银行应多久更新一次客户 KYC 信息？

是否有固定的 KYC 更新频率？

没有一个适用于所有银行及客户的时间表。在新加坡，新加坡金融管理局（MAS）第 626 号通知第 6.19 和 6.24 段要求银行持续监控客户关系，并通过复核现有资料，确保客户尽职调查（CDD）资料、文件及信息保持相关和最新，尤其要关注较高风险客户。这些条款没有为所有客户规定统一的年数。

在美国，FFIEC 审查手册将客户资料更新描述为基于风险、由事件触发的工作。FinCEN 的 CDD 常见问题指出，美国没有要求所有客户按统一的持续或定期周期更新资料，但机构可以根据风险安排定期复核。美国规定不能替代新加坡或其他地区的要求。

银行可以在内部政策中对较高风险客户安排年度复核，对其他客户设置较长周期。这些只是内部政策示例，不是通用法定期限。任何风险等级的客户都可能因新事件而需要提前复核。

哪些客户 KYC 信息需要保持最新？

有效的 KYC 档案应说明客户身份、企业客户的控制人、建立关系的目的，以及银行预期的交易活动。复核应集中在与关系及金融犯罪风险有关的信息。

• 身份与联络资料：姓名、身份资料、地址及相关获授权代表。
• 业务资料：经营活动、业务所在地、所用产品及预期账户行为。
• 所有权与控制权：董事、股东、最终受益所有人及控制结构。
• 风险背景：地区风险、政治公众人物及制裁筛查结果、相关负面信息和现有评级理由。
• 资金或财富来源：在客户风险及适用 CDD 或强化尽职调查要求下需要取得的信息。
• 决策历史：例外情况、审批、限制、监控措施和待补资料。

保持最新不等于每次都重新索取全部文件。关键是解释哪些事实仍可靠、哪些已变化，以及当前决定有何证据支持。证件到期可能需要按政策或当地规定处理，但单凭更新证件，无法解释交易或所有权的异常变化。

哪些事件应触发提前复核？

银行应在政策中定义触发事件，并指定处理负责人。例如：

• 企业客户出现新的最终受益所有人、董事或获授权代表；
• 业务活动、职业、经营地区或产品使用发生重大变化；
• 交易不再符合客户申报用途或预期活动；
• 出现需要评估的制裁、政治公众人物或负面媒体结果；
• 现有资料的准确性、完整性或真实性受到可信质疑；
• 调查、执法机关要求或其他事件改变风险评估；
• 新信息表明需要强化尽职调查或调整监控措施。

触发事件应引出评估，而非自动认定客户可疑。复核人员应确认发生了什么变化、信息是否可靠、需要哪些相称的证据，以及现有风险评级是否仍合理。FFIEC 手册也列举了所有权变化、无法解释的活动及负面媒体等例子。

银行应如何制定复核周期？

先确认银行在各经营地区适用的法律和监管指引，再根据客户风险方法，为相关客户群体设定最长复核间隔。记录周期为何足够，以及谁有权修改。

1. 划分客户群体。考虑客户类型、产品、渠道、地区、所有权复杂程度、交易活动及现有风险信号。
2. 设定与风险相称的周期。较高风险关系通常需要更密切的复核；在持续监控仍能发现重大变化的前提下，较低风险关系可能适用较长周期。
3. 定义事件优先规则。明确哪些信号须立即或在内部时限内产生复核任务，即使下次定期复核尚未到期。
4. 规定证据及审批。说明必须检查什么、谁能批准评级变更，以及何时需要强化措施。
5. 检验政策效果。检查逾期任务、遗漏的变化、重复索取资料，以及风险评级调整过晚的案例。

欧洲银行管理局的洗钱与恐怖融资风险因素指引同样强调，监控的频率与强度应随风险调整，客户资料须保持最新。跨境银行在采用统一政策前，应核实当地适用版本和落实方式。

一次 KYC 更新应包括什么？

更新工作应形成日后可以重建的决定。工作深度应与触发原因和风险相称。

1. 建立并分配任务。记录复核来自到期日、客户通知、监控警报还是外部信息。
2. 比较新旧事实。找出受影响的字段、人员、企业及行为，并保留原有记录。
3. 核实关键变化。取得可靠证据，处理来源之间的矛盾。
4. 重评风险及控制。考虑筛查、预期交易、所有权、强化尽职调查及监控设置。
5. 审批结果。记录复核人员、升级或双人复核审批、理由及未解决条件。
6. 更新关联流程。确保最新画像可供筛查、交易监控、调查及下次复核使用。

若变化仅涉及地址，银行可能只需核实该信息，而无需重做所有开户步骤。若企业控制权转至较高风险地区的新人员，复核可能需要更深入的工作。决定应根据事实，而非僵化的文件清单。

实际例子：所有权与交易活动同时变化

某企业客户开户时预计只收取既有客户的本地付款。六个月后，交易监控发现持续来自新的跨境通道的付款。与此同时，企业登记资料显示股权发生变化。

银行不应等到下次定期复核。复核人员可以将交易与已批准的客户画像比较，确认现有所有权及控制结构，索取解释和证明资料，对相关新人员进行筛查，并重新评估风险。结果可能是有充分理由维持评级、加强监控、升级处理，或根据银行政策采取其他行动。

关键是把事件、证据和决定连接起来。如果更新后的表格未进入监控流程，银行仍可能依据过时的画像工作。

客户不提供最新资料时怎么办？

记录银行要求了什么、为何需要、何时联系客户，以及现有信息是否仍足以理解和管理关系。按银行政策及适用规定升级处理。回应应反映缺失信息的重要性和其他风险信号。

轻微行政资料缺口与无法确认客户控制人、解释重大交易的情况不同。视事实及义务而定，银行可能需要强化复核、采取限制措施，或决定是否继续关系。涉及怀疑及报告的问题，应交由既定调查和升级流程处理。不能仅因资料请求超时，就在没有理由的情况下关闭 KYC 复核。

如何衡量复核质量？

完成率能反映工作量，却不能证明银行使用的是最新信息。可关注各风险等级的完成情况、较高风险复核逾期数量、重大事件到分流的时间、未解决的所有权变化、重复索取资料，以及复核后风险评级变化。

质量检查可以抽样确认：是否理解触发原因、证据是否充分、决定是否符合政策，以及更新信息是否传递给后续控制。结果应按客户类型和团队细分。逾期少可能掩盖触发机制薄弱；完成量高也可能掩盖流于形式的判断。

WIDTH 如何支持持续 KYC

WIDTH 支持连接的 KYC 入驻、筛查、风险复核及交易监控流程。开户时收集的信息可与后续信号及调查保持关联，帮助获授权复核人员看清变化及建案原因。

对银行而言，重要的是新信号能否连同现有客户背景一起创建复核任务，分配给合适人员，并保留最终决定的证据。WIDTH 银行方案旨在连接这些活动。复核周期、风险规则及审批决定仍由银行负责。

常见问题

资料来源与延伸阅读

• MAS Notice 626，第 6.19–6.24 段
• FFIEC BSA/AML 客户尽职调查审查手册
• FinCEN 客户尽职调查规则常见问题
• EBA 客户尽职调查及洗钱/恐怖融资风险因素指引

监管要求因地区而异，也可能变化。本文说明运营方法；银行应依其业务适用的最新规定执行。