范围：领域、考察期间和涉及的部门。然后选取样本，由审计人员而非被审计方来选：按产品、按客户经理和按边界案例选取档案——被重新分类的客户、复杂产品、客户主动发起的交易、没人再看过的旧合同。对这份样本做两件事。一是文件审查：核实文件是否存在、是否已签署、是否仍然有效，以及是否与链条中的下一环节相一致。二是可追溯性测试：索要一个具体案例，并计时机构需要多久才能把它收集齐全，因为需要数周才能找出的证据，无法用于应对监管问询。此外还有对接待客户人员、编制成本信息人员以及合规职能的简短访谈。所有工作都记录在工作底稿中，使数年之后仍能还原这次审查。

成果：发现事项、严重程度和整改计划

报告不是一份问责清单。每项发现事项都包含四个要素：具体的法规要求、已审查的证据、观察到的偏差和可操作的建议。每项发现事项都会被赋予一个严重程度，据此安排工作顺序：先处理影响客户保护或使机构拿不出证据的事项，再处理结构性事项。由此形成整改计划，这是真正会被用到的部分：一张列明行动、内部责任人和完成日期的表格，可提交管理机构并在会议纪要中批准。最后是证据文件夹，按事项分类整理，使机构下次不必再重新寻找同样的文件。如您委托，我们会在一段时间后核查关闭情况，并记录哪些发现事项已解决、哪些仍未关闭及其理由。这条轨迹——自我评估、获批的计划和后续跟进——恰恰证明了机构具备自我管控的能力。

何时审计，以及利害所在

有四个自然的时间点：商业模式或产品线发生变化时、新的合规负责人到任时、有投诉质疑某项具体推荐时，以及监管机构采取行动时。CNMV既进行持续的非现场监管，也进行现场检查，其思路始终如一：它不会问您的手册写了什么，而是要求您把案例拿出来。我们在CNMV监督与检查中对此作了说明。证券市场法规将违规行为分为轻微、严重和非常严重三类，后果从罚款到公开谴责、撤销授权或取消任职资格不等；详情见CNMV处罚。面对这些，一次注明日期的独立审查，连同获批的计划和后续跟进，就是主动纠正的机构与事后才发现问题的机构之间的区别。如果您是已获授权的EAF，请将其纳入持续性义务日历。

本内容仅供一般性参考，不构成法律意见。文中引用的法规在所标明的更新日期之后可能已被修订：请务必核对现行有效的版本，或联系我们，分析您的具体情况。