銀行應多久更新一次客戶 KYC 資料？

是否有固定的 KYC 更新頻率？

沒有一個適用於所有銀行及客戶的時間表。在新加坡，新加坡金融管理局（MAS）第 626 號通知第 6.19 和 6.24 段要求銀行持續監控客戶關係，並通過覆核現有資料，確保客戶盡職調查（CDD）資料、文件及資料保持相關和最新，尤其要關注較高風險客戶。這些條款沒有為所有客戶規定統一的年數。

在美國，FFIEC 審查手冊將客戶資料更新描述為風險為本、由事件觸發的工作。FinCEN 的 CDD 常見問題指出，美國沒有要求所有客戶按統一的持續或定期週期更新資料，但機構可以根據風險安排定期覆核。美國規定不能替代新加坡或其他地區的要求。

銀行可以在內部政策中對較高風險客戶安排年度覆核，對其他客戶設置較長週期。這些只是內部政策示例，不是通用法定期限。任何風險等級的客戶都可能因新事件而需要提前覆核。

哪些客戶 KYC 資料需要保持最新？

有效的 KYC 檔案應說明客戶身份、企業客戶的控制人、建立關係的目的，以及銀行預期的交易活動。覆核應集中在與關係及金融犯罪風險有關的資料。

• 身份與聯絡資料：姓名、身份資料、地址及相關獲授權代表。
• 業務資料：經營活動、業務所在地、所用產品及預期賬戶行為。
• 所有權與控制權：董事、股東、最終受益所有人及控制結構。
• 風險背景：地區風險、政治公眾人物及制裁篩查結果、相關負面資料和現有評級理由。
• 資金或財富來源：在客戶風險及適用 CDD 或強化盡職調查要求下需要取得的資料。
• 決策歷史：例外情況、審批、限制、監控措施和待補資料。

保持最新不等於每次都重新索取全部文件。關鍵是解釋哪些事實仍可靠、哪些已變化，以及當前決定有何證據支援。證件到期可能需要按政策或當地規定處理，但單憑更新證件，無法解釋交易或所有權的異常變化。

哪些事件應觸發提前覆核？

銀行應在政策中定義觸發事件，並指定處理負責人。例如：

• 企業客戶出現新的最終受益所有人、董事或獲授權代表；
• 業務活動、職業、經營地區或產品使用發生重大變化；
• 交易不再符合客戶申報用途或預期活動；
• 出現需要評估的制裁、政治公眾人物或負面媒體結果；
• 現有資料的準確性、完整性或真實性受到可信質疑；
• 調查、執法機關要求或其他事件改變風險評估；
• 新資料表明需要強化盡職調查或調整監控措施。

觸發事件應引出評估，而非自動認定客戶可疑。覆核人員應確認發生了什麼變化、資料是否可靠、需要哪些相稱的證據，以及現有風險評級是否仍合理。FFIEC 手冊也列舉了所有權變化、無法解釋的活動及負面媒體等例子。

銀行應如何制定覆核週期？

先確認銀行在各經營地區適用的法律和監管指引，再根據客戶風險方法，為相關客戶群體設定最長覆核間隔。記錄週期為何足夠，以及誰有權修改。

1. 劃分客戶群體。考慮客戶類型、產品、渠道、地區、所有權複雜程度、交易活動及現有風險信號。
2. 設定與風險相稱的週期。較高風險關係通常需要更密切的覆核；在持續監控仍能發現重大變化的前提下，較低風險關係可能適用較長週期。
3. 定義事件優先規則。明確哪些信號須立即或在內部時限內產生覆核任務，即使下次定期覆核尚未到期。
4. 規定證據及審批。說明必須檢查什麼、誰能批准評級變更，以及何時需要強化措施。
5. 檢驗政策效果。檢查逾期任務、遺漏的變化、重複索取資料，以及風險評級調整過晚的案例。

歐洲銀行管理局的洗錢與恐怖融資風險因素指引同樣強調，監控的頻率與強度應隨風險調整，客戶資料須保持最新。跨境銀行在採用統一政策前，應核實當地適用版本和落實方式。

一次 KYC 更新應包括什麼？

更新工作應形成日後可以重建的決定。工作深度應與觸發原因和風險相稱。

1. 建立並分配任務。記錄覆核來自到期日、客戶通知、監控警報還是外部資料。
2. 比較新舊事實。找出受影響的字段、人員、企業及行為，並保留原有記錄。
3. 核實關鍵變化。取得可靠證據，處理來源之間的矛盾。
4. 重評風險及控制。考慮篩查、預期交易、所有權、強化盡職調查及監控設置。
5. 審批結果。記錄覆核人員、升級或雙人覆核審批、理由及未解決條件。
6. 更新關聯流程。確保最新風險概況可供篩查、交易監控、調查及下次覆核使用。

若變化僅涉及地址，銀行可能只需核實該資料，而無需重做所有開戶步驟。若企業控制權轉至較高風險地區的新人員，覆核可能需要更深入的工作。決定應根據事實，而非僵化的文件清單。

實際例子：所有權與交易活動同時變化

某企業客戶開戶時預計只收取既有客戶的本地付款。六個月後，交易監控發現持續來自新的跨境通道的付款。與此同時，企業登記資料顯示股權發生變化。

銀行不應等到下次定期覆核。覆核人員可以將交易與已批准的客戶風險概況比較，確認現有所有權及控制結構，索取解釋和證明資料，對相關新人員進行篩查，並重新評估風險。結果可能是有充分理由維持評級、加強監控、升級處理，或根據銀行政策採取其他行動。

關鍵是把事件、證據和決定連接起來。如果更新後的表格未進入監控流程，銀行仍可能依據過時的風險概況工作。

客戶不提供最新資料時怎麼辦？

記錄銀行要求了什麼、為何需要、何時聯繫客戶，以及現有資料是否仍足以理解和管理關係。按銀行政策及適用規定升級處理。回應應反映缺失資料的重要性和其他風險信號。

輕微行政資料缺口與無法確認客戶控制人、解釋重大交易的情況不同。視事實及義務而定，銀行可能需要強化覆核、採取限制措施，或決定是否繼續關係。涉及懷疑及報告的問題，應交由既定調查和升級流程處理。不能僅因資料要求超時，就在沒有理由的情況下關閉 KYC 覆核。

如何衡量覆核品質？

完成率能反映工作量，卻不能證明銀行使用的是最新資料。可關注各風險等級的完成情況、較高風險覆核逾期數量、重大事件到分流的時間、未解決的所有權變化、重複索取資料，以及覆核後風險評級變化。

品質檢查可以抽樣確認：是否理解觸發原因、證據是否充分、決定是否符合政策，以及更新資料是否傳遞給後續控制。結果應按客戶類型和團隊細分。逾期少可能掩蓋觸發機制薄弱；完成量高也可能掩蓋流於形式的判斷。

WIDTH 如何支援持續 KYC

WIDTH 支援連接的 KYC 入駐、篩查、風險覆核及交易監控流程。開戶時收集的資料可與後續信號及調查保持關聯，幫助獲授權覆核人員看清變化及開立個案原因。

對銀行而言，重要的是新信號能否連同現有客戶背景一起建立覆核任務，分配給合適人員，並保留最終決定的證據。WIDTH 銀行方案旨在連接這些活動。覆核週期、風險規則及審批決定仍由銀行負責。

常見問題

資料來源與延伸閱讀

• MAS Notice 626，第 6.19–6.24 段
• FFIEC BSA/AML 客戶盡職審查手冊
• FinCEN 客戶盡職審查規則常見問題
• EBA 客戶盡職審查及洗錢／恐怖融資風險因素指引

監管要求因地區而異，也可能變化。本文說明營運方法；銀行應依其業務適用的最新規定執行。