欢迎阅读国家与行业风险评估及基于风险的方法

欢迎来到领域 B 的核心研习单元：全球反金融犯罪（AFC）架构、治理与法规！如果你曾经好奇政府如何判定哪些金融犯罪威胁最为危险，或者金融机构如何决定将合规人员和监控系统调配到何处，本章将为你一一解答。

在本章中，我们将探讨：

• 什么是国家风险评估（NRA），以及为何各司法管辖区都要开展这项评估。
• 行业风险评估（SRA）涵盖的内容，以及它如何聚焦于特定行业。
• 现代反金融犯罪（AFC）的基石：基于风险的方法（RBA）。
• 国家和行业层面的评估结果如何直接影响机构的内部监控及合规工作重点。

章节背景说明：本章专门重点探讨国家与行业风险评估及其对基于风险的方法的影响。相关主题——例如监管机构、金融情报机构（FIU）和国际组织的具体职责——将在本领域的其他姊妹章节中深入探讨。

---

理解基于风险的方法（RBA）

什么是基于风险的方法？

基于风险的方法（RBA）的核心原则是：机构或政府配置资源、工作力度和缓减措施时，必须与所识别的风险水平成正比。简而言之：管控措施必须与风险程度相符。

在广泛采用 RBA 之前，合规计划往往按照刻板的“打勾”（tick-the-box）或以规则为本（rules-based）模式运作。无论客户背景如何，都会接受完全相同的开户审查和监控。今天，全球标准均已认同资源是有限的，而金融犯罪威胁的分布亦不平均。

生活化比喻：想象一下急诊室的检伤分流。当病人只是擦伤来到医院时，会接受基本护理，可能需要等候较长时间。但当有人因急性胸痛入院时，会立即被送往重症监护室，由专科医生诊治。RBA 在反金融犯罪领域的运作方式完全相同：高风险情况会受到严格审查，而较低风险情况则采用标准或简化程序管理。

RBA 的核心原则

1. 识别与评估：了解司法管辖区、行业或机构内部存在的特定金融犯罪威胁、脆弱性（漏洞）及后果。
2. 缓减与管控：在风险偏高之处，实施更高级别的客户尽职调查、加强监控及更严格的管控措施；在风险较低之处，则实施标准或简化管控措施。
3. 检视与调整：随着犯罪模式（typologies）、技术和监管调查结果的演变，持续更新风险模型。

重点提示：RBA 并不意味着消除所有风险（零容忍）。相反，它意味着认清最高风险所在，并将最强有力的管控措施和资源投放于这些特定领域。

---

国家风险评估（NRA）

什么是 NRA？

国家风险评估（NRA）是由政府牵头进行的全面性评估工作，由国家对其整体金融、商业和法律环境进行透彻分析，以确定其主要的金融犯罪风险。其目标是提供一个全方位、系统性的视角，展示非法资金如何流入、流经和离开该司法管辖区。

NRA 的核心组成要素

司法管辖区在编制 NRA 时，通常会评估三大核心要素：

• 威胁（Threats）：产生非法资金的外部或内部犯罪活动。这包括贩毒、诈骗、逃税、有组织犯罪、贪污或恐怖活动等上游犯罪（predicate crimes）。
• 脆弱性（Vulnerabilities）：国家法律制度、监管审查、边境管制、金融基础设施或公司登记处透明度等方面可能被犯罪分子利用的漏洞或薄弱环节。
• 后果（Consequences）：洗钱、恐怖融资及其他金融犯罪对该国造成的更广泛经济、社会、金融和声誉影响。

谁会使用 NRA？

• 公共机构：监管机构、执法机关和金融情报机构（FIU）利用 NRA 来引导调查资源的方向、制定新法律并调整监管工作重点。
• 私营机构：银行、货币服务业务（MSO/MSB）、支付服务提供商（PSP）以及指定非金融行业及专业人士（看门人 / gatekeepers），均会将 NRA 作为其自身风险模型的重要外部参考依据。

记忆口诀——“T-V-C”：要记住 NRA 如何评估风险，可以联想英文缩写 TVC：Threats 威胁（罪犯及其犯罪行为）、Vulnerabilities 脆弱性（敞开的门户或系统漏洞），以及 Consequences 后果（现实世界中的损害）。

---

行业风险评估（SRA）

聚焦镜头：SRA 的目的

如果说 NRA 是从高空鸟瞰整个国家，那么行业风险评估（SRA）则是将显微镜聚焦于某个特定行业或经济领域。SRA 专门深入研究金融犯罪风险如何在特定的运营环境中显现。

常规开展 SRA 的行业

监管当局和行业组织经常评估各个不同行业的风险，包括：

• 银行业务领域：零售银行、私人银行、商业银行及代理银行（网络银行）业务。
• 支付与汇款服务：货币服务业务（MSO/MSB）、支付服务提供商（PSP）及电子商务平台。
• 新兴科技与数字资产：虚拟资产服务提供商（VASP）及加密资产平台。
• 看门人与专业服务：律师、公证人、会计师，以及信托或公司服务提供商（TCSP）。
• 其他高风险行业：房地产中介、博彩及赌博业，以及高价值物品交易商。

为何行业差异如此重要

不同行业所面临的运营风险大相径庭：

• 货币服务业务（MSB）处理的是快速、大额、跨境现金汇款，汇款人身份及业务关系持续时间可能转瞬即逝。
• 信托或公司服务提供商（TCSP）处理的是法定实体、空壳公司和复杂的所有权架构，这些都可能遮掩受益所有人的真实身份。
• 房地产中介业处理的大多是交易频率低、金额庞大的交易，单笔交易便能吸纳巨额非法资本。

正因为这些运营特点各异，SRA 能够提供一般性指引无法涵盖的行业特定犯罪模式和可疑指标。

重点提示：NRA 提供全国风险基准，而 SRA 则提供深入了解独特漏洞和业务模式所需的行业专门细节。

---

NRA 与 SRA 对机构基于风险的方法的影响

将宏观层面评估结果落实到内部计划

初次接触时无须担心觉得复杂——外部评估与机构内部合规计划之间的关系，遵循着清晰合理的分层递进逻辑：

第一步：公布公开评估报告
中央政府或行业监管机构公布 NRA 或 SRA，指明高风险领域（例如：跨境贸易洗钱活动增加、房地产行业高度脆弱，或特定法律架构被滥用）。

第二步：更新企业全面风险评估（ERA）
机构检视已发布的 NRA/SRA，并将这些调查结果与自身的各类产品、服务、客户、业务所在地域及交付渠道进行比对。如果 NRA 认定某类产品为高风险，机构必须在其内部风险评估中正视该威胁。

第三步：更新风险偏好声明（RAS）
高级管理层及治理委员会评估机构是否愿意接纳该等高风险行业的客户或业务活动，以及接受程度为何。

第四步：调整监控措施
机构调整其内部政策、程序与系统：
• 在风险偏高之处：机构落实强化尽职调查（EDD）、要求高级管理层审批、调低交易监控预警阈值，或进行更频繁的定期审查。
• 在经证实风险偏低之处：机构可采取标准或简化措施，确保将资源集中保留给高风险目标。

监管机构的期望

在接受监管审查期间，监管人员会期望合规人员熟悉所在司法管辖区最新发布的 NRA 以及相关 SRA 的评估结果。如果一家机构声称自己采用了有效的基于风险的方法，却对国家或行业风险报告视若无睹，其合规计划极有可能会被评定为存在重大缺陷。

---

应避免的常见误区

• 误区 1：将 NRA 当作内部风险评估
纠正：NRA 是由公共机构编制的外部国家层面文件。企业全面风险评估（ERA）则是机构对自身独特风险进行的内部评估。NRA 为 ERA 提供指引和参考，但绝不能取代 ERA。

• 误区 2：以为低风险等于“零审查”
纠正：在基于风险的方法下，较低风险可以作为采用简化或标准客户尽职调查的合理依据，但绝不意味着可以完全免除客户身份识别、制裁名单筛查或可疑交易报告等要求。

• 误区 3：静态合规（一劳永逸）
纠正：有效的 RBA 必须具备动态调整能力。当新的 NRA 或 SRA 点出新兴的金融犯罪趋势时（例如转向新型支付平台，或出现新的洗钱手法），机构必须迅速更新其内部的监控场景与政策。

---

本章摘要与快速温习

核心概念速览

• 基于风险的方法（RBA）：一项总体指导原则，要求合规资源和管控措施必须与所识别的金融犯罪风险水平相符。
• 国家风险评估（NRA）：由政府主导的宏观层面评估，旨在识别全国范围内的金融犯罪威胁、体制脆弱性及社会经济后果。
• 行业风险评估（SRA）：针对特定行业或领域（如银行业、MSO、TCSP、博彩业、VASP）的专门评估，重点分析该行业特有的风险、犯罪模式及脆弱性。
• 传导效应（Flow-Through Effect）：NRA 和 SRA 是重要的外部参考依据，直接引导和塑造机构的企业全面风险评估（ERA）、风险偏好声明（RAS）、客户尽职调查分级（标准与强化审查）以及交易监控系统。