為深入實踐風險為本的反洗錢方法，指導金融機構評估洗錢和恐怖融資（以下統稱洗錢）風險，合理確定客戶洗錢風險等級，提升反洗錢和反恐怖融資（以下統稱反洗錢）工作有效性，根據《中華人民共和國反洗錢法》等法律制定本指引。

第一章 總則

一、基本原則

（一）風險相當原則。金融機構應依據風險評估結果科學配置反洗錢資源，在洗錢風險較高的領域采取強化的反洗錢措施，在洗錢風險較低的領域采取簡化的反洗錢措施。

（二）全面性原則。除本指引所列的例外情形外，金融機構應全面評估客戶及地域、業務、行業（職業）等方面的風險狀況，科學合理地為每一名客戶確定風險等級。

（三）同一性原則。金融機構應建立健全洗錢風險評估及客戶風險等級劃分流程，賦予同一客戶在本金融機構唯一的風險等級，但同一客戶可以被同一集團內的不同金融機構賦予不同的風險等級。

（四）動態管理原則。金融機構應根據客戶風險狀況的變化，及時調整其風險等級及所對應的風險控制措施

（五）自主管理原則。金融機構經評估論證后認定，自行確定的風險評估標準或風險控制措施的實施效果不低于本指引或其中某項要求，即可決定不遵循本指引或其中某項要求，但應書面記錄評估論證的方法、過程及結論。

（六）保密原則。金融機構不得向客戶或其他與反洗錢工作無關的第三方泄露客戶風險等級信息。

二、功能

（一）本指引所列風險評估要素及其風險子項是金融機構全面科學評估洗錢風險的參考指標，為金融機構劃分客戶洗錢風險等級提供依據。

（二）本指引所確定的工作流程是金融機構科學整合內部各類資源，特別是發揮業務條線了解客戶的基礎性作用，有效評估、管理洗錢風險的必要管理措施。

（三）本指引有助于指導金融機構依據洗錢風險評估及客戶風險等級劃分結果，優化反洗錢資源配置。

三、適用范圍

本指引適用于金融機構開展洗錢風險評估、客戶洗錢風險等級劃分及其他風險管理工作。支付機構及其他應履行反洗錢義務的特定非金融機構可參照本指引開展相關工作。

銀行業金融機構可根據實際風險狀況，自主決定是否將本指引的要求運用于一次性交易客戶。

保險業金融機構可根據實際風險狀況，自主決定是否將本指引的要求運用于投保人以外的其他人員。

金融機構和特定非金融機構的行業自律組織可根據本指引進一步制定分行業的指引。

第二章 風險評估指標體系

一、指標體系概述

洗錢風險評估指標體系包括客戶特性、地域、業務（含金融產品、金融服務）、行業（含職業）四類基本要素。金融機構應結合行業特點、業務類型、經營規模、客戶范圍等實際情況，分解出某一基本要素所蘊含的風險子項。金融機構可根據實際需要，合理增加新的風險評估指標。例如，金融機構可區分新客戶和既有客戶、自然人客戶和非自然人客戶等不同群體的風險狀況，設置差異化的風險評級標準。

二、風險子項

（一）客戶特性風險子項。

金融機構應綜合考慮客戶背景、社會經濟活動特點、聲譽、權威媒體披露信息以及非自然人客戶的組織架構等各方面情況，衡量本機構對其開展客戶盡職調查工作的難度，評估風險。風險子項包括但不限于：

1．客戶信息的公開程度。客戶信息公開程度越高，金融機構客戶盡職調查成本越低，風險越可控。例如，對國家機關、事業單位、國有企業以及在規范證券市場上市的公司開展盡職調查的成本相對較低，風險評級可相應調低。

2．金融機構與客戶建立或維持業務關系的渠道。渠道會對金融機構盡職調查工作的便利性、可靠性和準確性產生影響。例如，在客戶直接與金融機構見面的情況下，金融機構更能全面了解客戶，其盡職調查成果比來源于間接渠道的成果更為有效。不同類的間接渠道風險也不盡相同，例如，金融機構通過關聯公司比通過中介機構更能便捷準確地取得客戶盡職調查結果。

3．客戶所持身份證件或身份證明文件的種類。身份證件或身份證明文件越難以查驗，客戶身份越難以核實，風險程度就越高。

4．反洗錢交易監測記錄。金融機構對可疑交易報告進行回溯性審查，有助于了解客戶的風險狀況。在成本允許的情況下，金融機構還可對客戶的大額交易進行回溯性審查。

5．非自然人客戶的股權或控制權結構。股權或控制權關系的復雜程度及其可辨識度，直接影響金融機構客戶盡職調查的有效性。例如，個人獨資企業、家族企業、合伙企業、存在隱名股東或匿名股東公司的盡職調查難度通常會高于一般公司。

6．涉及客戶的風險提示信息或權威媒體報道信息。金融機構如發現，客戶曾被監管機構、執法機關或金融交易所提示予以關注，客戶存在犯罪、金融違規、金融欺詐等方面的歷史記錄，或者客戶涉及權威媒體的重要負面新聞報道評論的，可適當調高其風險評級。

7．自然人客戶年齡。年齡與民事行為能力有直接關聯，與客戶的財富狀況、社會經濟活動范圍、風險偏好等有較高關聯度。

8．非自然人客戶的存續時間。客戶存續時間越長，關于其社會經濟活動的記錄可能越完整，越便于金融機構開展客戶盡職調查。金融機構可將存續時間的長度作為衡量客戶風險程度的參考因素。

（二）地域風險子項。

金融機構應衡量客戶及其實際受益人、實際控制人的國籍、注冊地、住所、經營所在地與洗錢及其他犯罪活動的關聯度，并適當考慮客戶主要交易對手方及境外參與交易金融機構的地域風險傳導問題。風險子項包括但不限于：

1．某國（地區）受反洗錢監控或制裁的情況。金融機構既要考慮我國的反洗錢監控要求，又要考慮其他國家（地區）和國際組織推行且得到我國承認的反洗錢監控或制裁要求。經營國際業務的金融機構還要考慮對該業務有管轄權的國家（地區）的反洗錢監控或制裁要求。

2．對某國（地區）進行反洗錢風險提示的情況。金融機構應遵循中國人民銀行和其他有權部門的風險提示，參考金融行動特別工作組（英文簡稱FATF）、亞太反洗錢組織（英文簡稱APG）、歐亞反洗錢及反恐怖融資組織（英文簡稱EAG）等權威組織對各國（地區）執行FATF反洗錢標準的互評估結果。

3．國家（地區）的上游犯罪狀況。金融機構可參考我國有關部門以及FATF等國際權威組織發布的信息，重點關注存在較嚴重恐怖活動、大規模殺傷性武器擴散、毒品、走私、跨境有組織犯罪、腐敗、金融詐騙、人口販運、海盜等犯罪活動的國家（地區）,以及支持恐怖主義活動等嚴重犯罪的國家（地區）。對于我國境內或外國局部區域存在的嚴重犯罪，金融機構應參考有權部門的要求或風險提示，酌情提高涉及該區域的客戶風險評級。

4．特殊的金融監管風險。例如避稅型離岸金融中心。對于其住所、注冊地、經營所在地與本金融機構經營所在地相距很遠的客戶，金融機構應考慮酌情提高其風險評級。

（三）業務（含金融產品、金融服務）風險子項。金融機構應當對各項金融業務的洗錢風險進行評估，制定高風險業務列表，并對該列表進行定期評估、動態調整。金融機構進行風險評級時，不僅要考慮金融業務的固有風險，而且應結合當前市場的具體運行狀況，進行綜合分析。風險子項包括但不限于：

1．與現金的關聯程度。現金業務容易使交易鏈條斷裂，難于核實資金真實來源、去向及用途，因此現金交易或易于讓客戶取得現金的金融業務（以下簡稱關聯業務）具有較高風險。考慮到我國金融市場運行現狀和居民的現金交易偏好，現金及其關聯業務的普遍存在具有一定的合理性，金融機構可重點關注客戶在單位時間內累計發生的金額較大的現金交易情況或是具有某些異常特征的大額現金交易情況。此項標準如能結合客戶行業或職業特性一并考慮將更為合理。

2．非面對面交易。非面對面交易方式（如網上交易）使客戶無需與工作人員直接接觸即可辦理業務，增加了金融機構開展客戶盡職調查的難度，洗錢風險相應上升。金融機構在關注此類交易方式固有風險的同時，需酌情考慮客戶選擇或偏好此類交易方式所具有的一些現實合理性，特別是在以互聯網為主要交易平臺的細分金融領域（如證券市場的二級市場交易），要結合反洗錢資金監測和自身風險控制措施情況，靈活設定風險評級指標。例如，可重點審查以下交易：

（1）由同一人或少數人操作不同客戶的金融賬戶進行網上交易；

（2）網上金融交易頻繁且IP 地址分布在非開戶地或境外；

（3）使用同一IP地址進行多筆不同客戶賬戶的網銀交易；

（4）金額特別巨大的網上金融交易；

（5）公司賬戶與自然人賬戶之間發生的頻繁或大額交易；

（6）關聯企業之間的大額異常交易。

3．跨境交易。跨境開展客戶盡職調查難度大，不同國家（地區）的監管差異又可能直接導致反洗錢監控漏洞產生。金融機構可重點結合地域風險，關注客戶是否存在單位時間內多次涉及跨境異常交易報告等情況。

4．代理交易。由他人（非職業性中介）代辦業務可能導致金融機構難以直接與客戶接觸，盡職調查有效性受到限制。鑒于代理交易在現實中的合理性，金融機構可將關注點集中于風險較高的特定情形，例如：

（1）客戶的賬戶是由經常代理他人開戶人員或經常代理他人轉賬人員代為開立的；

（2）客戶由他人代辦的業務多次涉及可疑交易報告；

（3）同一代辦人同時或分多次代理多個賬戶開立；

（4）客戶信息顯示緊急聯系人為同一人或者多個客戶預留電話為同一號碼等異常情況。

5．特殊業務類型的交易頻率。對于頻繁進行異常交易的客戶，金融機構應考慮提高風險評級。

銀行業金融機構可關注開（銷）戶數量、非自然人與自然人大額轉賬匯款頻率、涉及自然人的跨境匯款頻率等。

證券業金融機構可關注交易所預警交易、大宗交易、轉托管和指定（撤指）、因第三方存款單客戶多銀行業務而形成的資金跨銀行或跨地區劃轉等。

期貨業金融機構可關注盜碼交易、自然人客戶違規持倉、對倒、對敲等異常行為。

保險業金融機構可關注投保頻率、退保頻率、團險投保人數明顯與企業人員規模不匹配、團險保全業務發生率、申請保單質押貸款（保單借款）金額或頻率、生存保險受益人變更頻率、萬能險追加保費金額或頻率等。

信托公司可關注客戶購買、轉讓信托產品的頻率或金額等。在業務關系建立之初，金融機構可能無法準確預估出客戶使用的全部業務品種，但可在重新審核客戶風險等級時審查客戶曾選擇過的金融業務類別。

（四）行業（含職業）風險子項。

金融機構應評估行業、身份與洗錢、職務犯罪等的關聯性，合理預測某些行業客戶的經濟狀況、金融交易需求，酌情考慮某些職業技能被不法分子用于洗錢的可能性。本指引對此基本要素不再細分風險子項，金融機構可從以下角度進行評估：

1．公認具有較高風險的行業（職業）。原則上，按照我國反洗錢監管制度及FATF 建議等反洗錢國際標準應納入反洗錢監管范圍的行業（職業），其洗錢風險通常較高。

2．與特定洗錢風險的關聯度。例如，客戶或其實際受益人、實際控制人、親屬、關系密切人等屬于外國政要。

3．行業現金密集程度。例如，客戶從事廢品收購、旅游、餐飲、零售、藝術品收藏、拍賣、娛樂場所、博彩、影視娛樂等行業。

三、指標使用方法

本指引運用權重法，以定性分析與定量分析相結合的方式來計量風險、評估等級。中國人民銀行鼓勵金融機構研發其他風險計量工具或方法，金融機構自主研發的風險計量工具或方法應能全面覆蓋本指引所列風險子項，并有書面文件對其設計原理和使用方法進行說明。

（一）金融機構應對每一基本要素及其風險子項進行權重賦值，各項權重均大于0，總和等于100。對于風險控制效果影響力越大的基本要素及其風險子項，賦值相應越高。對于經評估后決定不采納的風險子項，金融機構無需賦值。

同一基本要素或風險子項所概括的風險事件，在不同的細分金融領域內有可能導致不同的危害性后果發生。即使是處于同一細分金融領域內的不同金融機構，也可能因為客戶來源、銷售渠道、經營規模、合規文化等方面的原因而面臨不同的風險狀況，從而對同一風險事件的風險程度作出不同的判斷。因此，每個金融機構需結合自身情況，合理確定個性化的權重賦值。

（二）金融機構應逐一對照每個風險子項進行評估。例如，金融機構采用五級分類法時，最高風險評分為5，較高風險評分為4，一般風險評分為3，較低風險評分為2，低風險評分為1。金融機構應根據各風險子項評分及權重賦值計算客戶風險等級總分，計算公式為：（請參見附件），其中a代表風險子項評分，p代表權重，m代表金融機構所選取的風險分級數（例如三級分類、五級分類等）,n代表風險子項數量。客戶風險等級總分最高100分。

（三）金融機構應建立客戶風險等級總分（區間）與風險等級之間的映射規則，以確定每個客戶具體的風險評級，引導資源配置。

金融機構確定的風險評級不得少于三級。從有利于運用評級結果配置反洗錢資源角度考慮，金融機構可設置較多的風險評級等次，以增強反洗錢資源配置的靈活性。

四、例外情形

（一）對于風險程度顯著較低且預估能夠有效控制其風險的客戶，金融機構可自行決定不按上述風險要素及其子項評定風險，直接將其定級為低風險，但此類客戶不應具有以下任何一種情形：

1．在同一金融機構的金融資產凈值超過一定限額（原則上，自然人客戶限額為20萬元人民幣，非自然人客戶限額為50萬元人民幣），或壽險保單年繳保費超過1萬元人民幣或外幣等值超過1000美元，以及非現金夏交保費超過20萬元人民幣或外幣等值超過2萬美元；

2．與金融機構建立或開展了代理行、信托等高風險業務關系；

3．客戶為非居民，或者使用了境外發放的身份證件或身份證明文件；

4．涉及可疑交易報告；

5．由非職業性中介機構或無親屬關系的自然人代理客戶與金融機構建立業務關系；

6．拒絕配合金融機構客戶盡職調查工作。

對于按照上述要求不能直接定級為低風險的客戶，金融機構逐一對照各項風險要素及其子項進行風險評估后，仍可能將其定級為低風險。

（二）對于具有下列情形之一的客戶，金融機構可直接將其風險等級確定為最高，而無需逐一對照上述風險要素及其子項進行評級：

1．客戶被列入我國發布或承認的應實施反洗錢監控措施的名單；

2．客戶為外國政要或其親屬、關系密切人；

3．客戶實際控制人或實際受益人屬前兩項所述人員；

4．客戶多次涉及可疑交易報告；

5．客戶拒絕金融機構依法開展的客戶盡職調查工作；

6．金融機構自定的其他可直接認定為高風險客戶的標準。不具有上述情形的客戶，金融機構逐一對照各項風險基本要素及其子項進行風險評估后，仍可能將其定級為高風險。

第三章 風險評估及客戶等級劃分操作流程

一、時機

（一）對于新建立業務關系的客戶，金融機構應在建立業務關系后的10個工作日內劃分其風險等級。

（二）對于已確立過風險等級的客戶，金融機構應根據其風險程度設置相應的重新審核期限，實現對風險的動態追蹤。原則上，風險等級最高的客戶的審核期限不得超過半年，低一等級客戶的審核期限不得超出上一級客戶審核期限時長的兩倍。對于首次建立業務關系的客戶，無論其風險等級高低，金融機構在初次確定其風險等級后的三年內至少應進行一次復核。

（三）當客戶變更重要身份信息、司法機關調查本金融機構客戶、客戶涉及權威媒體的案件報道等可能導致風險狀況發生實質性變化的事件發生時，金融機構應考慮重新評定客戶風險等級。

二、操作步驟

（一）收集信息。金融機構應根據反洗錢風險評估需要，確定各類信息的來源及其采集方法。

信息來源渠道通常有：

1．金融機構在與客戶建立業務關系時，客戶向金融機構披露的信息；

2．金融機構客戶經理或柜面人員工作記錄；

3．金融機構保存的交易記錄；

4．金融機構委托其他金融機構或中介機構對客戶進行盡職調查工作所獲信息；

5．金融機構利用商業數據庫查詢信息；

6．金融機構利用互聯網等公共信息平臺搜索信息。

金融機構在風險評估過程中應遵循勤勉盡責的原則，依據所掌握的事實材料，對部分難以直接取得或取得成本過高的風險要素信息進行合理評估。為統一風險評估尺度，金融機構應當事先確定本機構可預估信息列表及其預估原則，并定期審查和調整。

（二）篩選分析信息。評估人員應認真對照風險評估基本要素及其子項，對所收集的信息進行歸類，逐項評分。如果同一基本要素或風險子項對應有多項相互重復或交叉的關聯性信息存在時，評估人員應進行甄別和合并。如果同一基本要素或風險子項對應有多項相互矛盾或抵觸的關聯性信息存在時，評估人員應在調查核實的基礎上，刪除不適用信息，并加以注釋。

金融機構工作人員整理完基礎信息后，應當整體性梳理各項風險評估要素及其子項。如發現要素項下有內容空缺或信息內容不充分的，可在兼顧風險評估需求與成本控制要求的前提下，確定是否需要進一步收集補充信息。

金融機構可將上述工作流程嵌入相應業務流程中，以減少執行成本。例如，從客戶經理或營銷人員開始尋找目標客戶或與客戶接觸起，即可在自身業務范圍采集信息，并隨著業務關系的逐步確立，由處在業務鏈條上的各類人員在各自職責范圍內負責相應的資料收集工作。

（三）初評。除存在前述例外情形的客戶外，金融機構工作人員應逐一分析每個風險評估基本要素項及其子項所對應的信息，確定出相應的得分。對于材料不全或可靠性存疑的要素信息，評估人員應在相應的要素項下進行標注，并合理確定相應分值。在綜合分析要素信息的基礎上，金融機構工作人員累計計算客戶評分結果，相應確定其初步評級。

金融機構可利用計算機系統等技術手段輔助完成部分初評工作。

（四）復評。初評結果均應由初評人以外的其他人員進行復評確認。初評結果與復評結果不一致的，可由反洗錢合規管理部門決定最終評級結果。

第四章 風險分類控制措施

金融機構應在客戶風險等級劃分的基礎上，采取相應的客戶盡職調查及其他風險控制措施。

一、對風險較高客戶的控制措施

金融機構應對高風險客戶采取強化的客戶盡職調查及其他風險控制措施，有效預防風險。可酌情采取的措施包括但不限于：

（一）進一步調查客戶及其實際控制人、實際受益人情況。

（二）進一步深入了解客戶經營活動狀況和財產來源。

（三）適度提高客戶及其實際控制人、實際受益人信息的收集或更新頻率。

（四）對交易及其背景情況做更為深入的調查，詢問客戶交易目的，核實客戶交易動機。

（五）適度提高交易監測的頻率及強度。

（六）經高級管理層批準或授權后，再為客戶辦理業務或建立新的業務關系。

（七）按照法律規定或與客戶的事先約定，對客戶的交易方式、交易規模、交易頻率等實施合理限制。

（八）合理限制客戶通過非面對面方式辦理業務的金額、次數和業務類型。

（九）對其交易對手及經辦業務的金融機構采取盡職調查措施。

二、對風險較低客戶的控制措施

金融機構可對低風險客戶采取簡化的客戶盡職調查及其他風險控制措施，可酌情采取的措施包括但不限于：

（一）在建立業務關系后再核實客戶實際受益人或實際控制人的身份。

（二）適當延長客戶身份資料的更新周期。

（三）在合理的交易規模內，適當降低采用持續的客戶身份識別措施的頻率或強度。例如，逐步建立對低風險客戶異常交易的快速篩選判斷機制。對于經分析排查后決定不提交可疑交易報告的低風險客戶，金融機構僅發現該客戶重復性出現與之前已排除異常交易相同或類似的交易活動時，可運用技術性手段自動處理預警信息。對于風險等級較低客戶異常交易的對手方僅涉及各級黨的機關、國家權力機關、行政機關、司法機關、軍事機關、人民政協機關和人民解放軍、武警部隊等低風險客戶的，可直接利用技術手段予以篩除。

（四）在風險可控情況下，允許金融機構工作人員合理推測交易目的和交易性質，而無需收集相關證據材料。

第五章 管理與保障措施

一、風險管理政策

金融機構應在總部或集團層面建立統一的洗錢風險管理基本政策，并在各分支機構、各條線（部門）執行。

客戶風險管理政策應經金融機構董事會或其授權的組織審核通過，并由高級管理層中的指定專人負責實施。

金融機構總部、集團可針對分支機構所在地區的反洗錢狀況，設定局部地區的風險系數，或授權分支機構根據所在地區情況，合理調整風險子項或評級標準。

金融機構應對自身金融業務及其營銷渠道，特別是在推出新金融業務、采用新營銷渠道、運用新技術前，進行系統全面的洗錢風險評估，按照風險可控原則建立相應的風險管理措施。

二、組織管理措施

金融機構應完善風險評估流程，指定適當的條線（部門）及人員整體負責風險評估工作流程的設置及監控工作，組織各相關條線（部門）充分參與風險評估工作。

金融機構應確保客戶風險評估工作流程具有可稽核性或可追溯性。

三、技術保障措施

金融機構應確保洗錢風險管理工作所需的必要技術條件，積極運用信息系統提升工作有效性。系統設計應著眼于運用客戶風險等級管理工作成果，為各級分支機構查詢使用信息提供方便。

四、代理業務管理

金融機構委托其他機構開展客戶風險等級劃分等洗錢風險管理工作時，應與受托機構簽訂書面協議，并由高級管理層批準。受托機構應當積極協助委托機構開展洗錢風險管理。由委托機構對受托機構進行的洗錢風險管理工作承擔最終法律責任。

金融機構應建立專門機制，審核受托機構確定的客戶風險等級。