准备符合欧盟反洗钱法规的客户尽职调查

欧盟 AML 条例（欧盟）2024/1624 （在新标签页中打开）自2027 年 7 月 10 日起生效，并直接适用于所有成员国（第 90 条）。关于客户尽职调查（ CDD 这意味着只需一份文本，而不是 27 个国家版本：一份固定的最低身份识别数据清单，两条已定义的身份验证途径，一项 25% 的受益所有权测试（包括间接持股），以及对客户信息不更新时间的硬性限制。

企业现在就应该按照该法规进行建设，而不是等待细节公布。该法规告知新的欧盟机构： AMLA 提交草稿 CDD 技术标准应于2026年7月10日之前制定（第28条第1款）。截至 AMLA 根据该机构自身的监管文件页面（上次更新时间为2026年9月4日），这些标准被标记为“咨询结束”，尚未发布最终报告。草案指明了方向；法规文本才是最终确定的。

不同司法管辖区和公司类型的要求各不相同，本文仅提供一般信息，不构成法律建议。

该条例本身规定了什么？

该条例的四个部分每天都在变化 CDD 而且它们都不依赖于 AMLA 's 标准已完成。

每个客户至少需要一份数据清单。

第22条第(1)款列出了识别自然人所需获取的信息：所有姓名、出生地和完整出生日期、国籍（复数，或在适用情况下包括无国籍、难民身份或辅助性保护身份）、适用情况下的国民身份证号码以及通常居住地。对于法人实体，则列出了其法律形式和名称、注册地址和主要营业场所、设立国、法定代表人，以及（如适用）注册号、税务识别号和法人实体识别码。

有两个地方容易让团队犯错。许多入职表格只要求填写一种国籍，而相关规定要求填写多种国籍。此外，许多流程在客户使用护照验证时，却从未收集到身份证号码。

两种身份验证途径

第 22 条第 (6) 款规定了两种获取验证客户所需信息的方法：

1. 身份证件、护照或同等效力文件，以及相关可靠独立来源的信息。

2. 符合 eIDAS 条例 (EU) No 910/2014 的电子身份识别，保证级别为“实质性”或“高”，以及相关的合格信任服务。

受益所有人：25%，按链条计算

第52条第(1)款规定，所有权测试标准为持有25%或以上的股份、投票权或其他所有权权益，无论直接或间接。间接所有权的计算方法是将每条链上的持股数量相乘，然后将所有链上的持股数量相加。第22条第(7)款要求核实实益所有人，并查阅中央实益所有权登记册。

如果用尽所有方法后仍然没有人符合资格，则第 22(2) 条规定，应记录未确定受益所有人，然后确定并核实所有高级管理人员。

翻新天花板

第26条第(2)款规定，客户信息更新的间隔时间取决于风险，对于高风险客户（需接受强化尽职调查），更新间隔时间不得超过1年；对于其他客户，更新间隔时间不得超过5年。第26条第(3)款补充了事件触发条件：客户情况发生变化，或您获悉相关事实。

在哪里 AMLA 的 CDD 标准依然有效吗？

AMLA 就监管技术标准草案进行咨询（ RTS ） 在 CDD 此次咨询活动从2026年2月9日至2026年5月8日 （在新标签页中打开）举行，以欧洲银行管理局于2025年10月30日发布的草案为基础。咨询页面显示“结果稍后公布”。监管工具页面 （在新标签页中打开）仍然列出了…… CDD RTS “咨询已于 2026 年 9 月 4 日结束”。在依赖以下任何细节之前，请重新核实两者。

这份咨询文件 （在新标签页中打开）对采用远程注册流程的公司尤为重要。草案第7条规定，对于非面对面验证，公司应使用eIDAS电子身份识别系统，且使用程度应达到“较高”或“较高”。只有在“无法使用或无法合理预期提供”eIDAS电子身份识别系统的情况下，公司才可以使用远程解决方案，且该解决方案必须包含以下保障措施：

• 采取措施确保提交文件的人与文件照片上的人相符；

• 以可读格式捕获的图像、视频和数据，其质量足以明确识别人物；

• 当出现技术问题或身份存疑时，停止该过程；

• 副本将被保留、加盖时间戳并存储，以便事后进行检查。

草案还要求企业能够向监管机构解释为何无法通过电子身份识别验证客户身份。草案第25条规定，1年和5年的更新周期应仅从授权法规生效之日起对现有客户开始计算。如果该授权法规最终生效，则第一批更新将分阶段进行，而不是像之前那样一次性全部更新到2027年7月。

暂且将所有内容视为草稿 AMLA 提交最终版本，委员会予以采纳。

在2027年7月之前，你应该做什么？

无论如何，都要努力弥补该法规造成的漏洞。 RTS 结束。一个实际的步骤：

1. 将您的数据字段与第 22(1) 条进行比对。选取一份个人客户档案和一份公司档案，并将每项必填信息标记为已保存、可推导或缺失。国籍和身份证号码的缺失是常见问题。

2. 根据渠道确定验证方式。如果您在eIDAS eID广泛使用的市场开展业务，请计划如何接受eID。如果您依赖文件和自拍照验证流程，请说明为什么该人群无法使用eID，因为eID草案尚未发布。 RTS 期待得到这样的解释。

3. 请对照安全措施草案检查您的远程流程。您能否证明人脸与文件或权威记录相符？人脸采集是否实时且足够清晰以识别人物？您是否保留了带有时间戳的证据，以便回放给主管？

4. 重新计算多层结构中的受益所有权。将每条链的权益相乘，然后将所有链的权益相加。例如，某人持有某公司 60% 的股份，而该公司又持有您客户 40% 的股份，那么仅凭这条链，他就间接拥有 24% 的权益；如果此人还直接持有 5% 的股份，则总权益为 29%，因此他/她也是受益所有人。

5. 写下你的“未找到实际受益人”的处理流程。记录结果，然后识别并核实高级管理人员的身份。

6. 建立更新日历。给每位客户贴上风险评级标签，并设定下次审核日期，该日期永远不会超过 1 年或 5 年，此外还应设置事件触发器，以便在发生变更时触发。

步骤 6 的一个示例：一家拥有 40,000 名客户的支付机构，其中 2,000 名客户的风险等级较高，需要一个流程来至少每年更新这 2,000 名客户的风险等级。如果目前的流程是手动发送电子邮件，那么这就是首先需要解决的问题。

如何 Toden 有助于它所涵盖的部分。

企业核实系统会从公司注册信息中查找董事、股东和受益所有人，并将其与申请人提供的名单进行核对，同时标记注册信息中已列出但申请人遗漏的人员。持股比例门槛可配置，默认为尼日利亚境外25%，与第52条的规定一致。公司股东不被视为受益所有人，申请人需自行完成身份验证，并与指定的公司高管进行核对。追踪公司股东自身注册信息（穿透式查询）为可选功能，默认关闭，因此请检查您将如何处理间接持股。请参阅关键人员文档 （在新标签页中打开）。

对于个人用户而言，身份验证结合了文件采集、实时自拍以及（在支持的市场中）与政府记录的比对。黑名单筛查会在用户注册时运行，之后会根据风险情况定期进行。我们目前尚未提供 eIDAS 电子身份识别支持，因此希望采用第 22(6)(b) 条途径的公司需要另行规划。

决策规则

现在就按照法规文本进行建设，因为该法规已最终定稿，并将于2027年7月10日起直接生效。保留一份简短的清单。 RTS 依赖性选择（远程验证保障措施、现有客户的刷新起始日期），并在需要时重新审视这些选择 AMLA 发布最终草案。成员国还需在 2027 年 7 月 10 日前根据第 78 条 （在新标签页中打开）将配套指令 (EU) 2024/1640 转化为国内法，因此请同时关注您所在国家监管机构的指导意见和欧盟文本。