銀行合規多年來如何演變從紙本檔案走向持續風險營運

銀行合規發生了怎樣的變化？

銀行合規已從一系列手動、定期的檢查，演變為持續管理風險的營運體系。

根本目的沒有改變。銀行仍須保護客戶、維護金融穩定、管理風險，並防止服務被濫用。不過，圍繞這些責任的環境已經徹底不同。

• 資金可在數秒內跨境流動
• 客戶無須到分行也能開戶
• 企業通過複雜的國際架構營運
• 詐騙與洗錢迅速跨越金融網絡
• 合規決定依賴更多數據與技術
• 證據與責任歸屬必須保持可追溯

現代合規越來越重視客戶資料、監察、調查、決定與證據能否在風險出現時協同運作。下一個階段將由相互連接的數據、可解釋的自動化，以及可問責的人為判斷共同塑造。

銀行合規包括哪些領域？

銀行合規是確保銀行遵守適用於其業務的法律、法規、監管期望及內部標準。它並非單一職能，而是涵蓋多個相互關聯的領域。

• 審慎合規涉及資本、流動性、信用風險、市場風險、治理及銀行的財務韌性。
• 金融犯罪合規涵蓋反洗錢、打擊恐怖分子資金籌集、制裁、詐騙預防、客戶盡職調查及可疑交易報告。
• 行為與客戶保護涉及產品設計、銷售、披露、投訴、公平對待及市場行為。
• 營運與技術合規包括網絡安全、外包、數據保護、第三方風險、業務連續性及營運韌性。

這些領域彼此相關，卻不能互相替代。銀行可能擁有充足資本，但客戶盡職調查仍然薄弱；完善的制裁篩查，也不代表銀行已經妥善處理行為或技術風險。

WIDTH 主要支援金融犯罪合規生命週期。其銀行合規解決方案連接 KYC、KYB、AML 監察、詐騙偵測及案件管理。它是銀行整體風險環境的一部分，而不是所有審慎、法律或行為系統的替代品。

現代合規成為專業職能之前

銀行業一直依賴控制：保存記錄、限制信貸權限並防止損失。然而，早期控制通常圍繞單一機構設計，而不是全球協調的監管體系。

當時對客戶的了解往往來自個人關係。分行經理可能認識客戶、其家庭與業務，許多覆核依賴個別員工的經驗。

在銀行業務以本地為主、付款緩慢且客戶大多親臨分行的年代，這種模式尚能運作。隨着國際銀行業務擴張，它變得越來越不可靠。

紙本檔案無法穩定識別在多個國家開戶的同一客戶，也無法揭示不同公司由同一實益擁有人控制，或多個帳戶的交易形成可疑模式。

現代銀行合規因而沿着兩條相關路徑發展。一條關注銀行是否穩健並受到適當監管；另一條關注金融系統是否被用於轉移或隱藏犯罪資金。兩者最終在現代合規職能中匯合。

1970 至 1980 年代：正式控制逐漸成形

記錄保存與財務情報

美國於 1970 年通過《銀行保密法》，引入記錄保存及報告責任，協助有關部門偵查金融犯罪。

這代表明顯轉變。銀行不再只是保護存款和維持賬目準確，也開始成為公共金融犯罪識別體系的一部分。早期交易控制多以規則驅動，特定活動或金額觸發報告，再由人員覆核或交給主管機關。

國際銀行監管

1974 年，Bankhaus Herstatt 倒閉等國際銀行市場事件帶來另一個轉折點。十國集團中央銀行行長隨後成立巴塞爾銀行監管委員會。

根據巴塞爾委員會的官方歷史，委員會旨在提高銀行監管質量，並加強主管機關合作。其 1975 年發布的首份《巴塞爾協定》釐清了跨境銀行監管責任。

1988 年推出的《巴塞爾協議 I》建立國際銀行資本框架。巴塞爾標準本身並非法律，卻深刻影響各國對國際活躍銀行的監管方式。

1989 至 2001 年：AML 與 KYC 成為全球期望

FATF 建立共同 AML 框架

1989 年，七國集團成立財務行動特別組織（FATF），研究洗錢方法並制定協調的國際回應。

一年後，FATF 發布首版四十項建議，為洗錢刑事化、金融機構監管、客戶盡職調查及可疑活動報告建立共同基礎。

FATF 並非全球銀行監管機構，其標準須通過各地法律和監管體系實施。不過，已有超過 200 個國家及司法管轄區承諾執行 FATF 框架。國際營運銀行因此開始面對一套更清晰的 AML 期望，儘管各地具體規則依然不同。

“了解你的客戶”成為正式專業

銀行一直需要知道帳戶持有人是誰，但 KYC 逐漸超越姓名和地址記錄。客戶身份開始與更廣泛的風險問題連接：客戶是誰、為何建立關係、誰最終控制資金，以及實際活動是否合理。

2001 年，巴塞爾委員會發布銀行客戶盡職調查指引。指引指出，薄弱的客戶盡職調查不只帶來洗錢風險，還可能令銀行面對營運、法律、聲譽及集中度風險。

KYC 因而開始被視為銀行安全與誠信的一部分，而不是開戶時完成的一張監管表格。

2001 年以後：恐怖分子資金籌集擴大合規職責

2001 年 9 月 11 日的恐怖襲擊改變了金融犯罪合規的發展方向。FATF 把恐怖分子資金籌集納入職責範圍，銀行不僅要識別犯罪所得，也越來越需要識別流向恐怖活動的合法或非法資金。

美國《愛國者法案》加強了金融犯罪控制，其中包括 AML 計劃及客戶身份識別的最低標準。FinCEN 的《愛國者法案》概要列出內部控制、指定合規負責人、持續培訓及獨立測試等要求。

制裁合規也更具營運重要性。銀行要根據可能迅速更新的名單篩查客戶與付款，代理銀行關係亦受到更嚴格審視。

合規團隊不斷擴大並趨向專業化。客戶數據庫可電子搜索，制裁篩查開始自動化，可疑交易監察也越來越依賴規則。

然而，這些系統通常分別採購：一個核實身份，一個篩查姓名，一個監察交易，另一個儲存案件。它們解決了單項問題，卻形成許多銀行至今仍在管理的分散式合規技術組合。

金融危機以後：合規走近董事會

2007 至 2009 年全球金融危機揭示銀行資本、流動性、風險治理及內部模型運用方面的弱點。巴塞爾委員會隨後制定《巴塞爾協議 III》，加強資本與流動性要求，並引入提高銀行韌性與可比性的措施。

2017 年，巴塞爾委員會完成進一步修訂，以處理風險加權資產差異過大的問題。成員司法管轄區實施速度不一，也説明國際標準可以目標一致，各國時間表和規則仍會不同。

合規責任同時走近高級管理層與董事會。罰款、整改計劃及公開執法行動，使合規無法再被視為狹窄的法律職能。

銀行也更有意識地採用“三道防線”模型：業務團隊負責風險與控制；合規及風險職能負責監督和質詢；內部審計提供獨立保證。

合規開始參與產品設計、市場進入、客戶接納、第三方選擇及戰略風險決定。不過，技術發展仍不均衡。分析人員常要在客戶檔案、篩查平台、監察工具、文件庫及案件系統之間切換。安裝的技術更多，工作流程卻不一定更連貫。

數碼銀行時代改變客戶盡職調查

隨着銀行服務轉移到線上，客戶盡職調查不能再依賴分行員工檢查實體文件。客戶開始通過網站和流動應用程式遙距開戶，有時數分鐘內即可完成整個流程。

現代KYC 客戶開戶審查因此結合文件採集、數據提取、真偽檢查、生物識別或活體檢測、制裁與 PEP 篩查、客戶風險評估及例外處理。

企業客戶開戶審查也隨之演變。單憑公司註冊證書不足以理解一家企業。銀行還要識別董事、授權人士、股東、控制人及最終實益擁有人，並了解企業從事什麼業務、在哪裏營運及為什麼需要帳戶。

因此，KYB 企業開戶審查成為對法律實體及其背後人士的相互連接覆核。

數碼化提高便利，也帶來合成身份、篡改文件、遙距開戶詐騙及自動化申請等風險。挑戰不再是速度與審慎二選一，而是讓客戶阻力與風險相稱。資料完整且風險較低的申請可以高效處理；資料不足、不一致或風險較高的案件，則連同相關證據交給合資格人員覆核。

2020 年代：合規變得持續進行

傳統合規圍繞預定時間運作。客戶在開戶時接受覆核，之後按固定週期再次審查。然而，風險不會等待下一個覆核日期。

實益擁有人可能改變；客戶可能進入新市場；新的制裁指定可能發布；交易行為可能偏離開戶時獲批的檔案；定期覆核剛完成，負面信息便可能出現。

合規系統因此轉向持續及事件觸發監察。重大變化可以觸發篩查、風險重評或案件，無須等待下一次日曆覆核。

交易監察也在改變。早期系統高度依賴固定閾值：金額、頻率或特定模式觸發警報。規則依然有用，但孤立閾值常會產生大量警報，卻缺乏足夠的客戶情境。

現代交易監察可把規則與客戶風險、預期行為、交易對手、交易歷史及關係資料結合。分析人員看到的不再只是越過閾值，而是為什麼該活動對這位客戶而言不尋常。

營運韌性也進入合規討論。2021 年，巴塞爾委員會發布營運韌性原則。歐盟《數碼營運韌性法案》則於 2025 年 1 月開始適用。

現代合規因此同時提出兩個問題：控制能否作出正確決定？當系統或供應商出現故障時，銀行又能否繼續運行這項控制？

全球合規正在趨同，但不會完全相同

全球銀行標準比五十年前更協調，但銀行並不是在同一套全球規則下營運。

FATF 制定國際金融犯罪標準，巴塞爾委員會制定審慎與監管標準，各國和地區主管機關再通過當地法律、法規及指引落實這些理念。

歐盟於 2024 年通過重要的 AML/CFT 立法組合，建立更統一的規則，並成立反洗錢及打擊恐怖分子資金籌集管理局（AMLA）。2026 年 1 月，歐洲銀行管理局原有的 AML/CFT 職責移交 AMLA。根據EBA 與 AMLA 的公告，AMLA 將協調監管趨同，並直接監管部分複雜、風險較高的金融機構或集團。

美國、新加坡、香港、英國、澳大利亞、阿聯酋等市場則保留各自的法律、報告機制及監管重點。

全球銀行因此同時需要一致性和本地控制。核心原則、數據標準及治理可以共享，但客戶旅程、風險因素、升級要求、報告格式及保存期限仍可能需要按司法管轄區配置。

全球政策不能未經解釋便複製到每個市場；本地差異也不應演變為數十個無法交換風險信息的分散合規項目。

銀行合規系統如何演變

1. 從紙本檔案到核心數據庫核心數據庫改善了訪問，但合規記錄仍常與交易數據分開。
2. 從手動覆核到規則引擎自動篩查與交易規則擴大覆蓋範圍，但寬泛閾值及有限情境仍製造大量人工工作。
3. 從規則引擎到專業平台銀行增加 KYC、篩查、詐騙、監察及案件工具，同時增加整合及重複輸入需求。
4. 從專業工具到相互連接的工作流程客戶數據、風險變化、警報、證據、決定及跟進行動開始貫穿同一生命週期。
5. 從儀表板到可解釋的輔助AI 整理證據、識別關係、總結案件及準備敘述草稿，而獲授權人員繼續承擔責任。

現代目標不是不斷收集工具，而是連接合規決定。共享數據、API、實體解析、工作流程編排及結構化審計歷史，因而成為當代合規架構的核心。

真正有用的合規 AI 會減少不必要的準備工作，卻不會隱藏結論形成的過程。

現代銀行合規團隊使用哪些工具？

數碼 KYC 與 KYB

KYC 與 KYB 工具收集客戶或企業資料、核實證據、進行篩查，並支援風險為本審批。現代系統也應處理姓名不一致、所有權不明等例外情況，並把申請交給適當人員覆核。

篩查與持續監察

篩查工具把客戶及關聯方與制裁、PEP 及其他風險數據比較。持續篩查可識別客戶開戶審查後的變化。潛在匹配不是決定；分析人員仍須核對身份標識、來源資料，並按受控流程解決結果。

交易與詐騙監察

監察工具按規則、異常行為及相關模式檢查活動。詐騙工具還可能考慮設備、訪問行為、速度及其他實時信號。詐騙與 AML 所需回應可能不同，但在法律、政策及訪問控制允許時，相關資料應適當共享。

圖譜與關係智能

犯罪風險經常通過網絡運作，而不是孤立帳戶。Graph Intelligence 可幫助調查人員查看客戶、企業、擁有人、帳戶、交易對手、交易及過往案件之間的關聯。關聯應被視為調查線索，而不是不當行為的證明。

合規案件管理

當問題需要調查時，合規案件管理為工作建立受控記錄。案件連接原始警報、情境、證據、任務、負責人、升級、審批及最終決定。管理層因而可以了解風險在哪裏等待、案件為何延誤，以及跟進行動是否完成。

AI 輔助覆核

合規 AI 可以彙集獲授權情境、整理證據、識別缺失資料及準備理據草稿。WIDTH 的 AI Reviewer 用於支援這些準備工作，同時把專業判斷與審批責任保留給人員。

AI 處理工作，人員作出判斷。

WIDTH 如何支援現代銀行合規

現代銀行合規是一個相互連接的生命週期。客戶開戶審查取得的資料應影響客戶風險；客戶風險應影響監察；監察應產生具備充分調查情境的警報；調查則應形成受控、可解釋的決定。

這個生命週期經常分散在不同系統。WIDTH 一體化合規平台通過共享數據層連接客戶開戶審查、AML 監察、詐騙偵測及案件管理。不同模塊可以使用相同的客戶與關係情境，並共同構成決定歷史。

對合規分析人員而言，實際價值不只是減少螢幕數量，而是能夠從警報直接進入相關客戶、企業、所有權、交易及案件證據，無須反覆重建歷史。

對合規負責人而言，價值在於營運可視性。他們能夠了解哪些案件仍然開啟、由誰負責、哪裏需要升級，以及最終決定是否有充分支援。

銀行不一定需要一次更換所有系統。WIDTH 模塊可以獨立引入，再按銀行架構及優先事項逐步連接。

WIDTH 不會取代銀行的法律解釋、監管責任或專業判斷，也不涵蓋所有審慎或行為合規領域。它為 KYC、KYB、AML 監察、詐騙偵測及調查中的金融犯罪決定提供相互連接的技術。

一個平台。一套工作流程。一個可信的資料來源。

銀行合規下一步會怎樣發展？

下一個銀行合規時代，不會以從所有決定中移除人員為目標。真正的變化，是判斷哪些環節需要人為判斷，哪些環節可以由技術減少不必要的工作。

數據收集、證據提取、基本比較、工作分派及期限追蹤可以進一步自動化。當證據衝突、情境重要，或決定可能對客戶或銀行造成重大影響時，人員仍然不可或缺。

監管機構也可能要求提高自動化系統的透明度。銀行需要知道哪個模型或智能體執行了任務、使用了哪些數據、擁有何種權限，以及人為覆核在哪裏發生。

合規架構因此不能只保留最終結果，也必須保留形成結果的路徑。

銀行合規已從本地記錄走向全球標準，從定期檢查走向持續監察，也從獨立工具走向相互連接的決定。

不過，一個核心問題始終沒有改變：

銀行能否解釋當時知道什麼、採取了什麼行動，以及為什麼該決定在當時是合理的？

技術已經改變，對可問責判斷的需要沒有改變。

常見問題

來源及延伸閱讀

• 巴塞爾委員會歷史
• 《巴塞爾協議 III》標準
• 巴塞爾委員會銀行客戶盡職調查指引
• 巴塞爾委員會營運韌性原則
• 財務行動特別組織歷史
• FinCEN《美國愛國者法案》概要
• 歐盟《數碼營運韌性法案》
• 歐盟反洗錢管理局
• EBA 與 AMLA 移交 AML/CFT 職責

本文僅提供一般資料，不構成法律或監管意見。具體要求會因機構、業務及司法管轄區而異。