写在《反洗钱法》出台后：新法突破要点进阶解读

2024年11月8日，第十四届全国人大常委会第十二次会议表决通过了新修订的《中华人民共和国反洗钱法》（以下简称“新版《反洗钱法》”或“新法”），自2021年起，《反洗钱法》历经3轮修订草案，终于在2024年底前正式落地，新版《反洗钱法》将于2025年1月1日起正式施行。

新法的出台速度在预料之外但也是情理之中，借此契机，笔者拟结合行业经验，在此前已多次分析讨论《反洗钱法》相关修订草案的基础上（具体可参见既往文章），对于此次新版《反洗钱法》中具有一定突破性的修订内容进行解读，以便给予读者不同的思考视角。

反洗钱相关工作一直被视为金融机构及企业的合规防线，机构及岗位人员在履职过程中一直处于化解风险与承担义务的角色之中，随着反洗钱工作广泛向全经济活动主体延伸的态势，以及立法机关、监管机构大力鼓励全社会参与预防洗钱活动的整体态度，本次新法第十一条特别加入了对于在反洗钱工作中做出突出贡献的单位和个人，按照国家有关规定给予表彰和奖励的内容，而此前在旧法中仅停留在单位及个人对于洗钱活动的举报义务层面。

“举报+奖励”的联动机制一方面为提升全社会主体参与反洗钱工作的主动性，鼓励企业、机构内部个人积极举报可疑行为，敦促企业机构完善内部流程，把控自身风险；另一方面对于金融机构、特定非金融机构主体而言，亦可以尝试通过优化反洗钱相关工作成效，取得监管认可及相关奖励表彰的路径，在同业竞争中取得优势位置，提升机构合规声誉。“举报+奖励”在其他国家有较为良好的适用先例，但同时也为义务主体提出了更高的要求。

结合监管态度以及金融机构实操情况，近些年反洗钱工作的实质打击对象已延伸至中国内地法律语境下的恐怖主义融资、具有中国经济活动特色的电信网络诈骗。此次新法修订更是从制度层面凿实了整个反洗钱工作体系，明确将反恐怖主义融资、“定向金融制裁”纳入其中，如新法第二条规定，预防恐怖主义融资活动适用本法。新法第四十条要求，对于涉及“定向金融制裁”的组织和人员名单采取反洗钱特别预防措施。另外新法第二条对于洗钱上游犯罪拓展了“其他犯罪”的类型，也为反电诈相关合规工作纳入反洗钱体系管理提供了制度空间。

从金融机构履职角度，应当关注反洗钱与反恐怖主义融资、反电诈以及“定向金融制裁”相关义务在整个反洗钱管理体系中的衔接与整合，避免出现环节甚至是整体板块的遗漏，但同时也应高度警惕出现“眉毛胡子一把抓”的情况，因为不同监管框架下的合规义务与审查标准可以说差别巨大。对于“定向金融制裁”部分，我们会在第八点进行展开论述。

本次新法修订从法律层面框定了特定非金融机构的主体范围，根据新法第六十四条的规定，除会计师事务所、律师事务所、公证机构等第三方中介机构外，房地产开发企业或者房地产中介机构以及规定金额以上贵金属、宝石现货交易商均须作为的定非金融机构履行反洗钱义务。

根据新法第四十二条的规定，特定非金融机构在从事规定的特定业务时，应当参照关于金融机构履行反洗钱义务的相关规定，根据行业特点、经营规模、洗钱风险状况履行反洗钱义务。而此前大量特定非金融机构对于反洗钱风控工作的认识及履行基本停留在配合银行完成反洗钱相关工作，或仅存在内部制度但未真正落地内部反洗钱流程风控的浅层工作层面。由于新法对于特定非金融机构参照金融机构的标准平行设置了反洗钱调查及行政处罚，因此特定非金融机构的反洗钱工作已经从可选择履行及配合角色过度到了义务化、责任化以及主体化的阶段。

目前，除新法规定外，各相关行业自律组织与管理机构也在出台本机构体系内的细化规定，但毕竟由于特定非金融机构的反洗钱履职几乎是一个从实操层面全新的问题，各个相关机构均应当尽快学习与落实相关义务规定。

随着境内监管对于企业信息透明度的不断强化，2024年《受益所有人信息管理办法》以及对应的《受益所有人信息备案指南（第一版）》相继出台，以及本次《反洗钱法》修订明确受益所有人识别备案要求及相应的行政责任后果，试图从制度层面打通受益所有人信息从企业备案到金融机构识别的操作壁垒，降低由于机构间信息差所带来的金融风险及犯罪风险。我们后续也将写作相关文章，对于《受益所有人信息备案指南（第一版）》的内容进行解读，敬请期待。

近几年伴随着金融机构关于受益所有人识别的实操工作经验积累，以及监管机构相关文件的提示及指引，受益所有人认定标准的解读及适用正在逐渐梳理出相对清晰的脉络，而对于新法要求下的企业备案主体而言，挑战才刚刚开始：

比如，此前绝大多数企业只顾“照章办事”配合金融机构完成识别工作，可能存在没有完整披露收益权、控制权情况，或者因识别标准存在交叉或空白区域而从简处理导致实际情况与金融机构识别结果不符的情况等等，一方面企业应当考虑后续重新备案识别，更正现有信息，以避免相应的行政责任后果；另一方企业也应当高度关注，如确实存在信息提供不实的情况是否会引发涉及违反对金融机构如实披露义务而导致的相关合同责任，甚至是刑事责任风险。

此外，对于下设大量子公司、孙子公司的企业穿透识别受益所有人的问题、含有国有成分如何准确识别的问题等等，都有待市场主体根据实际情况自行解决，如果企业存在备案不准确的情况将可能难以避免行政处罚的风险，还需严肃审慎研究处理。

从金融机构履职的角度，此次新版《反洗钱法》对于反洗钱信息保密及个人信息保护要求的并未在《个人信息保护法》相关规定的基础上进行扩大，但实操层面仍有至少以下两点须着重关注：

1、金融机构内部信息共享要求

根据新法第三十七条的规定，为履行反洗钱义务在公司内部、集团成员之间共享必要的反洗钱信息的，应当明确信息共享机制和程序。共享反洗钱信息，应当符合有关信息保护的法律规定，并确保相关信息不被用于反洗钱和反恐怖主义融资以外的用途。

根据上述规定要求，金融机构在集团内部传递、共享反洗钱信息时，应当关注对于涉及敏感个人信息、消费者金融信息保护等相关法律法规要求，同时还提示金融机构关注到内部主体间对于个人信息保护责任的分配问题，以及信息用途限制的实施保障机制等方面。

2、金融机构间为履行反洗钱义务进行的信息共享亦应当关注个人信息保护要求

根据新法第七条的规定，对依法履行反洗钱职责或者义务获得的客户身份资料和交易信息、反洗钱调查信息等反洗钱信息，应当予以保密；非依法律规定，不得向任何单位和个人提供。也就是说，目前从法律规定层面没有明确规定金融机构间关于反洗钱相关信息的直接传递通道，因此，从金融机构履职的角度，代销机构向委托方的反洗钱信息传递，以及收到代销机构提供的反洗钱信息后由金融机构再向其他金融机构合作方提供的情形，均应当严格满足个人信息保护法、金融消费者权益保护等相关法律法规的规定要求，金融机构应当高度关注在客户合同及同业合作协议中相关内容的约定及处理，划清权责范围，兼顾风险控制层面的信息穿透需求及个保责任的平衡要求，避免出现合同违约及其他行政处罚风险。

总体而言，这些问题并不是新问题，但由于反洗钱工作链条较长，涉及的机构内外部部门、人员过多，一旦发现问题，很可能呈现“多米诺骨牌”版各处爆破的风险事件，需要提前预防与处置。

根据新法第第三十九条的规定，单位和个人对金融机构采取洗钱风险管理措施有异议的，可以向金融机构提出。相关单位和个人逾期未收到答复，或者对处理结果不满意的，可以向反洗钱行政主管部门投诉。另外，单位和个人对金融机构采取洗钱风险管理措施有异议的，也可以依法直接向人民法院提起诉讼。并且在《全国人民代表大会宪法和法律委员会关于<中华人民共和国反洗钱法（修订草案）>审议结果的报告》中，立法机关特别提及：“洗钱风险管理措施不是行政管制，金融机构采取洗钱风险管理措施应当在其业务权限范围内进行，不得擅自冻结或者变相冻结客户资金，侵犯其取款权利。”

对于金融机构而言，风险控制措施的采取面临着从此前的“粗放式”“一刀切”管理收束至“风险为本”“比例适当”的更准确更细化的管理方向，特别是在新法搭建起一条“客户——金融机构——反洗钱行政管理部门——人民法院诉讼”的维权沟通渠道的基础上，客户对于金融机构风控措施的监督手段较为丰富，金融机构未来不可避免的将出现巨大的投诉及诉讼风险，带来很大的声誉管理压力，因此金融机构应当“未雨绸缪”，提前考虑风控手段优化适用以及负面舆情管控应对准备。

本次新法修订正式确立了“风险为本”反洗钱工作原则及理念，根据新法第四条规定，反洗钱工作应当依法进行，确保反洗钱措施与洗钱风险相适应，保障正常金融服务和资金流转顺利进行，维护单位和个人的合法权益。也因此，对于机构风险的充分认识以及正确评估，是反洗钱管理工作的起点，也是最终落实到风险控制环节效果的检验标尺，而实际操作中，许多金融机构恰恰存在风险识别与认识方面的短板，比如对于产品风险的评估以及认识存在不足，包括但不限于新产品洗钱风险评估流于表面，产品洗钱风险评估指标设置不灵敏、风险分类管理中高风险和低风险极端扁平管理，中风险产品缺乏有效管理手段等问题，并且直接或间接导致客户风险评估的结果无法与产品风险相匹配，从而无法形成真正发挥洗钱风险控制效果的客户准入标准等问题。

本次新法第三十条也对客户准入及客户风险管理的尺度提出了要求，明确金融机构采取洗钱风险管理措施，应当在其业务权限范围内按照有关管理规定的要求和程序进行，平衡好管理洗钱风险与优化金融服务的关系，不得采取与洗钱风险状况明显不相匹配的措施，保障与客户依法享有的医疗、社会保障、公用事业服务等相关的基本的、必需的金融服务。也即，金融机构在重视客户洗钱风险评估及分类管理的同时，兼顾产品风险与客户风险匹配平衡的问题，对于产品洗钱风险的评估及风险梯度管理水平也应当重点提升。

本次新法通过第四十条反洗钱特别预防措施将名单管理正式纳入到反洗钱管理体系中来，根据第四十条的规定，需要采取反洗钱特别防御措施的名单不仅包括反洗钱相关名单，还囊括了反恐怖主义名单以及“定向金融制裁”名单。需要关注的是，这一义务是“任何单位和个人”的义务，即是普适性的、全经济活动主体都必须履行的反洗钱义务。

1、就金融机构与特定非金融机构而言，从实际操作的角度，“反洗钱特别预防措施名单”是从法规层面新提出的名单要求，其风控规定与此前其他洗钱风险名单有所不同。由于目前成熟的名单管理机制内的名单种类已经过于复杂，如何梳理及理清各个名单类别的不同风险管控方式，会是在不久的将来各个机构需要优先处理的重点问题。

2、对于其他单位和个人，目前《反洗钱法》已列明如果不能履行名单管理类与风控要求的，将对单位和个人处以罚款及警告，且从实操层面，将很可能在与金融机构与特定非金融机构合作时面临民事风险。

3、需要关注的是，目前《反洗钱》所规定的名单管理要求里涉及的制裁内容，仅仅是“定向金融制裁”名单管理，而不包括普遍意义上的各类“制裁”，虽然其他制裁是企业经济活动中必须关注与处置的风险事件，但有必要和《反洗钱》规定相区分，其风险后果是截然不同的。

相比较于在修订草案阶段，立法机构对于跨境协作仍持有“不能擅自遵从”的审慎态度，新法修订出台对于跨境协作采取了更为积极的态度，根据新法第四十九、五十条的规定，允许（1）按照对等原则或者经与有关国家协商一致，可以要求在境内开立代理行账户或者与我国存在其他密切金融联系的境外金融机构予以配合；允许（2）外国国家、组织基于合规监管的需要，要求境内金融机构提供概要性合规信息、经营信息等信息的，境内金融机构向国务院有关金融管理部门和国家有关机关报告后可以提供或者予以配合；但对于外国国家、组织违反对等、协商一致原则直接要求境内金融机构提交客户身份资料、交易信息，扣押、冻结、划转境内资金、资产，或者作出其他行动的，金融机构不得擅自执行，并应当及时向国务院有关金融管理部门报告。

可能是基于现今国际局势情况及跨境洗钱活动的活跃趋势考虑，同时又出于我国强金融监管的基本立场，目前对于跨境协作的执行呈现出带有部分略有冲突态度的监管倾向。对于机构而言，最重要的，莫过于分析每一个监管事件涉及的到底是否是“概要性合规信息、经营信息”，是否涉及“对等原则或者经与有关国家协商一致”等，从我们的经验来看，实际情况非常复杂，极度考验机构的分析与判断能力。

对于《反洗钱法》修订后处罚力度大幅提升的情况，事实上在新法正式对外公布前，监管机构已经从实际执行层面大幅提升了反洗钱相关的处罚力度，新法相关内容的更新只不过是从法律层面落实了监管机构执行处罚的相应依据，金融机构已普遍认识到了新法正式施行后未来可能面临的处罚规模。

1、值得关注的是，对于此前反洗钱相关工作履职较为松散的房地产企业、贵金属及宝石现货交易商等特定非金融机构，新法第五十八条相较于此前的修订草案特别加设了相应的行政处罚，对于其他法人、非法人组织、自然人等，也设定了相关罚则。

2、对于“利用金融机构、特定非金融机构实施或者通过非法渠道实施洗钱犯罪的”，新法明确将依法追究刑事责任，实现了行政管理和刑事处罚的联动。

3、新法第六十一条规定“国务院反洗钱行政主管部门应当综合考虑金融机构的经营规模、内部控制制度执行情况、勤勉尽责程度、违法行为持续时间、危害程度以及整改情况等因素，制定本法相关行政处罚裁量基准。”这一点与笔者基于长期工作经验积累的对监管态度的理解是一致的，也即监管的处罚不在于罚而在于治，这也给各家机构提供了明确的反洗钱工作思路。

除以上内容外，新版《反洗钱法》更多对金融机构的反洗钱义务的深化具体可参见笔者此前发布的相关文章，在此不再赘述。深层次探究新法，我们会发现有很多突破之处，且具体细节非常之多，笔者亦希望未来继续能与大家一起不断深入探讨反洗钱法与相关领域的问题，共同建立合法合规的反洗钱文化。