银行合规多年来如何演变从纸质档案走向持续风险运营

银行合规发生了怎样的变化？

银行合规已从一系列手动、定期的检查，演变为持续管理风险的运营体系。

根本目的没有改变。银行仍须保护客户、维护金融稳定、管理风险，并防止服务被滥用。不过，围绕这些责任的环境已经彻底不同。

• 资金可在数秒内跨境流动
• 客户无须到分行也能开户
• 企业通过复杂的国际架构运营
• 欺诈与洗钱迅速跨越金融网络
• 合规决定依赖更多数据与技术
• 证据与责任归属必须保持可追溯

现代合规越来越重视客户资料、监测、调查、决定与证据能否在风险出现时协同运作。下一个阶段将由相互连接的数据、可解释的自动化，以及可问责的人为判断共同塑造。

银行合规包括哪些领域？

银行合规是确保银行遵守适用于其业务的法律、法规、监管期望及内部标准。它并非单一职能，而是涵盖多个相互关联的领域。

• 审慎合规涉及资本、流动性、信用风险、市场风险、治理及银行的财务韧性。
• 金融犯罪合规涵盖反洗钱、打击恐怖融资、制裁、欺诈预防、客户尽职调查及可疑交易报告。
• 行为与客户保护涉及产品设计、销售、披露、投诉、公平对待及市场行为。
• 运营与技术合规包括网络安全、外包、数据保护、第三方风险、业务连续性及运营韧性。

这些领域彼此相关，却不能互相替代。银行可能拥有充足资本，但客户尽职调查仍然薄弱；完善的制裁筛查，也不代表银行已经妥善处理行为或技术风险。

WIDTH 主要支持金融犯罪合规生命周期。其银行合规解决方案连接 KYC、KYB、AML 监测、欺诈侦测及案件管理。它是银行整体风险环境的一部分，而不是所有审慎、法律或行为系统的替代品。

现代合规成为专业职能之前

银行业一直依赖控制：保存记录、限制信贷权限并防止损失。然而，早期控制通常围绕单一机构设计，而不是全球协调的监管体系。

当时对客户的了解往往来自个人关系。分行经理可能认识客户、其家庭与业务，许多复核依赖个别员工的经验。

在银行业务以本地为主、付款缓慢且客户大多亲临分行的年代，这种模式尚能运作。随着国际银行业务扩张，它变得越来越不可靠。

纸质档案无法稳定识别在多个国家开户的同一客户，也无法揭示不同公司由同一实益拥有人控制，或多个账户的交易形成可疑模式。

现代银行合规因而沿着两条相关路径发展。一条关注银行是否稳健并受到适当监管；另一条关注金融系统是否被用于转移或隐藏犯罪资金。两者最终在现代合规职能中汇合。

1970 至 1980 年代：正式控制逐渐成形

记录保存与金融情报

美国于 1970 年通过《银行保密法》，引入记录保存及报告责任，协助有关部门侦查金融犯罪。

这代表明显转变。银行不再只是保护存款和维持账目准确，也开始成为公共金融犯罪识别体系的一部分。早期交易控制多以规则驱动，特定活动或金额触发报告，再由人员复核或交给主管机关。

国际银行监管

1974 年，Bankhaus Herstatt 倒闭等国际银行市场事件带来另一个转折点。十国集团中央银行行长随后成立巴塞尔银行监管委员会。

根据巴塞尔委员会的官方历史，委员会旨在提高银行监管质量，并加强主管机关合作。其 1975 年发布的首份《巴塞尔协定》厘清了跨境银行监管责任。

1988 年推出的《巴塞尔协议 I》建立国际银行资本框架。巴塞尔标准本身并非法律，却深刻影响各国对国际活跃银行的监管方式。

1989 至 2001 年：AML 与 KYC 成为全球期望

FATF 建立共同 AML 框架

1989 年，七国集团成立金融行动特别工作组（FATF），研究洗钱方法并制定协调的国际回应。

一年后，FATF 发布首版四十项建议，为洗钱刑事化、金融机构监管、客户尽职调查及可疑活动报告建立共同基础。

FATF 并非全球银行监管机构，其标准须通过各地法律和监管体系实施。不过，已有超过 200 个国家及司法管辖区承诺执行 FATF 框架。国际运营银行因此开始面对一套更清晰的 AML 期望，尽管各地具体规则依然不同。

“了解你的客户”成为正式专业

银行一直需要知道账户持有人是谁，但 KYC 逐渐超越姓名和地址记录。客户身份开始与更广泛的风险问题连接：客户是谁、为何建立关系、谁最终控制资金，以及实际活动是否合理。

2001 年，巴塞尔委员会发布银行客户尽职调查指引。指引指出，薄弱的客户尽职调查不只带来洗钱风险，还可能令银行面对运营、法律、声誉及集中度风险。

KYC 因而开始被视为银行安全与诚信的一部分，而不是开户时完成的一张监管表格。

2001 年以后：恐怖融资扩大合规职责

2001 年 9 月 11 日的恐怖袭击改变了金融犯罪合规的发展方向。FATF 把恐怖融资纳入职责范围，银行不仅要识别犯罪所得，也越来越需要识别流向恐怖活动的合法或非法资金。

美国《爱国者法案》加强了金融犯罪控制，其中包括 AML 计划及客户身份识别的最低标准。FinCEN 的《爱国者法案》概要列出内部控制、指定合规负责人、持续培训及独立测试等要求。

制裁合规也更具运营重要性。银行要根据可能迅速更新的名单筛查客户与付款，代理银行关系亦受到更严格审视。

合规团队不断扩大并趋向专业化。客户数据库可电子搜索，制裁筛查开始自动化，可疑交易监测也越来越依赖规则。

然而，这些系统通常分别采购：一个核实身份，一个筛查姓名，一个监测交易，另一个储存案件。它们解决了单项问题，却形成许多银行至今仍在管理的分散式合规技术组合。

金融危机以后：合规走近董事会

2007 至 2009 年全球金融危机揭示银行资本、流动性、风险治理及内部模型运用方面的弱点。巴塞尔委员会随后制定《巴塞尔协议 III》，加强资本与流动性要求，并引入提高银行韧性与可比性的措施。

2017 年，巴塞尔委员会完成进一步修订，以处理风险加权资产差异过大的问题。成员司法管辖区实施速度不一，也说明国际标准可以目标一致，各国时间表和规则仍会不同。

合规责任同时走近高级管理层与董事会。罚款、整改计划及公开执法行动，使合规无法再被视为狭窄的法律职能。

银行也更有意识地采用“三道防线”模型：业务团队负责风险与控制；合规及风险职能负责监督和质询；内部审计提供独立保证。

合规开始参与产品设计、市场进入、客户接纳、第三方选择及战略风险决定。不过，技术发展仍不均衡。分析人员常要在客户档案、筛查平台、监测工具、文件库及案件系统之间切换。安装的技术更多，工作流却不一定更连贯。

数字银行时代改变客户尽职调查

随着银行服务转移到线上，客户尽职调查不能再依赖分行员工检查实体文件。客户开始通过网站和移动应用远程开户，有时数分钟内即可完成整个流程。

现代KYC 客户准入因此结合文件采集、数据提取、真伪检查、生物识别或活体检测、制裁与 PEP 筛查、客户风险评估及例外处理。

企业客户准入也随之演变。单凭公司注册证书不足以理解一家企业。银行还要识别董事、授权人士、股东、控制人及最终实益拥有人，并了解企业从事什么业务、在哪里运营及为什么需要账户。

因此，KYB 企业准入成为对法律实体及其背后人士的相互连接复核。

数字化提高便利，也带来合成身份、篡改文件、远程开户欺诈及自动化申请等风险。挑战不再是速度与审慎二选一，而是让客户阻力与风险相称。资料完整且风险较低的申请可以高效处理；资料不足、不一致或风险较高的案件，则连同相关证据交给合资格人员复核。

2020 年代：合规变得持续进行

传统合规围绕预定时间运作。客户在开户时接受复核，之后按固定周期再次审查。然而，风险不会等待下一个复核日期。

实益拥有人可能改变；客户可能进入新市场；新的制裁指定可能发布；交易行为可能偏离开户时获批的档案；定期复核刚完成，负面信息便可能出现。

合规系统因此转向持续及事件触发监测。重大变化可以触发筛查、风险重评或案件，无须等待下一次日历复核。

交易监测也在改变。早期系统高度依赖固定阈值：金额、频率或特定模式触发警报。规则依然有用，但孤立阈值常会产生大量警报，却缺乏足够的客户情境。

现代交易监测可把规则与客户风险、预期行为、交易对手、交易历史及关系资料结合。分析人员看到的不再只是越过阈值，而是为什么该活动对这位客户而言不寻常。

运营韧性也进入合规讨论。2021 年，巴塞尔委员会发布运营韧性原则。欧盟《数字运营韧性法案》则于 2025 年 1 月开始适用。

现代合规因此同时提出两个问题：控制能否作出正确决定？当系统或供应商出现故障时，银行又能否继续运行这项控制？

全球合规正在趋同，但不会完全相同

全球银行标准比五十年前更协调，但银行并不是在同一套全球规则下运营。

FATF 制定国际金融犯罪标准，巴塞尔委员会制定审慎与监管标准，各国和地区主管机关再通过当地法律、法规及指引落实这些理念。

欧盟于 2024 年通过重要的 AML/CFT 立法组合，建立更统一的规则，并成立反洗钱及打击恐怖融资管理局（AMLA）。2026 年 1 月，欧洲银行管理局原有的 AML/CFT 职责移交 AMLA。根据EBA 与 AMLA 的公告，AMLA 将协调监管趋同，并直接监管部分复杂、风险较高的金融机构或集团。

美国、新加坡、香港、英国、澳大利亚、阿联酋等市场则保留各自的法律、报告机制及监管重点。

全球银行因此同时需要一致性和本地控制。核心原则、数据标准及治理可以共享，但客户旅程、风险因素、升级要求、报告格式及保存期限仍可能需要按司法管辖区配置。

全球政策不能未经解释便复制到每个市场；本地差异也不应演变为数十个无法交换风险信息的分散合规项目。

银行合规系统如何演变

1. 从纸质档案到核心数据库核心数据库改善了访问，但合规记录仍常与交易数据分开。
2. 从手动复核到规则引擎自动筛查与交易规则扩大覆盖范围，但宽泛阈值及有限情境仍制造大量人工工作。
3. 从规则引擎到专业平台银行增加 KYC、筛查、欺诈、监测及案件工具，同时增加整合及重复输入需求。
4. 从专业工具到相互连接的工作流客户数据、风险变化、警报、证据、决定及跟进行动开始贯穿同一生命周期。
5. 从仪表板到可解释的辅助AI 整理证据、识别关系、总结案件及准备叙述草稿，而获授权人员继续承担责任。

现代目标不是不断收集工具，而是连接合规决定。共享数据、API、实体解析、工作流编排及结构化审计历史，因而成为当代合规架构的核心。

真正有用的合规 AI 会减少不必要的准备工作，却不会隐藏结论形成的过程。

现代银行合规团队使用哪些工具？

数字 KYC 与 KYB

KYC 与 KYB 工具收集客户或企业资料、核实证据、进行筛查，并支持风险为本审批。现代系统也应处理姓名不一致、所有权不明等例外情况，并把申请交给适当人员复核。

筛查与持续监测

筛查工具把客户及关联方与制裁、PEP 及其他风险数据比较。持续筛查可识别客户准入后的变化。潜在匹配不是决定；分析人员仍须核对身份标识、来源资料，并按受控流程解决结果。

交易与欺诈监测

监测工具按规则、异常行为及相关模式检查活动。欺诈工具还可能考虑设备、访问行为、速度及其他实时信号。欺诈与 AML 所需回应可能不同，但在法律、政策及访问控制允许时，相关资料应适当共享。

图谱与关系智能

犯罪风险经常通过网络运作，而不是孤立账户。Graph Intelligence 可帮助调查人员查看客户、企业、拥有人、账户、交易对手、交易及过往案件之间的关联。关联应被视为调查线索，而不是不当行为的证明。

合规案件管理

当问题需要调查时，合规案件管理为工作建立受控记录。案件连接原始警报、情境、证据、任务、负责人、升级、审批及最终决定。管理层因而可以了解风险在哪里等待、案件为何延误，以及跟进行动是否完成。

AI 辅助复核

合规 AI 可以汇集获授权情境、整理证据、识别缺失资料及准备理据草稿。WIDTH 的 AI Reviewer 用于支持这些准备工作，同时把专业判断与审批责任保留给人员。

AI 处理工作，人员作出判断。

WIDTH 如何支持现代银行合规

现代银行合规是一个相互连接的生命周期。客户准入取得的资料应影响客户风险；客户风险应影响监测；监测应产生具备充分调查情境的警报；调查则应形成受控、可解释的决定。

这个生命周期经常分散在不同系统。WIDTH 一体化合规平台通过共享数据层连接客户准入、AML 监测、欺诈侦测及案件管理。不同模块可以使用相同的客户与关系情境，并共同构成决定历史。

对合规分析人员而言，实际价值不只是减少屏幕数量，而是能够从警报直接进入相关客户、企业、所有权、交易及案件证据，无须反复重建历史。

对合规负责人而言，价值在于运营可视性。他们能够了解哪些案件仍然开启、由谁负责、哪里需要升级，以及最终决定是否有充分支持。

银行不一定需要一次更换所有系统。WIDTH 模块可以独立引入，再按银行架构及优先事项逐步连接。

WIDTH 不会取代银行的法律解释、监管责任或专业判断，也不涵盖所有审慎或行为合规领域。它为 KYC、KYB、AML 监测、欺诈侦测及调查中的金融犯罪决定提供相互连接的技术。

一个平台。一套工作流。一个可信信息源。

银行合规下一步会怎样发展？

下一个银行合规时代，不会以从所有决定中移除人员为目标。真正的变化，是判断哪些环节需要人为判断，哪些环节可以由技术减少不必要的工作。

数据收集、证据提取、基本比较、工作分派及期限追踪可以进一步自动化。当证据冲突、情境重要，或决定可能对客户或银行造成重大影响时，人员仍然不可或缺。

监管机构也可能要求提高自动化系统的透明度。银行需要知道哪个模型或智能体执行了任务、使用了哪些数据、拥有何种权限，以及人为复核在哪里发生。

合规架构因此不能只保留最终结果，也必须保留形成结果的路径。

银行合规已从本地记录走向全球标准，从定期检查走向持续监测，也从独立工具走向相互连接的决定。

不过，一个核心问题始终没有改变：

银行能否解释当时知道什么、采取了什么行动，以及为什么该决定在当时是合理的？

技术已经改变，对可问责判断的需要没有改变。

常见问题

来源及延伸阅读

• 巴塞尔委员会历史
• 《巴塞尔协议 III》标准
• 巴塞尔委员会银行客户尽职调查指引
• 巴塞尔委员会运营韧性原则
• 金融行动特别工作组历史
• FinCEN《美国爱国者法案》概要
• 欧盟《数字运营韧性法案》
• 欧盟反洗钱管理局
• EBA 与 AMLA 移交 AML/CFT 职责

本文仅提供一般资料，不构成法律或监管意见。具体要求会因机构、业务及司法管辖区而异。